＜解説＞

いよいよ2022年6月1日より改正公益通報者保護法が施行されます。当フォーラムではこれまで改正公益通報者保護法に関係するニュース等を下記で取り上げてきました。

【役員会 Good&Bad発言集】内部公益通報制度の設計（３）
【役員会 Good&Bad発言集】内部公益通報制度の設計（２）
【役員会 Good&Bad発言集】内部公益通報制度の設計（１）
2022年5月30日のニュース『改正公益通報者保護法施行目前　監査役や社外取は従事者に指定すべき？』
2021年11月4日のニュース『内部通報制度を機能させるための「範囲外共有」防止策』
2021年10月25日のニュース『内部公益通報指針の解説が公表、既存制度は早目にアップデートを』
2021年9月10日のニュース『取締役全員が「公益通報対応業務従事者」として刑事罰の対象となる恐れ』
2020年6月23日のニュース『CGコードの遵守状況に影響も　改正公益通報者保護法改正のポイント』

本稿では、改正公益通報者保護法に対応した内部公益通報制度の整備を終えた上場会社に取材した結果をもとに、上場会社の内部通報担当者であれば気になるであろう論点をいくつか紹介することにします。

「内部通報制度に関する企業等向け内部規程例」等の改定版資料が公開

消費者庁のウェブサイトに消費者庁と他団体との共催説明会の資料として、「内部通報制度に関する企業等向け内部規程例」等の改定版資料が公開されています（消費者庁として公式に認定したものではなく、あくまで共催説明会の資料という位置付けです）。規程例は下記の２種類となっています。

「遵守事項版」は指針の解説の「指針を遵守するための考え方や具体例」に限定しているのに対し、「遵守事項+推奨事項版」は指針解説の「指針を遵守するための考え方や具体例」に加えて、「その他に推奨される考え方や具体例」についてもできる限り反映したものとなっています。自社の規程と「遵守事項版」を対比させ、まずは重要な漏れがないことを確認したのちに、「遵守事項＋推奨事項版」とも対比させ、可能な限り推奨事項も取り込んでいくというのが実務的なアプローチと言えます。

守秘義務と範囲外共有の禁止の違いに注意

守秘義務と範囲外共有の禁止は一見同じことを言っているように感じる向きもあるかもしれません。守秘義務は改正公益通報者保護法12条「公益通報対応業務従事者又は公益通報対応業務従事者であった者は、正当な理由がなく、その公益通報対応業務に関して知り得た事項であって公益通報者を特定させるものを漏らしてはならない。」と定められており、同21条で「第12条の規定に違反して同条に規定する事項を漏らした者は、三十万円以下の罰金に処する。」と刑事罰が用意されています。一方、範囲外共有の禁止は「公益通報者を特定させる事項を必要最小限の範囲を超えて共有する行為」を言います。

どちらも「公益通報者を特定させる事項」を漏らしてしまうことを禁じている点では同じですが、両者を比較すると、まず主体が異なります。守秘義務の方は主体が「公益通報対応業務従事者又は公益通報対応業務従事者であった者」とされています。刑事罰を科すからには、誰が守秘義務を負っているのかが明確に定められていなければなりません。本人にとって不意打ちにならないためにも事業者は書面により指定をするなどの方法で、従事者の地位に就くことが従事者となる者自身に明らかとなる方法により定めなければならないこととされている訳です。一方、範囲外共有の禁止の主体は「事業者の労働者及び役員等」であり、守秘義務を負う者よりもはるかに広い範囲となります。

また、守秘義務は改正公益通報者保護法12条に明記されていますが、範囲外共有の禁止は同法には明記されておらず、同法には単に「事業者がとるべき措置」としか記載されておらず、その内容は内閣総理大臣が定める「指針」に委ねられています。そして、「範囲外共有の禁止」は、この「指針」に明記されています。

守秘義務に反した者（公益通報対応業務従事者又は公益通報対応業務従事者であった者に限る）は上述のとおり刑事罰を科される可能性があります。一方、範囲外共有の禁止に反した者（事業者の労働者及び役員等）は刑事罰を科せられることはありません。もっとも、守秘義務および範囲外共有の禁止のどちらも、違反した場合の罰則（懲戒処分など）を就業規則に定めることで、社内ルールとしてのペナルティを課すことはできます。

なお、「指針」には「通報者の探索の禁止」も定められています。これは公益通報者を特定しようとする行為のことです。「範囲外共有」は「公益通報者を特定させる事項を知っている者」の行為であり、「通報者の探索」は「公益通報者を特定させる事項を知らない者」の行為であるという対比も可能です。「通報者の探索の結果、範囲外共有が行われる」といったように同時に破られることも十分に考えられることから、指針では両者をセットにして「範囲外共有等の防止に関する措置」という表現が用いられています。「通報者の探索」も「範囲外共有」と同様、違反者が刑事罰を科されることはありません。そこで禁止のルールに実効性を持たすためには、就業規則に罰則規定を盛り込むことで、社内ルールとしてのペナルティを課すことが可能となります。

「退職してから１年」の考え方

公益通報者保護法の改正により「当該通報の日前一年以内」に在籍していた従業員（アルバイトや派遣労働者党も含む）がする内部通報も公益通報となり得ることとなりました。この改正は2022年６月１日から施行されますが、2022年６月１日以後に退職した従業員だけが改正法の保護を受けることができるのではなく、2022年５月31日以前に退職した従業員であっても2022年６月１日以降の通報からその要件を充たせば公益通報となり得るということです。

なお、内部通報先が社内掲示板にだけ掲示されているのであれば退職者は通報窓口を認識できません。社内規程を改正して退職者も内部通報をできるようにしたものの、実際の運用フロー（退職者の通報窓口へのアクセス経路の確保、本人確認の方法など）が検討されていなければ画餅に帰すため注意が必要です。

「記録」の考え方とセキュリティホール対策

改正公益通報者保護法の指針によると、事業者は、内部公益通報対応体制を実効的に機能させるための措置として、「記録の保管、見直し・改善、運用実績の労働者等及び役員への開示に関する措置」をとる必要があります。この措置は具体的には次の内容となります。

この中でも業務従事者がとくに気になるのは「記録をどこまで書き込むか」です。「記録」を読んだだけで通報者が特定されるのであれば、記録面から通報者の特定を避けようとすると、記録を一切残さない方が良いということになりかねません。しかし、通報内容に関して紛争が生じた場合は、記録が証拠になりますし、内部通報制度が適切に機能しているかどうかを監査役監査や内部監査で確認しようとすると、業務従事者が実施した記録が監査対象となります。そこで記録は充実させる必要があります。

その一方で、記録に対するセキュリティを強化しておく必要があります。具体的には、紙のファイルであれば鍵のかかるロッカーで保管し、データであれば必ずパスワードを付して関係者以外はアクセス不能のフォルダ内で管理することが考えられます。ただし、鍵のかかるロッカーといえども、鍵（とくにスペアキー）を誰が管理しているのか、スペアキーの管理状況はどうかについては事前に把握しておきましょう。ここがセキュリティホールとなり、範囲外共有が起きる可能性があるからです。また、社内のシステム（メール、ファイル共有システム、社内SNS）には必ず管理者権限を持つ管理者がいます。ユーザー権限では関係者以外はアクセス不能となっているフォルダであっても、管理者が管理者権限を使えば簡単に入ることができる可能性が“大”です。また、金融機関や一部の事業会社ではメールのモニタリングはオフィシャルな形で日常的に実施されていますが、そのような環境下でメールにより「公益通報者を特定させる事項」をやり取りすれば、メールのモニタリングを通じて「公益通報者を特定させる事項」がダダ洩れになります。内部通報用のWEBフォームを設置したとしても、通報があったことがメールで届くのであれば、結局のところメール管理者にモニタリングされる可能性があります。最近ではリモートワークの普及に伴い、リモートワークに従事する者のPCの操作状況や画面を監視するサービスも普及しましたが、こういったサービスの同時利用に伴い「公益通報者を特定させる事項」がやはりダダ洩れになる可能性があります。さらに、ランサムウェアなどで「公益通報者を特定させる事項」が社外流出すれば、内部通報制度への信頼が一気に損なわれることは明らかです。「内部通報者とのやり取り」「公益通報の業務従事者間でのやり取り」「記録の保管」にあたってはくれぐれもセキュリティホールがないかについて細心の注意を払っておくべきです。

さて、以上の解説をご覧いただければ、誰の発言がGOOD発言か、もうお分かりですね。正解は以下のとおり。

＜正解＞

取締役B：「会社のメールアドレスや社内SNSでのやり取りは、いくら閲覧者を限定したとしても範囲外共有のリスクがあります。」
（コメント：会社のメールシステムにはシステム管理者が存在し、管理者権限で従業員のメール本文を閲覧できるようになっているのが通常です。また、社内SNSにもシステム管理者が存在し、システム管理者はクローズドな投稿であっても内容を確認できるようになっている場合があります。このように内部公益通報の情報をやり取りする際には、システムの管理者権限を用いることで範囲外共有が可能になってしまうリスクがあるのですが、意外と見過ごされがちなリスクでもあります。そのリスクを指摘できた取締役Bの発言はGood発言です。）

取締役C：「単に退職者からの通報を受け付けるための窓口を作るだけでは不十分であると考えます。退職者がその窓口の存在を認識できるようにしなければなりません」
（コメント：退職者からの通報を受け入れることができるように規程を変え、窓口を整えたところで、肝心の退職者に当該窓口へのアクセス方法が伝わらなければワークしません。せっかく良い制度を整えたところで、実際にワークしなければ意味がありません。取締役Cの発言は実際にワークするかどうかという視点から行われたGood発言です。）

取締役A：「結局のところ、公益通報業務従事者でない者であっても範囲外共有をすると刑事罰を科されることになるわけですね。」
（コメント：改正公益通報者保護法に基づく内部通報制度の運用に際して刑事罰を科される可能性があるのは「公益通報対応業務従事者又は公益通報対応業務従事者であった者」であり、かつ、刑事罰を科される可能性があるのは、守秘義務違反（正当な理由がなく、その公益通報対応業務に関して知り得た事項であって公益通報者を特定させるものを漏らした場合）てす。取締役Aの発言は守秘義務の内容を理解しておらず、守秘義務と範囲外共有の区別も付いていないBad発言です。）

取締役D：「そうですね。ただ、2022年6月1日以降に退職する従業員が対象なので、その者に通報窓口の案内用紙を配ればいいのではないでしょうか。」
（コメント：退職者の通報が内部公益通報たりうるのは「2022年6月1日以降に退職後１年以内に行われる退職者からの公益通報」です。2022年6月1日以降に退職する従業員だけが対象ではなく、2022年5月31日以前に退職した退職者からの通報も退職後１年以内であれば公益通報たりえます。）