コンプライアンスとは？
意味や企業の違反事例をわかりやすく解説

UPDATE : 2022.09.30

コンプライアンス（Compliance）とは、直訳で「命令、規則に従うこと」という意味です。現在では、法令や社内規定、社会倫理などの遵守を示すビジネス用語の“企業コンプライアンス”として普及。企業経営における最重要テーマの1つとして認識されています。

本記事では、コンプライアンスの意味や違反事例、原因、対策方法についてわかりやすく解説します。

コンプライアンスとは

コンプライアンス（Compliance）とは、直訳で「要求、命令、規則に従うこと」を意味し、「企業活動における法令の遵守」を示すビジネス用語として普及しています。日本では、粉飾決算や産地偽装などの不祥事多発に伴ってコンプライアンスが重要視されました。企業不祥事を防ぐべく2008年に適用された内部統制報告制度（いわゆるJ-SOX法）により、企業コンプライアンスという言葉が加速度的に一般へ広まりました。

昨今では、コンプライアンスの適用範囲が拡大しており、社内規定や社会倫理も法令同様に遵守すべき対象として認識されています。企業活動のあらゆる点において、法令の存在を問わず倫理観に反さない判断や行動の実践が必要です。判断や行動の管理が求められるため、企業コンプライアンスは文脈により、リスクを回避するためのマネジメント方法や環境整備までを含んだ意味になります。

コンプライアンスと内部統制の違い

コンプライアンスと混同されやすいビジネス用語に内部統制があります。内部統制とは、「①業務の有効性および効率性」「②財務報告の信頼性」「③事業活動に関わる法律等の遵守」「④資産の保全」の４つの目的を達成するべく、業務執行を担うすべての人員が従うルールや仕組みを整備するプロセスを指します（※金融庁の『財務報告に係る内部統制の評価及び監査に関する実施基準』による定義）。
目的の１つに「③事業活動に関わる法律等の遵守」が定められている点からも、内部統制は業務執行においてコンプライアンス（など）を実現するための“手段”であると解釈できるでしょう。

また、金融庁は内部統制のプロセスとして、６つの構成要素を解説しています。それが、「①統制環境」「②リスクの評価と対応」「③統制活動」「④情報と伝達」「⑤モニタリング（監視活動）」「⑥IT（情報技術）への対応」です。つまり、６つの構成要素の整備は内部統制の要件であると同時に、コンプライアンス実現の要件となります。

コンプライアンスとリスクマネジメントの違い

リスクマネジメントとは、企業活動におけるリスクを管理するための取り組みを指し、内部統制の構成要素における「②リスクの評価と対応」に該当します。リスクマネジメントでは、組織の目標達成に影響を与える事象について「識別・分類・分析・評価・対応」のプロセスを実施します。リスクの対応は下記の「回避・低減・移転・受容」に大別でき、リスクに適した対応の選択もしくは組み合わせが必要です。

回避	リスクの原因となる行動の実行を避ける方法。影響度や発生見込みの高い場合に選択される。
低減	リスクが発生する可能性や、発生時の影響を小さくする方法。BCPの策定などが該当する。
移転	リスクを外部に移して、影響を小さくする方法。保険加入などが該当する。
受容	事前の対策を講じず受け入れる方法。対応の費用対効果やリスクの影響度で判断される。

トラブルの未然防止のみならず拡大防止や損失の最小化・再発防止など、企業のリスクに応じて事前事後における対応策の検討が求められます。また、時勢や環境の変化に対応できるように「評価と対応」方法を継続的に見直す取り組みも肝要です。

なお、リスクマネジメントに関してはISO（国際標準化機構）によりISO31000という規格が制定されています。認証規格ではありませんが、ガイドラインや参考材料として活用されています。

コンプライアンスとコーポレートガバナンスの違い

コーポレートガバナンスは、企業統治と訳される言葉で、コンプライアンスと同じく企業経営の健全化を志向する取り組みです。金融庁と東京証券取引所の『コーポレートガバナンス・コード』では、コーポレートガバナンスは「会社が、株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で、透明・公正かつ迅速・果断な意思決定を行うための仕組み」と定義しています。

コーポレートガバナンスでは、不祥事から自社を守り持続的な企業価値向上につなげるべく、下図のように経営監督機能と業務執行機能を規律・統制します。先の金融庁による内部統制の定義では、内部統制は業務執行を担う企業内の仕組みづくりであるため、コーポレートガバナンスに内含される関係性にあります。

つまり、上位にあたるコーポレートガバナンスを機能させて企業経営の透明性獲得や企業価値向上を実現するためには、内部統制が達成されている必要があり、それは同時にコンプライアンス管理も徹底されている状態となります。

医療におけるコンプライアンス

コンプライアンスは一般的にビジネス用語として知られていますが、医療用語としての一面もあります。医療用語としてのコンプライアンスは「患者が医師の指示通りに治療を受ける」という意味です。処方薬の服用に特化した場合では、服薬コンプライアンス（服薬遵守）という言葉も使われます。反対に、患者が医師の指示に従っていない状態は、ノンコンプライアンスと表現されます。

ただし、医療現場においてもビジネスと同じく「法令、組織規範、社会倫理の遵守」の意味でコンプライアンスという言葉を使用するケースもあるため、文脈の的確な読み取りが求められます。

なお、昨今では「治療方針について医師と患者が相互理解したうえで、患者が積極的に治療に従う」という意味の“アドヒアランス”という言葉も普及しています。一方向的な治療から脱却している点でコンプライアンスと区別されている概念ですが、混同されやすいため注意が必要です。

企業コンプライアンスが重要視されている理由

企業経営においてコンプライアンスが重視されている背景には、以下の３つの理由があります。

• 情報発信と拡散の容易化
• 企業が果たすべき社会的責任への関心の高まり
• 経営環境の変化への適応

企業不祥事の多発を背景に一般に普及したコンプライアンスですが、近年では特にSNSの浸透を受けて企業経営における重要度を増しています。個人の情報発信力が高まった結果、企業の誤った対応が即座に“炎上”につながるケースは枚挙にいとまがなく、あらゆる場面でリスク管理が必要になるからです。

また、国際的に関心が高まっているSDGsやESGの影響もあり、倫理観や社会規範に沿った企業活動は社会的に注目を集めています。コンプライアンスに違反し世間の信頼を失墜させる行為は、企業イメージを損ない、売上の減少や資金調達の難航（投資評価の低下）、社内モチベーション低下、人材流出などにつながる恐れがあります。特に現在は、社員個人の情報発信が容易な環境も相まって情報流出という背信行為のリスクを高めているうえ、すさまじい情報拡散力は損害をいともたやすく拡大します。

さらに、グローバル化などによる経営環境の急速な変化に伴って、考慮しなければならない新たなリスクも発生している状況です。例えば、海外市場をターゲットにする際には、ステークホルダーの文化や風習、商慣行への理解を踏まえた事業展開が求められます。ビジネスの対象とする市場が多様化すれば、企業として果たすべき社会的責任が求められる領域も広がります。変化の激しい環境下で適切な行動を組織レベルで統制するためには、コンプライアンス管理体制の強化が不可欠な状況です。

コンプライアンスリスクとは

ここでは、経営に与える影響の大きいコンプライアンスにまつわるリスクについて解説します。

コンダクトリスクとは

コンプライアンスのリスクを理解するうえで、最も重要なキーワードがコンダクトリスクです。コンダクトリスクとは、「社会倫理に 悖る （ もとる ） 行為」「商慣行に反する行為」「顧客の視点が欠如している行為」などによりステークホルダーに悪影響を及ぼすリスクを指します。ポイントは、法令などでルールが定められていない行為も対象としている点で、例えば「高齢者への強引な営業行為」なども当てはまります。

なお、コンダクトリスクの視点で注視すべき「顧客や市場、社会からの要求に応えられない（基準を満たさない）不適切な行為」はミスコンダクトと言われます。利益相反につながる不適切な販売行為や社内のハラスメント行為、市場操作や不透明な財務報告などはいずれもミスコンダクトであり、企業活動において無数に発生し得ます。

社会倫理までを対象とする広義のコンプライアンス維持には、コンダクトリスクの管理が不可欠です。顧客・社員・社会・株主などステークホルダーの視点に立った組織としてのリスク管理はもとより、健全な行為の実践を支える企業文化醸成に向けた取り組みも求められます。

コンプライアンスリスクの分類

的確なリスク対策を講じるためには、リスクを適切に整理する取り組みが必要です。一般的にコンプライアンスに関するリスクは、「対象の違い」と「行為形態の違い」で分類可能です。対象の違いの観点では、「法令」「社内規則」「社会倫理、社会的責任」など影響対象の違いでリスクを区分します。ただし、この分類は大きな枠組みとなり、実際には多くの場合で対象が複合的になる点は留意が必要です。

行為形態の違いは、「故意・過失」そして「作為・不作為」による分類です。「故意・過失」は、不適切な行為を生む動機にあたる“意図”の観点による違いになります。「作為・不作為」は、積極的な行動を起こしたがための不適切な状況なのか、行動を起こさなかったがための不適切な状況なのかの違いです。

	過失	故意
作為	不正の認識がなく 誤った判断・行動を取る	意図的に 不正を働いている
不作為	問題に気づけず 適切な行動が取れていない	問題を認識していても 適切な行動を取らない

「故意×作為」の“意図的に不正を働いている”状況のみならず、「過失×不作為」の“問題に気づけず適切な行動が取れていない”状況までも、組織として改善しなければなりません。「故意・過失」と「作為・不作為」を組み合わせてリスクを整理し、それぞれに対策を講じる取り組みが求められます。

コンプライアンスリスクの責任と制裁の分類

企業がコンプライアンスに背く行為をすると、以下のような責任および制裁が発生します。

• 民事責任（損害賠償責任、債務不履行責任など）
• 刑事責任（懲役、罰金など）
• 行政責任（是正勧告、業務停止処分など）
• 社内労務責任（謹慎、減給、論旨解雇、懲戒解雇など）
• 社会的責任（不買運動、レピュテーションリスクなど）

コンプライアンス違反の内容によって、これらの責任・制裁は複合的になります。例えば、レピュテーションリスクは、いずれの責任にも付随して生じる恐れがあります。行政処分を受けるような不正行為が報道されれば、企業の信用やブランド価値低下により、顧客の離反や離職者の増加、株価の下落など多大な損失を被るリスクがあるでしょう。

コンプライアンス違反の事例

ここでは、コンプライアンス違反行為の種類ごとに、ビジネスシーンで実際に発生している事例を解説します。

【労働問題に関する違反事例】

労働環境に関わるコンプライアンス違反は、働く人にとってもっとも身近な問題と言えるでしょう。パワーハラスメントやセクシュアルハラスメント、長時間労働や残業代未払い、不当解雇など、数多くのコンプライアンス違反が労務にまつわる領域で発生しています。また、労働問題に関するコンプライアンス違反が、他領域のコンプライアンス違反を引き起こすケースもあります。例えば、パワーハラスメントを伴う過度な業績の追求により、追い詰められた社員が不正な販売に手を染めてしまう場合などです。

かねてより社会的に問題視されていた不当な労働環境は、「働き方改革」の名のもとに法整備が進み、行政処分や刑事罰の対象となる重大な問題としての認識が広まりました。悪質なケースは、ステークホルダーからの信用低下や離職者増加などのリスクに直結し、組織の存続に関わる事態を引き起こしかねません。

【情報漏えいに関する違反事例】

業務上知り得た機密情報や個人情報の流出は、近年注視されているにもかかわらずコンプライアンス違反事例が頻発してしまう領域です。不注意やヒューマンエラーに起因する違反事例としては、「顧客情報が入った社用PCやスマホ、タブレットを持ち歩き、外出先で紛失してしまうケース」「データをメールで送信する際に送信先を誤ってしまい流出するケース」「公共の場で機密情報に関する会話をしたために外部に情報が流出するケース」「社員の家族がSNSで内部情報を投稿し流出するケース」などがあります。

そのほか「顧客情報を故意に持ち出して流出するケース」「サイバー攻撃により流出するケース」など、内外の悪意に起因する違反事例も数知れません。情報漏えい対策としては、内外からの悪意に対するべく、セキュリティサービスへの加入やセキュリティソフトの導入などの取り組みが求められます。いずれのケースでも取引先や消費者に直接的な損害を与えてしまう危険性が高いため、情報漏えいは細心の注意を払うべき領域です。

関連コラム：サイバー攻撃のリスクから事業継続を考える～自然災害とは異なるIT-BCPの考え方とそのポイント～

【不正な経理会計に関する違反事例】

不正な経理会計は、コンプライアンスが注目されるきっかけにもなった領域であり、今なお徹底したコンプライアンス対策が求められている重要テーマです。具体的な違反事例としては、企業が実態以上に経営状態を良く見せようとする粉飾決算、個人レベルで発生する横領・着服・キックバックなどがあります。そのほか、支援金や助成金の不正受給を、組織ぐるみで実行するケースもあります。

不正会計は、個人が多くの成果報酬を得るために業績を水増しするケースや、組織や経営層への忖度や自己保身が働くケース、経営層が積極的に関与しているケースなど、パターンはさまざまです。赤字を隠して破産直前まで自転車操業を続けた結果、数多くのステークホルダーに損害を与えてしまうケースもあります。社会に与える影響が大きいため、不正会計は刑事罰や民事での損害賠償請求など、厳しい責任と制裁の追求が生じます。

【その他の故意的な違反事例】

ここからは、コンプライアンス違反事例を「故意」と「過失」に別けて解説します。

先に挙げた事例を除く故意のコンプライアンス違反事例では、製品性能や仕様の偽装（データの改ざん）や、景品表示法違反、談合、不十分な食品衛生管理、著作権法違反などがあります。企業・組織あるいは社員の意図的なコンプライアンス違反は、顧客に損害を与えてしまう悪質な行為です。談合やカルテルは、課徴金などのペナルティーで経営破綻に陥るケースもあります。

故意のコンプライアンス違反は、行為の悪質さゆえに、発覚した時のダメージも大きくなります。そのため、発生そのものを未然に防ぐ取り組みが特に重要です。発生した後では、「不当に利益を得ている状態を維持する」ために、「不正の発覚を恐れる」ために、さらなる偽装や隠蔽行為につながってしまいます。

【その他の過失的な違反事例】

過失的にコンプライアンス違反を犯してしまうケースでは、一般に向けて開示した情報の誤謬（スペックの誤記など）、取引先の不正行為、食品衛生の事故などがあります。これらは、不正の意図が無く発生するケースですが、ステークホルダーへの背信行為には変わりなく、企業不祥事として認識されます。

法整備が進んでいない領域の事例でも、未然防止や被害拡大防止の対策が講じられていなければ、社会的要請に応えられていないものとみなされ、企業の信用を失墜させます。法令の改正や変更はもとより、時代とともに変容する社会の価値観を敏感に察知し、臨機応変に対応する柔軟性と行動スピードが求められます。

コンプライアンス違反の原因とは

このように、コンプライアンス違反には多様なケースがあり、何かひとつの対策を打てば万全ということはありません。それぞれのケースで適切な対策を講じるには、違反を引き起こす原因を明らかにする必要があります。ここでは、コンプライアンス違反の原因を追及する際にヒントとなる理論を解説します。

不正のトライアングルとは

不正のトライアングルとは、「機会」「動機」「正当化」の３要素が揃った際に、人は不正行為を働きやすいとする理論です。アメリカの犯罪学者ドナルド・R・クレッシー氏が提唱した理論で、コンプライアンス違反の状況整理に有効な枠組みとして知られています。

例えば、業績のノルマに追われている（＝動機）営業担当が、監査の抜け道を見つけてしまい（＝機会）、「会社のためには仕方がない」という意識（＝正当化）を持った際などは、３つの要因が揃い不正が起こりやすい状況となります。３要素の観点から不正の未然防止や早期発見を可能にする対策を講じて、それぞれが不正のストッパーとして機能するような仕組みづくりがポイントです。

割れ窓理論とは

割れ窓理論とは、建物の窓が割れたまま放置していると、誰もそこに注意を払っていないという状態を示してしまい、やがて他の窓も割られてしまうという考え方です。軽微な犯罪が重大な犯罪へとつながる犯罪の連鎖を示す理論で、アメリカの犯罪学者ジョージ・ケリング氏によって提唱されました。同氏は、軽微な犯罪の徹底した取り締まりが凶悪犯罪の抑止に効果的であるとしています。

犯罪分析以外にも割れ窓理論は応用されています。例えば、テーマパークでは“ごみ１つ落ちていない”環境が、顧客の利用マナー向上につながっています。また、アップル社の共同創業者であるスティーブ・ジョブズ氏は、経営不振に陥っていた会社を救うべくさまざまな改革に着手。その際に、割れ窓理論に倣って規律の乱れを徹底的に正し、オフィス環境と社員の意識改革を進めました。

割れ窓理論のポイントは「小さな乱れが重大なコンプライアンス違反につながる危険性を高める」という点と、「徹底して小さな乱れから正せれば組織全体で高い倫理観を維持しやすくなる」という点です。小さな問題を放置せず、つぶさに原因を追究し取り除いていく姿勢が、組織全体の健全化には欠かせません。

コンプライアンス違反を防ぐ対策の手順とポイント

ここでは、コンプライアンス違反を起こさないために、組織で徹底すべき対策方法を解説します。新たにコンプライアンス対策を実践する際には、下記の４ステップが必要です。

• ① コンプライアンス違反につながるリスクを洗い出す
• ② 企業方針と行動規範、組織規程、組織体制を整備する
• ③ 社内教育を徹底し、健全な職場環境・働き方へ変革する
• ④ 継続的なモニタリングとアップデートを実施する

【STEP①】コンプライアンス違反につながるリスクを洗い出す

コンプライアンス遵守を脅かすリスクの洗い出しは、社員へのヒアリングや、既存マニュアルおよびワークフローの見直しから始まります。業務進行上の“ムリ・ムダ”、判断や行動の基準が明文化されていない業務、属人化・暗黙知化している業務、ルール策定時から長時間経過している業務などは、コンプライアンスの維持を脅かす危険性があるでしょう。

また、顕在化しているリスクのみならず、不正のトライアングルにある「動機・機会・正当化」の観点などを活用した、問題の全体像と根本原因を追究する姿勢も肝要です。

【STEP②】企業方針と行動規範、組織規程、組織体制を整備する

次に、コンプライアンスに対する企業の方針を明文化します。そのうえで、法令と社会に対してどのように責任ある活動を実践していくのか、行動規範に落とし込みます。さらに、就業規則や社内規定・ルールを設定し、ガイドラインやマニュアルという形で全社に共有します。社内規定の策定では、違反時の罰則規定や責任範囲の明文化も必要です。

組織体制づくりでは、コンプライアンス違反の発生自体を防ぐ視点と、違反発生時の被害拡大を防ぐ視点がポイントです。具体的には、「部署横断的なコンプライアンス推進委員や専任部署」「自浄作用を機能させるための内部監査」「違反発覚・発生時の報告ルートとなる通報（相談）窓口」の設置などがあります。また、外部専門家との連携体制の構築も有効でしょう。

【STEP③】社内教育を徹底し、健全な職場環境・働き方へ変革する

ルールと体制が整った後は、社員の意識と行動をより高水準に導くための、教育・啓蒙活動を実施します。コンプライアンスの全社員研修に、各社員の業務内容に合致する具体的な違反行動と対策のケーススタディや最新事例、違反事例の損害推定などを盛り込むと、社員の意識と行動変容に効果的です。教育を通じて、インテグリティと呼ばれる「誠実さ・高潔さ」の醸成を図り、コンプライアンス違反を発生させない組織文化づくりを推進すべきでしょう。

割れ窓理論が示しているように、小さな不正や違和感でも見逃さない環境づくりはコンプライアンス維持に不可欠です。細かなコミュニケーションが取りやすいオフィス空間、業務の見える化を促進するタスク管理ツールの活用、社員端末の統合管理とセキュリティ対策、機密文書のデジタル管理などは、コンプライアンス維持に有用な手段です。

【STEP④】継続的なモニタリングとアップデートを実施する

コンプライアンス施策は一度整備して終わりとせず、継続的なモニタリングを実施します。意図通りに機能しているか、形骸化していないかをチェックし的確にフォローアップします。また、制度の抜本的な見直しを必要とするケースもあります。社会情勢や市場環境、新しいサービスの展開、技術革新など企業活動にまつわる環境の変遷とともに、対応すべき法令や組織として求められる行動・責任が変化するからです。

一方で、短い期間での頻繁なルールの追加や変更は、社員の負担を増やし機能不全に陥るリスクがあります。また、ステークホルダーの心象もよくはならないでしょう。コンプライアンス対策は、社会情勢に応じて変化させる柔軟性と、一度決めた対策を半期や年次レベルで取り組む持続性の、両方が必要です。

多層的に防御するスイスチーズモデル

スイスチーズモデル（リーズンの軌道モデル）とは、イギリスの心理学者であるジェームズ・リーズン氏が提唱した安全対策モデルで、タイプの違う複数の施策で多層的な対策を講じる方法を示します。

スイスチーズとは、複数の穴が空いている板状のチーズを指します。チーズ１枚だけなら針を通せますが、何枚か重ねれば穴がふさがり、針を通せなくなります。転じて、１つの対策（穴の開いたチーズ１枚）だけでは万全でなくとも、複数の対策を重ねれば（チーズを重ねる）、トラブルの発生（針が通ってしまう状態）を防げる、という理論です。

スイスチーズモデルは、新型コロナウイルス対策や情報セキュリティ対策、製造業や医療現場の安全対策など、コンプライアンス対策以外にもさまざまな業界・場面で活用されています。ポイントは、“人は弱く、外部作用によりミスを犯してしまう”という性弱説の視点に立ってエラーやミスの“事故化”を防ぐ発想です。人の注意力や道徳感情に依存せず違反や事故の発生を防ぐ環境づくりはもとより、セーフティネットとなる対策の用意が重要です。

コンプライアンス違反を防ぐためのIT活用

すでに多くの企業がコンプライアンス維持にITを活用し、コンプライアンス違反を起こさない“仕組み”を構築しています。

例えば、情報漏えいを防ぐIT資産管理システムは、各種デバイス・ハードウェア・ソフトウェアの管理のほか、セキュリティソフトのライセンス更新管理、操作ログの管理を実現しています。勤怠管理システムと連携させれば、テレワーク環境下での不適切な時間外労働の実態を可視化するほか、勤務時間外におけるPC利用の制限も可能です。

また、システムの改ざんを検知するソフトウェアや、データ通信を暗号化し高い安全性を組織にもたらすクラウドサービスは、データセキュリティの強化によるコンプライアンス維持に貢献しています。デバイスの盗難・紛失時には、位置情報追跡やリモートでのデータ消去が可能なバックアップサービスが、万が一のセーフティネットとして機能します。

そのほか、社内のメールやチャットのやり取りを監視し、ハラスメントや機密情報に関する言葉を検知するソリューションも登場しています。

J-SOX法とデータガバナンス

現在、すべての上場企業は、監査法人や公認会計士の監査の下で作成された内部統制報告書の提出を、事業年度ごとに義務付けられています。これは、一般にJ-SOX法と呼ばれる内部統制報告制度です。

J-SOX法はアメリカのSOX法に倣って整備された制度ですが、日本版のJ-SOX法制定にあたって強調されているパートがあります。それが、内部統制の構成要素の１つである「IT（情報技術）への対応」です。つまり、コンプライアンスが目的の１つである内部統制の実現において、ITの活用は必要不可欠なものとして認識されているのです。局所的な問題解決のみならず、企業活動全体におけるコンプライアンス体制を強化するためにも、データガバナンスの整備を含むITによる企業活動の統制を推進していく必要があるでしょう。