おはようございます。今週は「委託した先」を扱ってきました。最後は、範囲の決め方です。
導入
取引先の管理を設計しようとすると、たいてい同じところで止まる。数が多すぎる。
英国の贈収賄防止ガイダンスは、リスク評価についてこう定めている。
企業は、自社のために関係者が行う贈賄について、外部および内部の潜在的なリスクにさらされている性質と程度を評価する。その評価は、定期的で、情報に基づき、文書化されたものである。
続くコメンタリーに、手続の特徴が3つ並ぶ。そのうちの一つがこれである。
適切な資源配分 ── これは、その組織の事業規模と、関連するすべてのリスクを識別し優先順位を付ける必要とを反映したものであるべきである。
すべてを識別する。ただし、その先に優先順位を付ける、と書いてある。
もう一つは、リスク評価が経営トップの監督下にあることである。順位を付ける作業は、現場では決着しない。どこを薄くするかを決めることになるからである。
米国司法省の評価文書も、同じ側から問うている。第三者の管理プロセスは、会社が識別した企業リスクの性質と水準に、どう対応しているか。
取引先の数に対応しているか、ではない。
Q1
英国のガイダンスが、リスク評価の手続の特徴として挙げているものはどれか。
1. 外部の専門機関による第三者評価を毎年受けること
2. 経営トップによる監督と、優先順位付けを織り込んだ資源配分
3. すべての取引先に同一の調査票を配布すること
4. リスク評価の結果を公表すること
正解: 2
解説: 挙げられているのは、経営トップによる監督、優先順位付けの必要を反映した資源配分、リスクを評価・再評価するための内部および外部の情報源の特定、そしてデューデリジェンスの照会である。
判断の型: 優先順位は、現場の判断でなく経営の監督の下で決める。薄くする場所を決めるのは、責任を取る側の仕事である。
誤答の罠: 3は公平に見える。ただし全社一律の調査票は、いちばんリスクの高い相手に対していちばん薄くなる。答える側の負担も、リスクと無関係に均される。
Q2
同じガイダンスは、贈賄防止の手続の水準について、何に比例すべきだとしているか。
1. 取引先の数
2. 売上高
3. 直面する贈賄リスク、および事業の性質・規模・複雑さ
4. 従業員数
正解: 3
解説: 直面する贈賄リスクと、事業の性質・規模・複雑さに比例すべきである、と書かれている。
判断の型: 比例するのは、数でなくリスクである。取引先が1,000社あることは、1,000社を同じ深さで見る理由にはならない。
誤答の罠: 1を基準にすると、網羅性が目的になる。網羅した結果、全部が浅くなる。
Q3(判断分岐)
取引先が900社ある。管理の枠組みを作ることになった。あなたが最初に決めることはどれか。
1. 900社に配る調査票の項目
2. 何を根拠に、深く見る相手と軽く見る相手を分けるか
3. 管理システムの導入予算
4. 年に何社を訪問するかの目標値
正解: 2
解説: 1・3・4は、2が決まってからでないと数が決まらない。分ける根拠が先で、手段と目標はその後である。根拠を決めずに調査票から入ると、900社ぶんの回答が集まって、そのあと誰も読まないという状態になる。
判断の型: 全部を同じにできないと分かった時点で、分ける根拠を先に決める。
誤答の罠: 4を先に置きたくなるのは、目標値があると動き出せるからである。ただし「年20社」は、どの20社かが決まっていなければ、着手しやすい20社になる。着手しやすい相手は、たいていリスクが低い。
監修者から一言
取引先の管理でご相談をいただくとき、最初に出てくるのは「何社あると思いますか」という話です。数は毎回、想定より多い。
そこで全部を同じ深さで見ようとすると、必ず途中で止まります。止まった状態は、何もしていない状態と外からは区別がつきません。
私がお願いしているのは、深く見る相手の条件を先に文章で書くことです。国、業種、公務員との接点、支払いの形、報酬の連動。書いてみると、900社のうち深く見るべき相手は、思っていたより少ないことが多い。
薄くする決定を現場に押し付けないことも、あわせてお願いしています。ガイダンスが経営トップの監督を挙げているのは、この決定が現場では引き受けられないからだと思っています。
実務接続
今日、取引先の一覧を開いて、「深く見る相手」の条件を3つだけ書き出してみる。書けたら、その条件に当てはまる社数を数える。数えられたところから、管理の設計が始まる。
出典(段落単位)
· 英国司法省「The Bribery Act 2010 – Guidance」Principle 3(Risk Assessment) ── 関係者による自社のための贈賄について外部・内部の潜在的リスクへのさらされ方の性質と程度を評価し、その評価は定期的・情報に基づく・文書化されたものであるとされていること、およびコメンタリー3.3が挙げる手続の特徴(経営トップによるリスク評価の監督、事業規模と関連するすべてのリスクの識別・優先順位付けの必要を反映した適切な資源配分、リスクの評価・再評価を可能にする内部および外部の情報源の特定、デューデリジェンスの照会)。 https://assets.publishing.service.gov.uk/media/5d80cfc3ed915d51e9aff85a/bribery-act-2010-guidance.pdf
· 同ガイダンス Principle 1(Proportionate procedures) ── 贈賄防止の手続は、直面する贈賄リスク、および当該企業の活動の性質・規模・複雑さに比例すべきであるとされていること。
· 米国司法省 刑事局「Evaluation of Corporate Compliance Programs」(2024年9月改訂)II.E の Risk-Based and Integrated Processes ── 第三者の管理プロセスが、会社が識別した企業リスクの性質と水準にどう対応しているかという問い。 https://www.justice.gov/criminal/criminal-fraud/page/file/937501/dl?inline=
· ※本文中の日本語は、いずれも原文(英語)の拙訳である。
今週のまとめ(第25〜29便)
· 月: 「関係者」かは契約書の肩書きで決まらない ── 責任の範囲は、書類上の関係でなく実態で決まる
· 火: 委託先から漏れても報告するのは委託元 ── 業務は委託できるが、説明する立場は委託できない
· 水: なぜこの相手が必要なのかを書けるか ── 審査は「悪い材料が無いか」と「良い理由があるか」の両方で見る
· 木: 監査権は持っているかでなく使ったかを見られる ── 使っていない権利は、まず1件使う
· 金: 全部は見られない ── 比例するのは数でなく、リスク
先週見たのは、調べ終わった後に何が変わるかでした。今週見たのは、自社の外にいる相手をどう扱うかです。
並べてみると、五日とも同じところに戻ります。外に出せるのは作業だけで、責任は出せません。誰が関係者かも、報告するのが誰かも、必要性を説明するのも、権利を使うのも、順番を決めるのも、こちら側に残ります。
契約書に書いてあることは、そのうちの一部でしかありません。
今日の一問(返信で教えてください)
あなたの会社では、取引先を「深く見る相手」と「軽く見る相手」に分ける根拠が、文章で決まっていますか?
· A 決まっている
· B 実質的には運用で分けているが、文章にはなっていない
· C 分けていない・分からない
このメールに返信して、A〜Cの一文字だけ送っていただければ十分です。
このシリーズ「朝3分の分岐点」は平日毎朝、実際の事件から「判断の型」をひとつお届けします。来週もよろしくお願いします。
PS(いつでも・何度でも): 最近、「このルール何のためだっけ」と思った瞬間はありましたか。
一行で返信いただければ、必ず私が読んで、私が返します。
このメールには返信できます。感想・異論・「うちの会社ではこうだった」という実例、どれも歓迎です。
水戸貴之/note『コンプライアンスの地図』
このレターが役に立ちそうな方がいたら、転送してあげてください。
登録ページ: compliance-map.beehiiv.com