2021年12月、EUが公益通報者保護指令を発効した。現在、この指令書では、250人を超える従業員を抱えるEU域内企業では、従業員は内部で企業不正行為に関する懸念を上司に報告・処理すべき事項として、それに対する報復を防止するための効果的な内部メカニズムを実施することが義務付けられている。2023年12月には、この指令は従業員50人以下の企業にも適用を拡大する予定である。

本指令は国内レベルで採用されなければならない最低基準を規定しており、EU加盟国では、選択すれば、より多くの保護を提供するための追加規定を採用することも可能である。この規定は、消費者保護、公共調達、製品安全、環境被害、マネーロンダリング、テロ資金供与、公衆衛生、原子力安全など幅広い分野でEU法令違反を報告した個人に適用される。

さらに、保護を受ける資格を有する者の範囲や定義は、非常に広範である。自営業者、就業前の新入社員、株主、ボランティア、サプライヤー、取締役会メンバー(執行責任取締役以外を含む)、通報者の通報を支援するファシリテーター、通報者の同僚や親族、通報者に関連する法律機関などにも保護が及ぶ。

基本的に、この指令は、社内そして公益的な立場で発言するすべての人を保護することを目的としている。要求されると、企業は人事施策とリスク・コントロールを見直し、確実に従業員が適切に保護され、インシデント報告書が上司に提出され調査・対応する必要がある。

また、彼らは、規則に従うのに十分な資源を配分されなければならない。企業は、自社独自の報告経路を設けるか、第三者へ依頼するかし、報告経路を確保しなければならない。さらに、報告書の受領を7日以内に確認し、取られた措置(または取られなかった措置)から3ヶ月以内にフィードバックを行い、受領したすべての報告書を保管する体制を整備しなければならない。

実施における問題

この新たなルールは不確実性を生み出す。EUでは、各国が指令をどのように解釈し、法令として施行するかについては、広い範囲で異なることを認めている。現在、欧州各国で、公益通報者保護指令の実施段階は大きく異なっている。法律事務所DLAパイパー社によれば、2022年2月現在、EU27カ国のうち15カ国では、公益通報者保護法が一部だけしか、または全く施行されていない。

この中の4カ国(オーストリア、ドイツ、ハンガリー、イタリア)では、必要な法律を提案すらされていない。

その結果、欧州を拠点として働く従業員は、懸念を表明したとしても、法的保護をほとんどまたは全く受けない可能性がある。たとえこれらの国が指令を国内法に移行したとしても、同じ規則であっても27のバリエーションが生ずることから、保護レベルが異なったものになる可能性が高い。EUで業務を展開する企業にとっては、従業員がまず不正行為を報告する方法とその報告先について、コンプライアンス上の悪夢に直面する可能性がある。企業は、各国でのEU指令の適用状況を綿密に監視し、組織のグローバルな内部告発プログラムへのその後の影響を考慮すべきである。

さらに問題を複雑にしているのは、指令では「内部告発」を明確に定義していないことである。重要な問題は、この言葉が一部のEU地域の言語では、存在さえしていないことである。指令では「欧州連合法違反」を報告した個人を保護すると言及しているように、国内法の濫用を報告することは、依然として訴追されるリスクとなり得る。加えて、匿名通報による保護の可能性については依然として不明であるとする弁護士がいる一方で、EU諸国の中には、通報者が保護を受ける前に、強力な証拠を確保するという前提を要求する国もある。例えば、会話または口頭による命令よりも、文書が重視される。このように、EU諸国間の違い、その国が提供する保護のレベル、およびその国が保護を実施する実行効力から、多くの短期的な問題が生じるであろう。

保護に関する一つの基準

こうした欠陥はあるものの、専門家達は、EU指令は企業がグローバルな内部告発者保護プログラムを構築するための「基盤」になると信じている。EYの犯罪・誠実性サービスパートナーであるアンドレアス・ピアチェックは、「企業は、管轄区域のどこかで提供される最も強力な法的な保護レベルを、組織の内部告発プログラムの最低基準としてグローバルに使用すべきであるという原則に従うべきである」と述べる。

最も公平で最も透明性の高い解決策が、場所に関係なく、すべての従業員の公益通報者保護を確保する「万能な」アプローチであることに、多くの人々は賛同している。「共通の方針がなければ、全員が同じレベルの保護を保証されているというメッセージを発信するのは非常に難しいだろう」と、従業員参加型プラットフォームのワーキング・コンフィデンス社CEOティム・マーチンは述べる。「異なる方法で対応されることに対して、正当であると不満を感じる人もいるだろう」。

実用的な観点からは理にかなっていると思われる、唯一のアプローチもある。多くの管轄区域で事業を展開する企業にとって、各国ごとで異なる内部告発方針を策定することはコストがかかる。特に、その国で比較的小さなチームが働いている場合にはそうである。「良好で強力な政策が整っていれば、それが現地の法律や規制の要件を満たしているかどうか、あるいはそれを調整する必要があるかどうかを確認することができる」とマーティンは述べた。「内部告発方針がEUや米国の法律に準拠していることを確認し、そこから修正を加えることが、良いスタート地点になるだろう。」

企業は、現地の法律がグローバルな内部告発ポリシーに抵触する可能性があることを認識すべきである。例えば、イタリアの法令231/01は、贈収賄や汚職、職場の安全の侵害、環境被害など、役員や従業員が犯した企業犯罪に責任を負わせている。この措置では、イタリアの監督機関に対し、刑事行為の疑いについて直ちに知らせることが求められている。一方、ロシアや中国では、現地のデータプライバシー法や州の秘密保持法によって、国外で共有できる情報の量が制限される可能性がある。その結果、企業は、内部通報者から秘密として提出された情報が犯罪捜査に利用されるおそれがあり、規制当局や捜査当局と情報を共有することにより、本人の安全や匿名性が損なわれるおそれがあることに留意する必要がある。

申立てや管轄地域の特性に応じて、苦情自体を調査することが適切かどうかを検討する必要がある場合もある。「申し立てが複雑な詐欺に関連している場合、外部の独立した犯罪調査専門家が捜査を主導すべきであることは疑いの余地がない」と、倫理・コンプライアンスのナベックス社最高経営責任者ガイルズ・ニューマンは述べた。「しかし、苦情がいじめやセクシュアル・ハラスメントなどの人事関連の問題に関するものであれば、会社の人事部門や社内法務部門が問題を追及するほうが適切であろう。この種の判断は、個々の状況、および自社調査が現地の雇用法に抵触する可能性があるかどうかの評価に依存する」。

最終的には、企業が真剣に受け止めるときののみ、内部告発政策は効果を発揮する。「会社が内部告発プログラムの推進を面倒くさがり、苦情を調査することはないと思われれば、不正行為を報告して、職を失うリスクを冒す者は誰もいない」とニューマンは述べる。「『気まぐれな』報告や『悪意のある』報告は、基本的な調査すらしないということではなく、どんな報告書でもすべて、最初から歓迎することのほうがはるかに良い」

トピックス
人的資源、国際、法務リスク、規制

注意事項：本翻訳は“Implications of the EU Whistleblower Directive”, Risk Management, May-June 2022, pp.4-6をRIMS日本支部が翻訳したものです。原文と和訳に相違があるときには、原文を優先します。本文中は敬称略です。

ニール・ホッジは英国を拠点とするフリーランスのジャーナリスト・写真家。