実効性評価（モニタリング）のやり方
企業法務・コンプライアンス実務

1.1 実効性の定義

このページでいう実効性とは、企業が導入している法務・コンプライアンス・内部統制上の仕組みが、実際の業務現場において、意図した目的を達成している程度を指します。

たとえば、贈収賄防止規程が存在するだけでは、贈収賄リスクを低減できているとは限りません。営業担当者が規程を理解し、代理店選定時に必要なデューデリジェンスを行い、接待・贈答の承認が実際に記録され、不適切な支出が検知され、問題があれば是正されてはじめて、「実効性がある」と評価できます。

同様に、内部通報窓口が設置されていても、従業員が窓口を知らず、報復を恐れて利用できず、通報後の調査が遅延し、再発防止策が実行されていないのであれば、その制度は形式的には存在していても、実効的とはいえません。

1.2 モニタリングの定義

モニタリングとは、内部統制、コンプライアンス・プログラム、法務プロセス、リスク低減策などが有効に機能しているかを、継続的または定期的に評価する活動です。

金融庁・企業会計審議会の内部統制基準では、モニタリングは「内部統制が有効に機能していることを継続的に評価するプロセス」と位置づけられ、日常的モニタリングと独立的評価が含まれると整理されています。この整理は、財務報告内部統制だけでなく、企業法務・コンプライアンス領域にも応用可能です。

1.3 「評価」と「監査」と「モニタリング」の違い

実務では、「評価」「監査」「点検」「レビュー」「モニタリング」という用語が混在しやすいです。厳密には、次のように整理できます。

下の比較表は、1.3 「評価」と「監査」と「モニタリング」の違いで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

企業法務上の実効性評価では、これらを対立的に考える必要はありません。むしろ、日常的な点検、コンプライアンス部門によるモニタリング、内部監査による独立的評価、外部弁護士・会計士・専門家によるレビューを、リスクに応じて組み合わせることが重要です。

1.4 「実効性評価（モニタリング）のやり方」を一言でいうと

実効性評価（モニタリング）のやり方とは、次の問いに、証拠をもって答えるプロセスです。

この問いに答えるためには、規程の有無を見るだけでは不十分です。実際の案件、取引、通報、承認、契約、研修、懲戒、是正対応、取締役会報告、システムログ、外部委託先管理、グループ会社管理などを横断的に確認する必要があります。

下の一覧は、制度・標準・公的資料に共通する実効性評価（モニタリング）の原則を整理したものです。原則ごとの役割を読むことで、自社の評価が形式確認に偏っていないかを点検できます。

3.1 内部統制基準におけるモニタリング

金融庁・企業会計審議会の内部統制基準では、内部統制を、業務の有効性・効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全という目的を達成するため、組織内のすべての者によって遂行されるプロセスとして説明しています。内部統制の基本的要素の一つとして、モニタリングが位置づけられている点は重要です。

ここから企業法務に応用できる示唆は明確です。すなわち、法令遵守や不祥事予防は、法務部だけが担う単発作業ではなく、業務プロセスに組み込まれ、経営者、管理職、従業員、内部監査、監査役等がそれぞれの役割を果たす継続的プロセスです。

3.2 コーポレートガバナンス・コードにおける実効性評価

上場会社においては、取締役会の実効性評価も重要な実務です。東京証券取引所のコーポレートガバナンス・コードは、取締役会全体としての実効性に関する分析・評価と、その概要開示を求める原則を置いています。

取締役会実効性評価は、法務・コンプライアンス領域のモニタリングと別物ではありません。むしろ、重大な法的リスク、内部統制上の不備、不祥事、内部通報、規制対応、訴訟、サステナビリティ、情報セキュリティ、AI利用等について、取締役会が十分な情報を受け、実質的に監督しているかを確認する点で、企業法務の実効性評価と密接に結びつきます。

3.3 ISO 37301とコンプライアンス・マネジメントシステム

ISO 37301は、コンプライアンス・マネジメントシステムに関する国際規格で、コンプライアンス体制の構築、実施、評価、維持、改善に関する要求事項と指針を示す。認証取得の有無にかかわらず、同規格の考え方は、企業法務における実効性評価を体系化するうえで参考になります。

重要なのは、コンプライアンスを「規程集」ではなく「マネジメントシステム」として捉えることです。マネジメントシステムとして捉えると、リスク評価、方針、役割、研修、コミュニケーション、運用、監視、内部監査、マネジメントレビュー、改善という循環が必要になります。

3.4 DOJの企業コンプライアンス・プログラム評価指針

米国司法省の「Evaluation of Corporate Compliance Programs」は、企業のコンプライアンス・プログラムを評価する際の観点を示す資料です。同資料は、企業規模、業種、地域、規制環境等に応じた個別判断を前提としつつ、リスク評価、ポリシー、研修、通報、調査、第三者管理、M&A、インセンティブ、データ活用、継続的改善等を確認する枠組みを示しています。

同資料から学ぶべき中心命題は、次の三つです。

1. プログラムはよく設計されているか。
2. プログラムは誠実かつ十分な資源をもって実行されているか。
3. プログラムは実際に機能しているか。

この三分法は、企業法務全般の実効性評価にもそのまま応用できます。

3.5 英国贈収賄防止ガイダンスにおける「monitoring and review」

英国法務省のBribery Act 2010 guidanceは、商業組織が贈収賄防止手続を整備するための六つの原則として、比例性、トップレベルのコミットメント、リスク評価、デューデリジェンス、コミュニケーション・研修、モニタリングとレビューを掲げています。この構造は、贈収賄防止に限らず、競争法、個人情報、労務、下請法、輸出管理、AI利用などにも応用できます。

3.6 スリーライン・モデル

IIAのスリーライン・モデルは、ガバナンスとリスクマネジメントにおける役割分担を整理する実務モデルです。企業法務の実効性評価では、一般に次のように適用できます。

下の比較表は、3.6 スリーライン・モデルで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

実効性評価では、第1線の自己点検だけに依存しないことが重要です。第2線による継続的モニタリングと、第3線による独立評価を組み合わせることで、評価の信頼性が高まります。

ここからは、企業が実際に導入できる形で、実効性評価（モニタリング）のやり方を10ステップに分解します。

ステップ0 ― 評価のスポンサーと権限を決める

最初に、誰の権限で評価を行うのかを明確にします。実効性評価は、現場から見ると負担を伴うため、経営陣・取締役会・監査役等の支援がなければ形骸化しやすい。

決めるべき事項は次のとおりです。

下の比較表は、ステップ0 ― 評価のスポンサーと権限を決めるで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

評価権限が曖昧なまま始めると、必要なデータが得られず、評価が「お願いベース」になってしまう。評価規程、年間監査計画、コンプライアンス委員会規程、内部統制規程などに根拠を置くことが望ましいです。

ステップ1 ― 対象リスクを定義する

実効性評価の出発点はリスクです。対象リスクを定義せずに評価を始めると、確認項目がチェックリスト化し、重要度の低い項目に時間を費やすことになります。

リスク定義では、少なくとも次を整理します。

下の比較表は、ステップ1 ― 対象リスクを定義するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

ここで重要なのは、リスクを法令名だけで分類しないことです。たとえば「個人情報保護法リスク」と書くだけでは、評価対象が曖昧です。実務上は、「委託先における個人データ取扱状況を把握できていないリスク」「アクセス権限の棚卸しが行われないリスク」「漏えい時の報告・通知判断が遅れるリスク」のように、具体的な失敗シナリオに落とし込む必要があります。

ステップ2 ― 統制目的と期待される行動を定義する

次に、各リスクに対して、どのような統制が何を達成すべきかを定義します。これを統制目的と呼びます。

例として、贈収賄防止を取り上げます。

下の比較表は、ステップ2 ― 統制目的と期待される行動を定義するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

実効性評価では、「規程があるか」ではなく、「期待される行動が実際に行われたか」を確認します。

ステップ3 ― 評価基準を決める

評価基準は、評価開始前に決める必要があります。後から都合よく基準を変えると、評価の客観性が失われます。

典型的な評価基準は、次の五つです。

下の比較表は、ステップ3 ― 評価基準を決めるで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

たとえば、契約審査制度の実効性評価では、次のような基準を置くことができます。

• 高リスク契約の90%以上が法務審査を経ています。
• 標準契約からの重大な逸脱には承認記録があります。
• 契約締結前に反社チェック・与信確認・個人情報条項確認が行われています。
• 締結済み契約が契約管理システムに登録されています。
• 更新・解約期限が自動通知されています。
• 法務差戻し理由がナレッジ化され、次の雛形改定に反映されています。

ステップ4 ― 評価計画を作成する

評価計画は、実効性評価の設計図です。最低限、次の項目を含める。

下の比較表は、ステップ4 ― 評価計画を作成するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

評価計画には、評価の限界も明記します。たとえば、「本評価は2025年度に締結された国内販売代理店契約を対象とし、海外子会社契約は対象外です」といった限定です。限定を明記しないと、後に評価結果が過大に解釈されるおそれがあります。

ステップ5 ― データを収集する

実効性評価では、複数のデータ源を組み合わせます。単一の情報源だけに依存すると、偏りが生じます。

主なデータ源は次のとおりです。

下の比較表は、ステップ5 ― データを収集するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

実務では、文書レビュー、データ分析、インタビューの三つを組み合わせるだけでも、評価の精度は大きく高まります。

ステップ6 ― テストを実施する

テストとは、実際の案件やデータを選び、統制が想定通りに機能したかを検証する作業です。

例として、個人データ委託先管理のテストを考える。

下の比較表は、ステップ6 ― テストを実施するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

個人情報保護委員会のFAQは、委託先の取扱状況把握について、立入検査が常に義務付けられるわけではなく、委託する個人データの内容・規模に応じた適切な方法を講じれば足りるとの考え方を示しています。この考え方は、実効性評価一般にも示唆的です。すなわち、評価手法は「重ければよい」のではなく、リスクに応じて合理的に選ぶ必要があります。

ステップ7 ― 不備を評価し、重大性を判定する

不備が見つかった場合には、単に「不備あり」と記録するだけでは足りません。重大性、影響範囲、原因、再発可能性を評価します。

下の比較表は、ステップ7 ― 不備を評価し、重大性を判定するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

重大性評価では、金額だけで判断してはなりません。個人情報、ハラスメント、公益通報者保護、贈収賄、競争法、労働安全、品質不正、上場会社の適時開示などでは、金額が小さくても重大な法的・社会的影響が生じることがあります。

ステップ8 ― 根本原因を分析する

実効性評価で最も重要なのは、根本原因分析です。表面的な原因で止まると、同じ不備が再発します。

例として、契約審査漏れが発見された場合を考える。

下の比較表は、ステップ8 ― 根本原因を分析するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

根本原因は、個人の不留意点ではなく、業務量、権限設計、システム、教育、評価制度、経営メッセージ、組織文化にあることが多いです。

ステップ9 ― 改善計画を作成する

改善計画には、次の要素を必ず含める。

下の比較表は、ステップ9 ― 改善計画を作成するで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

改善策は、「再周知する」「注意喚起する」だけでは不十分なことが多いです。周知で解決するのは、ルールが存在し、理解すれば遵守できる場合に限られます。実際には、業務手順変更、システム制御、承認権限変更、テンプレート改定、監査項目追加、人員増強、業績評価制度の見直しなど、構造的対応が必要となることがあります。

ステップ10 ― 報告し、再評価する

評価結果は、適切な階層に報告します。軽微な不備は部門内で処理できるが、重大不備や構造的問題は経営陣・取締役会・監査役等に報告します。

報告書には、次を含める。

• 評価目的・対象範囲
• 実施手法・サンプル数
• 主要な発見事項
• 不備の重大性
• 根本原因
• 改善計画
• 未解決リスク
• 経営判断が必要な事項
• 次回モニタリング計画

報告後は、改善計画の進捗を追跡し、期限到来時に再テストします。再テストで改善が確認できなければ、改善策の設計自体を見直す必要があります。

下の一覧は、実効性評価（モニタリング）で組み合わせる主な確認方法を整理したものです。方法ごとの強みと限界を見比べることで、文書確認だけに偏らない評価設計を読み取れます。

7.1 文書レビュー

文書レビューは、規程、マニュアル、契約書、稟議書、議事録、調査報告書、監査報告書などを確認する手法です。

確認すべきポイントは次のとおりです。

• 最新法令・実務に対応しているか。
• 役割・責任・権限が明確か。
• 例外処理が定められているか。
• 記録・保存ルールがあるか。
• グループ会社・海外拠点・委託先が対象に含まれているか。
• 通報・調査・是正・報告の流れが定められているか。
• 実際の業務の流れと一致しているか。

文書レビューだけでは運用実態は分からないため、後述のサンプルテストやインタビューと組み合わせます。

7.2 ウォークスルー

ウォークスルーとは、実際の一件の取引・案件を入口から出口まで追跡し、統制がどこで働くかを確認する手法です。

例 ― 契約締結プロセスのウォークスルー

1. 事業部が契約相談を起票します。
2. 法務が契約類型を判定します。
3. 個人情報・知財・輸出管理・下請法等の該当性を確認します。
4. 相手方審査を行います。
5. 標準契約との差分を確認します。
6. 例外承認を取得します。
7. 電子署名または押印を行います。
8. 契約管理システムに登録します。
9. 更新期限を管理します。
10. 紛争・変更・解除時に記録を残す。

ウォークスルーは、規程と実務のズレを発見するうえで有効です。

7.3 サンプルテスト

サンプルテストは、対象母集団から案件を抽出し、証跡を確認する手法です。

下の比較表は、7.3 サンプルテストで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

サンプル数は、リスク、母集団、評価目的、許容誤差、過去不備の有無に応じて決める。重要なのは、サンプル抽出理由を記録することです。

7.4 インタビュー

インタビューは、現場の実態、暗黙の運用、心理的安全性、経営メッセージの浸透度を把握するうえで有効です。

対象者は、次のように分ける。

下の比較表は、7.4 インタビューで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

インタビューでは、誘導的質問を避け、具体的事例を尋ねる。たとえば、「法務審査は機能していますか」ではなく、「直近3か月で法務審査を経ずに契約締結した例はありますか」「急ぎ案件ではどのように例外処理しますか」と聞く方が実態に近づける。

7.5 アンケート・意識調査

アンケートは、広範囲の従業員から情報を得る手法です。内部通報制度、ハラスメント、コンプライアンス文化、研修理解度、上司への相談しやすさなどに有効です。

設問例は次のとおりです。

• 自社の内部通報窓口を知っています。
• 通報しても不利益を受けないと感じる。
• 上司はコンプライアンスを業績より軽視しません。
• 契約締結前に法務相談すべき基準を理解しています。
• 贈答・接待の承認ルールを理解しています。
• 個人情報の取扱いで迷ったときの相談先を知っています。
• ハラスメントを見聞きした場合の対応方法を知っています。

アンケート結果は、部門、職位、地域、雇用形態、勤続年数等で分析すると、リスクの偏在が見えやすい。ただし、個人が特定されないよう匿名性・集計単位に配慮する必要があります。

7.6 データ分析

データ分析は、実効性評価を高度化します。特に、会計、契約、業務手順、通報、研修、アクセスログ、人事データを連携すると、従来の目視点検では見えない兆候を把握できます。

例 ― 贈収賄・不正支払リスクのデータ分析

• 高額・丸数字・分割支払の抽出
• コンサルタント料・紹介料・成功報酬の増加
• 契約締結前の支払
• 高リスク国・公的機関関連の支払
• 接待交際費の特定部門集中
• 承認者と申請者の偏り
• 休日・深夜承認

例 ― 契約管理リスクのデータ分析

• 契約管理システム未登録契約
• 契約終了日・自動更新日の未入力
• 法務審査なしの高額契約
• 標準契約からの逸脱が多い相手方
• 長期未更新の基本契約
• 電子署名ログと稟議承認日の不一致

データ分析では、個人情報保護、労働法、監視の相当性、就業規則、社内規程、目的外利用、アクセス権限に注意します。分析目的、対象データ、権限、保存期間を明確にする必要があります。

7.7 テスト通報・シナリオ演習

内部通報制度やインシデント対応では、机上演習やシナリオ演習が有効です。

例 ― 内部通報制度のシナリオ演習

• 通報を受け付けてから何時間以内に一次評価するか。
• 誰が利益相反を確認するか。
• 被通報者が役員の場合、誰に報告するか。
• 通報者保護措置をどう記録するか。
• 調査範囲を誰が決めるか。
• 証拠保全を誰が実施するか。
• 是正措置と再発防止策を誰が承認するか。

ただし、テスト通報や模擬調査を行う場合は、関係者の不利益、個人情報、労務上の問題、心理的負担、虚偽通報と誤認されるリスクに配慮し、事前に設計・承認・範囲を明確にする必要があります。

下の役割一覧は、実効性評価（モニタリング）を誰が支えるかを整理したものです。取締役会、経営陣、第1線、第2線、第3線、外部専門家の違いを読むことで、自己点検だけに依存しない体制を確認できます。

9.1 取締役会・監査役等

取締役会、監査役、監査等委員、監査委員は、実効性評価の最上位の受け手で、重大リスクについて監督機能を果たす。

主な役割は次のとおりです。

• 内部統制・コンプライアンス体制の基本方針を確認します。
• 重大リスクと評価結果の報告を受ける。
• 経営陣のリソース配分が十分かを確認します。
• 内部監査部門・コンプライアンス部門から直接報告を受ける仕組みを整える。
• 不祥事・通報・調査・是正状況を監督します。
• 取締役会自身の実効性評価結果を改善に反映します。

9.2 経営陣

経営陣は、実効性評価を単なる管理部門の作業にせず、経営課題として扱う必要があります。

• リスクベースの優先順位を承認します。
• 法務・コンプライアンス・内部監査に必要な人員と予算を配分します。
• 重大不備への是正を指示します。
• 業績目標とコンプライアンスの衝突を調整します。
• トップメッセージを発信します。

9.3 ゼネラルカウンセル、CLO、CCO

法務・コンプライアンス責任者は、実効性評価の設計者で、経営と現場をつなぐ役割を担います。

• リスク評価を主導します。
• 評価基準・評価計画を作成します。
• 法令・規制・契約上の要求を評価項目に落とし込む。
• 外部弁護士・専門家の起用要否を判断します。
• 重大案件を経営・取締役会に報告します。
• 改善計画の実行状況を追跡します。

9.4 法務担当・企業内弁護士

法務担当・企業内弁護士は、契約、紛争、規程、個人情報、知財、M&A、当局対応などの法的観点から評価を担います。

• 契約審査プロセスの有効性を確認します。
• 法改正対応が実務に反映されているかを確認します。
• 規程・雛形・マニュアルを改定します。
• 重大通報・不祥事調査で法的リスクを評価します。
• 弁護士秘匿特権や秘密保持に配慮して調査設計を行います。

9.5 コンプライアンス担当

コンプライアンス担当は、日常的モニタリングの中心です。

• 研修、通報、相談、規程周知を運用します。
• 部門別リスクを把握します。
• KPI・KRIを継続的に収集します。
• 事業部門の自己点検を支援します。
• 不備の是正状況を追跡します。

9.6 内部監査担当

内部監査は、独立的評価を担います。第1線・第2線から一定の独立性を保ち、経営者・取締役会・監査役等に客観的な保証と助言を提供します。

• 年間監査計画に法務・コンプライアンスリスクを組み込む。
• 高リスクプロセスのサンプルテストを実施します。
• 第2線のモニタリングの有効性を評価します。
• 是正計画の進捗をフォローします。
• 重大不備を監査役等に報告します。

9.7 公認会計士・税理士・社労士・弁理士・司法書士等

企業法務の実効性評価は、弁護士だけでは完結しません。

下の比較表は、9.7 公認会計士・税理士・社労士・弁理士・司法書士等で確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

専門家の役割は、単に意見を述べることではありません。評価基準の設定、証拠の見方、重大性判断、改善策の現実性確認に関与することで、実効性評価の品質を高める。

9.8 外部弁護士・第三者委員会・独立委員会

重大不祥事、役員関与、利益相反、上場会社の開示問題、海外当局対応、刑事事件化のおそれがある場合には、外部弁護士や第三者委員会の関与が必要となることがあります。

外部専門家を用いるべき典型例は次のとおりです。

• 経営陣が関与している疑いがあります。
• 社内調査では独立性が疑われる。
• 行政処分・刑事事件・訴訟に発展する可能性があります。
• 海外当局対応が必要です。
• デジタル証拠保全が必要です。
• 被害者・通報者保護に高度な配慮が必要です。
• 株主・投資家・取引先への説明責任が大きいです。

下の注意点一覧は、実効性評価（モニタリング）が形骸化しやすい場面を整理したものです。原因と予防策を対応させて読むことで、評価を改善につなげるための着眼点を確認できます。

11.1 規程の有無だけを確認して終わる

最も多い失敗は、規程があるか、研修をしたか、委員会を開催したかだけを確認することです。これでは実効性は分かりません。

予防策 ― 実際の案件サンプル、承認記録、ログ、通報処理、是正状況を確認します。

11.2 KPIが活動量だけになっている

研修受講率、通報件数、契約審査件数などは重要ですが、活動量だけでは成果を測れません。

予防策 ― 理解度、行動変容、違反傾向、処理品質、是正完了率、再発率を組み合わせます。

11.3 自己点検だけに依存する

現場の自己点検は有用ですが、自己申告だけでは見落としや忖度が生じます。

予防策 ― 第2線のモニタリング、第3線の内部監査、外部専門家レビューを組み合わせます。

11.4 不備を発見しても改善につながらない

報告書に「改善を要する」と書かれても、責任者、期限、予算、再テストがなければ改善は進みません。

予防策 ― 改善計画表を作成し、経営会議・取締役会・監査役等が進捗を追跡します。

11.5 高リスク子会社・海外拠点を見ていない

親会社単体の制度は整っていても、子会社や海外拠点で不祥事が発生することは多いです。

予防策 ― グループ会社をリスクランク付けし、高リスク拠点には現地ヒアリング、データ分析、外部専門家レビューを実施します。

11.6 通報件数が少ないことを「良いこと」と誤解する

通報が少ない理由は、問題がないからとは限りません。制度が知られていない、信頼されていない、報復を恐れている可能性があります。

予防策 ― 認知率、信頼度、匿名通報比率、相談件数、退職者面談、従業員意識調査を併用します。

11.7 法務部だけで抱え込む

企業法務の実効性評価は、法務部だけでは実施できません。会計、税務、労務、IT、情報セキュリティ、内部監査、事業部門の協力が不可欠です。

予防策 ― 評価ごとにRACIチャートを作成し、責任者、実行者、協議先、報告先を明確にします。

実効性評価（モニタリング）のやり方の核心は、「制度が存在するか」ではなく、「制度が現場で機能し、リスクを低減し、問題を早期に発見し、改善につながっているか」を確認することです。

企業法務の実効性評価は、弁護士や法務部だけの仕事ではありません。企業内弁護士、外部弁護士、コンプライアンス担当、内部監査担当、公認会計士、税理士、社労士、弁理士、司法書士、IT・セキュリティ担当、個人情報保護担当、経営陣、取締役会、監査役等が、それぞれの専門性を持ち寄って初めて機能します。

実務上は、次の十項目を押さえれば、評価の品質は大きく向上します。

1. リスクを具体的な失敗シナリオで定義します。
2. 期待される統制目的と行動を明文化します。
3. 評価基準を事前に決める。
4. 文書、データ、インタビュー、サンプルテストを組み合わせます。
5. 日常的モニタリングと独立的評価を分けて設計します。
6. 不備の重大性と根本原因を評価します。
7. 改善計画に責任者、期限、証跡、再テスト方法を入れる。
8. 重大事項は経営・取締役会・監査役等に報告します。
9. 通報者保護、個人情報、秘密保持、弁護士秘匿特権に配慮します。
10. 評価結果を次のリスク評価、研修、規程改定、システム投資に反映します。

最終的に、実効性評価は、企業を縛るための手続ではなく、企業が持続的に信頼されるための経営技術です。法務・コンプライアンス体制の価値は、平時には見えにくい。しかし、問題が起きたとき、あるいは問題を未然に防げたとき、その企業がどれほど真剣に実効性を確認していたかが明らかになります。

したがって、実効性評価は「余裕があれば行うもの」ではありません。企業法務の専門実務において、リスクを発見し、経営を支え、社会的信頼を守るための必須プロセスです。

A.1 全社コンプライアンス体制

下の比較表は、A.1 全社コンプライアンス体制で確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

A.2 契約管理

下の比較表は、A.2 契約管理で確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

A.3 通報・調査

下の比較表は、A.3 通報・調査で確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

A.4 個人情報・データ

下の比較表は、A.4 個人情報・データで確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

下の時系列は、年間モニタリング計画を月別に配置したものです。対象と報告先を月次で読むことで、法務・コンプライアンス評価を年1回の確認にせず、継続的な改善へつなげる設計を確認できます。

下の比較表は、この章で確認すべき項目と判断の観点を整理したものです。列ごとの差を見ることで、どの証拠を集め、どの改善につなげるかを読み取れます。

公的資料・標準・実務指針

• 金融庁・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について」
• U.S. Department of Justice, Criminal Division, Evaluation of Corporate Compliance Programs
• 株式会社東京証券取引所「コーポレートガバナンス・コード」
• International Organization for Standardization, ISO 37301, Compliance management systems ― Requirements with guidance for use
• UK Ministry of Justice, Bribery Act 2010 guidance
• The Institute of Internal Auditors, The IIA's Three Lines Model
• 消費者庁「公益通報者保護制度」
• 個人情報保護委員会FAQ「委託先における個人データ取扱状況の把握」
• 経済産業省「グループ・ガバナンス・システムに関する実務指針」
• National Institute of Standards and Technology, AI Risk Management Framework