法務・コンプライアンス責任者が見る ERM：法令遵守リスクのマッピングと有効性の証明

法令遵守リスクは ERM のどこに位置づけられるのか？法務・コンプライアンス責任者とリスク管理推進部門はどう役割分担するのか？

役割分担の枠組み：法務・コンプライアンス責任者は法令遵守リスクの「中身」（法令、義務、罰則、案件）を、推進部門は「方法と報告」（評価尺度、リスクマップ、取りまとめと報告）を担います。守則に CRO という職名はなく、「リスク管理の推進・執行部門」という用語です。内部統制処理準則は公開発行会社に適用され、リスク管理実務守則は上場・店頭登録会社が参照するものです。非公開発行会社は対象外ですが、任意に参考にできます。

法令一覧をリスクマップ上の一マスにするにはどうするか？発生可能性と影響はどう評価するか？

法令一覧が答えるのは「どの法律があるか」、リスクマップが答えるべきは「どれが最も起こりやすく、起きたらどれほど深刻か」です。枠組み：

1. 適用判定：法令ごとに、適用されるか、どの法人・どの事業に適用されるかを判断
2. 影響：罰則の上限を影響の参考値とし、市場参入、顧客契約、評判を加える
3. 発生可能性：現在の管理状況、過去の不備、監査での指摘を見る
4. KRI：例として、評価未了の法改正件数、期限超過の未是正不備件数

当局の調査や訴訟が進行中のとき、リスク登録簿、財務諸表、年次報告書で同じ説明をするには？

同じ案件が三か所に現れるため、説明をそろえる必要があります。

• リスク登録簿と取締役会報告：案件の状況、想定される結果の幅、対応策（守則第 15 条）。
• 財務諸表：台湾の公開発行会社は、金融監督管理委員会が認可した IFRS に基づき財務諸表を作成します。IAS 37 の判断枠組みは、過去の事象の結果として現在の債務があるか、資源の流出の可能性が高いか（起こらない可能性より高いか）、金額を信頼性をもって見積もれるか。三つを満たせば引当金を認識し、流出の可能性が高くない場合は偶発負債として、可能性が極めて低い場合を除き注記で開示します。
• 年次報告書：年次報告書準則第 20 条第 6 款は、国内外の重要な政策・法律の変化が会社の財務・業務に与える影響と対応策の分析を求めています。

結論は監査人と法律顧問が個別に判断します。法務・コンプライアンス責任者は、三か所が同じ案件評価を引用するよう確保します。年次報告書準則は公開発行会社に適用され、非公開発行会社は対象外ですが、任意に参考にできます。

コンプライアンス体制が「有効」であることはどう証明するのか？当局や検察は何を見るのか？

規程や証明書があることは、有効であることと同じではありません。参考になる公的な枠組みが二つあります。

• 米国司法省刑事局「企業コンプライアンス・プログラムの評価」（2024 年 9 月改訂版）：検察官は三つの基本的な問いを立てます。プログラムは適切に設計されているか。真摯かつ誠実に運用されているか、すなわち有効に機能するだけの資源と権限があるか。実際に機能しているか。そして違反行為の時点と起訴判断の時点の双方でプログラムの有効性を評価します。
• 英国司法省「贈収賄法」ガイダンス：六つの原則で「適切な手続」を説明し、特定のマネジメントシステムを指定していません。抗弁が認められるかは裁判所が個別に判断します。
• ISO 37001 自体も、規格に適合しても贈賄が起きないことを保証するものではないと述べています。

法務・コンプライアンス責任者が用意できる証拠：法令遵守リスク評価の記録、資源と権限（人員、予算、取締役会への報告経路）、研修と内部通報対応の記録、監査での指摘と是正、案件や法改正に応じて体制を見直した記録。

金融持株会社と銀行では、法令遵守責任者とリスク管理責任者はどう分担し、誰に報告するのか？

金融持株会社と銀行業は「金融控股公司及銀行業内部控制及稽核制度実施弁法」に従います。

金融監督管理委員会の「金融持株会社検査マニュアル」も、総経理直属の法令遵守専任部門を設置しているかを検査項目としています。分担の枠組み：法令遵守部門は法令の特定、遵守評価、研修を担い、リスク管理部門は法令遵守リスクを他のリスクと同じリスク選好と報告に組み込み、両者の報告は同じ法令一覧と案件リストを引用します。

ESG 評価と取締役会報告：法務・コンプライアンス責任者の法令遵守・誠実経営の報告をどう組み込むか？

ESG 評価の対象は上場・店頭登録会社です。非公開発行会社は対象外ですが、任意に参考にできます。三つを一つの年次報告にまとめると、取締役会が全体像を把握しやすく、三部門がばらばらに説明する事態も避けられます。

積穗科研は法務・コンプライアンス責任者の ERM 対応をどう支援するのか？

• 一枚のリスクマップ：COSO の五つの構成要素で取締役会報告を組み立て、ISO 31000 のプロセスで手法を統一し、サイバーセキュリティ、事業継続、AI、個人情報のリスクを一枚のリスクマップに集約。すべての成果物を守則の条番号と評価指標に対応づけ
• 動的リスク登録簿：四半期ごとに更新、KRI 自動アラート、取締役会向け可視化ダッシュボード
• 認証の境界：ERM は認証できず、ISO 31000 は認証用ではないと明記
• 期間（サービスページ記載）：4 段階で通常 4〜6 か月、最初の取締役会報告は通常 3 か月目の末
• 導入後：90 日間のフォローアップと年次レビュー
• 担当者：副総経理・取締役級のコンサルタントが一貫して直接担当し、外注しません。実名顧客：台湾証券取引所（TWSE）（内部統制制度と ISO 9000・ISMS の統合支援）

詳しくは：ERM 制度構築支援、ERM コンサルタントの選び方、ERM の予算と期間、ISO 37001 コンサルタントの選び方。無料のメカニズム診断を申し込む