贈収賄リスクはリスクマップのどこに置き、評価ではどの場面を対象にすべきですか？
「上市上櫃公司風険管理実務守則」第 18 条では、贈収賄は誠実性リスクであり法令遵守リスクでもあります。贈収賄リスク評価（ISO 37001 箇条 4.5）でよく扱う場面：
- 接待と贈答、手数料
- 代理店と販売店
- 政府とのやり取り
- 寄付と協賛
- 海外市場
評価結果は管理策に結び付けます。第三者デューデリジェンス、財務管理と承認、通報窓口と調査手続き、贈収賄防止機能です。この守則は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
グループに海外子会社と代理店があります。国境を越えた贈賄の法的リスクをシナリオ分析にどう入れますか？
「域外適用がある」の一言で済ませず、法人ごとに判断する必要があります。
| 法規制 | 適用の要点 |
|---|---|
| 貪汚治罪条例第 11 条 | 外国、中国大陸、香港、マカオの公務員に対し、地域をまたぐ貿易、投資その他の商業活動に関して贈賄することも処罰され、中華民国の領域外での行為にも適用されます |
| 米国 FCPA | 米国の証券発行者（外国発行者を含む）、米国内の企業（台湾グループが米国に設立した子会社を含む）とその取締役、従業員、代理人 |
| 英国贈収賄法第 7 条 | 英国で設立された法人、または英国で事業の全部または一部を行う法人。代理店や子会社などの関係者による贈賄で罪が成立し得ます |
ある法人が適用範囲に入るか、どのような責任が生じるかは法的判断であり、弁護士が個別に判断します。
誠実性リスクの KRI はどの記録から取れますか？
ISO 37001 を運用すると、監査可能な記録が残ります。リスク評価の記録、第三者デューデリジェンス、通報の処理記録、教育と監査の証跡です。CRO はこれらの記録から指標を選べます。たとえばデューデリジェンスの完了状況、通報案件の受付と調査の進み具合、監査指摘の改善状況で、四半期ごとに追跡し、年次報告に入れます。
管理のポイントは承認、支払い、接待と贈答、調達（箇条 8.3、8.4、8.7）にあり、懸念の提起と調査は箇条 8.9、8.10 です。
ESG 評価の誠実性指標と年次報告書の開示に、ISO 37001 はどんな証跡を出せますか？
関連する ESG 評価の指標：
- S-7：取締役会が承認した誠実経営方針、誠実経営を推進する専任または兼任の部門、実施状況の説明、少なくとも年 1 回の取締役会への報告（2027 年度の文言。2026 年度は S-7 と S-8 の 2 問）
- S-9：社内外の人による違法（汚職を含む）・非倫理的行為の通報制度を会社のウェブサイトで詳しく開示しているか
公開発行会社の年次報告書のコーポレートガバナンス報告でも、誠実経営の実施状況を開示する必要があります。ISO 37001 の方針、リスク評価の記録、教育と監査の証跡は裏付けになります。ただし、ある指標に対応するかは、その年度の指標の文言と一つずつ照らし合わせる必要があります。ESG 評価の対象は上場・店頭公開企業で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
ISO 37001 の認証を取れば、委員会に「贈収賄リスクは管理できている」と報告できますか？
そうは言えません。ISO 37001 自体が、規格への適合は贈収賄が起きないことを保証しないと述べています。英国贈収賄法第 7 条の「適切な手続」の抗弁が認められるかは裁判所が個別に判断し、英国司法省のガイダンスは 6 つの原則を示すだけで、特定のマネジメントシステムを指定していません。
認証が示すのは仕組みが動いていることで、リスクがゼロであることではありません。委員会への報告では、証明書そのものではなく、残留リスクと管理策の運用の証跡を示すべきです。
2016 年版の証明書を持っています。どうすればよいですか？導入にはどれくらいかかりますか？
現行版は 2025 年 2 月発行の ISO 37001:2025（第 2 版、2016 年版を置き換え）です。英国 UKAS とカナダ SCC は、認証取得済みの組織は 2027 年 2 月 28 日までに移行する必要があり、期限後は 2016 年版の証明書は無効になると公表しています。実際の移行の手配は認証機関に確認してください。2025 年版の主な変更点は、コンプライアンス文化の重視、利益相反への対応、贈収賄防止機能の明確化、気候変動に関する条項の追加です。
サービスページ記載の期間：組織の規模とリスクの大きさによりますが、典型的には 1〜2 四半期で制度構築と内部監査を終え、その後に認証へ進みます。
積穗科研は CRO の ISO 37001 をどう支援しますか？
- 同じリスクの言葉：ERM のリスクの言葉を骨格に導入し、既存の内部統制と文書体系を共有して、二重の仕組みを避けます
- 法人ごとの判断：貪汚治罪条例第 11 条、米国 FCPA、英国 Bribery Act の適用を法人ごとに判断します
- 業務への影響を抑える：インタビューとワークショップを既存の会議のリズムに組み込みます
- 役割の分離：積穗科研は支援を行うコンサルタントで、認証はしません。具体的な法的責任は弁護士が判断します
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
ISO 37001 贈収賄防止マネジメントシステム、ISO 37001 コンサルタントの選び方、ERM 制度支援。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CRO の ERM 導入：リスクマップ、KRI、取締役会報告はどう作るか？
- CRO から見た ISO 22301：中断シナリオ、RTO、訓練をリスク報告にどう入れるか？
- CRO から見た営業秘密保護：流出シナリオ、合理的な秘密管理措置、KRI をどう設けるか？
- CRO から見た ISO 27001：情報リスクと全社リスクを同じ尺度でどう測るか？
- CRO から見た AI リスク：ISO 42001 と EU AI 法でまず何を決めるか？
- CRO から見た GDPR：制裁金リスク、グループ内移転、漏えいシナリオをどう評価するか？
- CRO から見た NIS2：適用の立場、制裁金、経営機関の責任をどう評価するか？
- CRO から見た EU CRA：市場参入リスク、報告義務、監督の役割をどう整理するか？
- CRO と DORA：ICT 第三者リスクとオペレーショナル・レジリエンスをリスクマップにどう載せるか
- CRO と AI 変革：AI リスクをリスクマップ、KRI、取締役会報告にどう組み込むか