グローバルビジネスと人権:「コンプライアンス」と「ビジネスと人権」今さら聞けない素朴な疑問（その2）
グローバルビジネスと人権に関するニュースレターを発行いたしました。 PDF版は以下のリンクからご確認ください。
→グローバルビジネスと人権：「コンプライアンス」と「ビジネスと人権」今さら聞けない素朴な疑問（その2）
グローバルビジネスと人権:
「コンプライアンス」と「ビジネスと人権」
今さら聞けない素朴な疑問（その2）
2023年9月
One Asia Lawyers Group
コンプライアンス・ニューズレター
アジアSDGs/ESGプラクティスグループ
はじめに
コンプライアンスやビジネスと人権に関して、いろいろな言葉や考え方が錯綜してわかりにくいと思っている人は少なくないと思います。このニューズレターではそうした問題について、次のような設定によりQ&Aの形式でわかりやすく解説することにします。
舞台設定
Aくんは、ある国立大学の法科大学院を修了し、一昨年から大手企業で法務コンプライアンスの担当者として勤務している。企業は、投資家たる株主のために利益を追求する主体であると会社法の授業では教えられた。他方で、最近では企業の社会的責任や法令等を厳格に遵守すべきことが唱えられている。そのための管理コストが大きくなり、それが利益を圧迫するかも知れない。さまざまな手続きやペーパーワークも増えて、とくに事業部門の人たちの提出が遅れがちになり、催促しなければならないことも増えてきた。しかしこれも時代の要請であり、万一でも不祥事に巻き込まれることのないように、従業員の一挙手一投足に対しても注意を払い、厳しく徹底していくのが法務コンプライアンス担当者の責任であると自分自身に言い聞かせてきた。
しかし入社以来、製造部門や営業部門の人たちからなんとなく鬱陶しがられているのを感じている。彼らは法律の基礎知識がないからかとも思うが、自分自身も製造や営業の仕事について殆ど知らないことも少し気になってきた。工場が製品の納期に追われて忙しいときに、コンプライアンス関係の書類を催促すると、製造工程をコーディネートする少し年配の人から「俺達は今、お客さんに催促されて深夜まで働いているんだ。お客さんを満足させることがわが社の一番大事な仕事じゃないのか」と言われはっとした。上司からは「コンプライアンス関係の書類の期限を厳しく守らせるのが君の仕事だ」と言われているが頭の整理がつかず悩んでいる。
そこでAくんは、法科大学院のときに、大学主催のセミナーで「人権DD」について話をしていたB先生を思い出した。B先生はAくんと同じ大学で法律学を学び大手企業に勤務していたが、その後アメリカのロースクールでLL.M.を取得してビ現在はジネスコンサルタントをしながら「ビジネスと人権」に関するNGOの仕事もしている人である。今日はとくにAくんからお願いして 設定してもらった二回目のミーティングである。
今回の話題：内部統制・リスクマネジメントと人権DDの関係
【Aくん】こんばんは。 今日もお忙しい中、時間を作っていただいて本当にありがとうございます。早速ですが、今日は、特にCOSO[1]のフレームワークと、 それが人権DD とどう関係するのかについて教えていただけないでしょうか。
【B先生】分りました。 かなり難しいリクエストですが重要な点なので、できる限りわかりやすく説明するようにします。 先回お話しした時から、君がかなり予習された事はご質問からもよくわかります。
【Aくん】はい。先回教えていただいたCOSOの「内部統制の統合的フレームワーク[2]」について調べてみました。 雑駁な印象なのですが、内部統制を統合的にマネジメントするのがこのフレームワークの目的だから、その内容を細かく切り分けて考えるとかえって理解しにくいように思います。同様に、コンプライアンス・ガバナンス・ESG・人権DD等の概念上の区別を詳細に議論してもあまり意味はないような気がします。それぞれ多少の違いはあっても、重なり合う部分はかなり 大きいのではないでしょうか。
【B先生】私も同感です。ガバナンス・コンプライアンス・ CSR・ESG等は、 大きくは同種の問題を扱っています。それぞれ強調のポイントに差はありますが、その程度のものでしょう。あえて言えば、区別することよりも、大きく重なり合っている問題意識を理解することの方が重要です。つまり、私達が前に進むためには議論のフォーカルポイントを正しく捉えることが大切です。UNGPsをまとめたジョン・ラギー教授もそうした指摘をしています[3]。
疑問点1: COSOの２つのフレームワークの関係
【Aくん】話は変わりますが、COSOのウェブサイト[4]を見ていて、内部統制フレームワークだけでなく「エンタープライズ・リスク・マネジメント（ERM）」のフレームワークというものがあったので気になりました。リスクマネジメントは最近よく耳にするのですが、これも法科大学院の授業では教えてもらえませんでした。
【B先生】重要なポイントですね。COSOは最近ではERMフレームワークの普及にかなり力を入れてきています。ごく簡単に説明すれば、これは内部統制フレームワークよりも広範な企業の目的を扱っています、つまり、企業の重要な意思決定やパフォーマンスに関しても「合理的な保証」を確保するためのフレームワークといえます。2017年に改定された際に「ERM：戦略および業績との統合」という文書名で公表されました。内部統制フレームワークは企業のいわば基礎体力に関するものですが、ERMはさらに企業による目標や戦略設定等の重要な意思決定が、企業目的の達成に向けて正しく行われるところまでを合理的に保証することを目的としています、つまり、内部統制フレームワークよりも広い問題を扱っています。
これらのフレームワークについて、誤解されやすい点を中心に説明したいと思います。まずCOSOはこの２つのフレームワークはあらゆる組織に適用できるものであり、企業規模や営利非営利を問わず、さらに政府機関にも適用できると明言しています。また各組織は異なる方法で内部統制を実施することが可能であり、例えば「小規模な企業の内部統制システムは形式的・構造的でなくとも、有効な場合がある」との言及もあり、費用対効果を考慮することの重要性も繰り返し指摘されています。また合理的な保証を確保するためのもので、絶対的な保証を実現するためのものではありません。これらは両フレームワークに共通する点です。以下では内部統制フレームワークについて簡単にまとめてみます。
（内部統制の統合的フレームワーク）
内部統制は連続したプロセスではなく、動的かつ統合的なプロセスであるとされます。そのプロセスは次の5つから構成されます。
(1)統制環境; (2)リスク評価; (3) 統制活動; (4) 情報とコミュニケーション; (5)モニタリング
これらのプロセスは、リスクマネジメントや人権DDにおいても意識されている重要なものです。
内部統制フレームワークの目的は「経営者、取締役会、外部の利害関係者、その他企業に関わる人々が、過度に規則化することなく、内部統制に関するそれぞれの義務を果たすことを支援する」ことであり、何が内部統制システムを構成しているかについての理解と、内部統制が効果的に適用されている場合についての洞察の両方を提供することであるとします。
（内部統制の定義）
同フレームワークは、「内部統制とは、業務、報告、およびコンプライアンスに関する目的の達成に関して合理的な保証を提供するために、企業の取締役会、経営者、およびその他の従業員によって実施されるプロセスである」と定義します。
また内部統制が実現すべき目的を次の3つの範疇に整理しています。
1．業務目的─これらは，業績目標および財務業績目標の達成および資産を損失から保全することを含む，事業体の業務の有効性と効率性に関連している。
2．報告目的─これらは，内部および外部の財務および非財務の報告に関連しており，規制当局もしくは認められた基準設定主体により，または，事業体の方針として明らか にされる信頼性，適時性，透明性またはその他の観点を含むものである。
3．コンプライアンス目的─これらは，事業体が法律および規則を遵守することに関連している。
先日説明したように、今ではコンプライアンスという言葉が内部統制全体をイメージする上で広く用いられるようになってきましたが、元々は 3つ目の目的を示す言葉でした。しかし、これら3つの目的は現実には重なりあっている場合が少なくありません。例えば贈賄のような腐敗行為の多くは不正な経理と法令遵守の双方に関わるだけでなく、業務目的に反することにもなるでしょう。つまりこの3つの目的は全体として、企業が健康体を維持するためのものであり、それを基盤として企業はその使命を追求することが可能になります。また取締役会はより効果的に内部統制システムを監督できるようになり、株主や債権者は組織の目的の達成に対するより高い信頼性を得ることができます。
内部統制を構成する 5つのプロセスは、上記の3つの範疇の目的達成を危うくするリスクを組織が識別し、分析し、対応する能力を高めるためのものです。このように内部統制フレームワークにおいても、リスクマネジメントはその中心的な対応方法となっています。
また内部統制システムが効率的に運用される必要があることも強調されており、例えば「経営者の判断により、非効率で重複的な内部統制を排除」する可能性も指摘されています。つまり内部統制を有効に機能させるためには「方針および手続の厳格な遵守以上のもの」が必要とされ、経営者および取締役会は「十分な統制の水準を決定する」ために判断し、そして経営者やその他の構成員は「事業体全体にわたり統制を選択・整備・運用する」ために日常的に判断する必要があるとします。ここで重要な点は、内部統制は従業員の行動を拘束するだけではうまく機能しない場合が少なくないことです。単純な作業は機械やITを活用して処理されるようになってきました。企業で働く労働者の多くは、知識を用いた労働をしており、オーケストラを構成する楽器奏者のように独自に判断しなければならない場面が数多く存在します。楽器の専門家ではない指揮者が、奏者の演奏方法にまで細かく立ち入ると、奏者はやる気を失ったり、パフォーマンス全体の水準が落ちたりしかねません。これは企業で働く知識労働者にも起こりえることです。しかし全体を方向付ける指揮者からの明確なメッセージがなければ、彼らの演奏自体が意味を失ってしまいます。 そうした単純ではないプロセスをマネジメントするのが内部統制です。
疑問点2：内部統制とリスクマネジメントの関係
【Aくん】企業は統合的に目的を果たすためのものだから、全体を正しく方向付ける必要があることは分かります。でもそれがリスクマネジメントとどのように関係するのかはよく分かりません。
【B先生】そうですね。企業の目的とリスクマネジメントの関係については、少し説明が必要かもしれません。企業の目的を知る上で最も手っ取り早いのが企業の使命・展望・価値観（Mission/ Vision/ Value）を整理したミッションステイトメントですね。君の会社の入社説明会では、その説明を行っていますか？
【Aくん】はい。それは人事部の仕事で、 毎年若手で話のうまい人が説明します。しかし、 なんというか、会社を格好良く見せるだけで、内容は例えば「常に時代の一歩先のイノベーションを追い求める」といったように抽象的です。最近ではどの企業も作っていますが、単にPR用ではないでしょうか？ いくら綺麗事を言ってみても、結局のところ、企業の目的は「利潤追求」であって、どの会社も大差ないと思います。
【B先生】確かにそういった側面は否定できません。私は企業の目的が利潤追求だとする考え方は正確ではないと思っていますが、この点は別の機会に議論しましょう。
いずれにしても、せっかくミッションステートメントを作るのであれば、それは全従業員に向けた明確なメッセージとならなければ大した意味はないでしょう。他の会社でもやっているから、とりあえずそれに合わせるという行動様式から真に価値あるものが生まれることはないでしょう。
ところで君は学生の時に外資系のテーマパークでアルバイトをしていたと言っていましたね。そのときにミッションやバリューについて説明を受けたと思いますが、それは有益でしたか？
【Aくん】はい。とくにミッションで「私たちはありえないワクワクドキドキで、明日へと向かう元気をゲストに届けます」というところは気に入っていました。バリューはもう少し具体的に業務への取り組み方が説明されていました。いくつもあったのですが、印象に残っているのは「安全を最優先します」・「相手の心を動かします」・「とことん楽しみます」 の3つです。今思い返せば、アルバイトとして働くだけでも、かなり影響を受けました。
【B先生】ミッションステイトメントは従業員を方向付けるのに極めて重要です。テーマパークのように アルバイトも含めて、さまざまな業務を担当する多くの人が働く職場では特にそう言えるでしょう。 全従業員が共通の 使命や価値を共有して働ける事は、ゲストに対するサービス向上だけでなく、 働く人たちの満足感にもつながります。また、投資家を惹きつけるための重要なメッセージともなります。それが上辺だけのものになっていると、多くの人たちもそれに気づきます。
疑問点3：企業のミッションとエンタープライズ・リスク・マネジメント（ERM）
【Aくん】ところでミッションステイトメントとリスクマネジメントはどう関係するのでしょうか？
【B先生】すみません。話が脇道にそれてしまいました。
エンタープライズ・リスク・マネジメント（ERM）とは、事業全体の目標設定に向けたリスク管理であると同時に、 経営陣や取締役会による意思決定が企業の使命や価値観に整合しない可能性を検討するプロセスです。使命・展望・価値観は企業全体の方向付けとパフォーマンス向上の推進力だから、企業の目標や戦略の設定はこれらと整合している必要があります。経営陣が目前の成果や数字に引きずられるのは職務上やむを得ない面もあるように思います。しかし企業の使命や価値観に整合しない戦略に飛びついてしまうと、それは企業価値の破壊へとつながる大きなリスクとなります。
例えば、アジア全体の経済発展を主導することを基本的価値とする企業は、ある国で内戦が勃発した場合にも、簡単に現地子会社を売却する撤退戦略を採用するべきではないでしょう。それは他の多くの海外子会社で働いている現地従業員の人達にも裏切りとして映るかもしれません。他方でブランドイメージを最優先する企業であれば、より早い段階で紛争地域から撤退することが賢明な場合も少なくないでしょう。
目標や戦略の設定は意思決定に基づく選択であり、さまざまなリスクを伴うから、そうしたリスクへの対処方法も考慮に入れてなされる必要があります。リスクを特定し最適な対応方法を分析することは、さまざまなトレードオフが交錯する複雑な作業ですが、これを視野に入れることで、経営陣と取締役会は焦点を共有しながら合理的に議論することが可能になります。これがERMを用いることの重要なメリットです。つまり、経営陣と取締役会は、より多くの選択肢を見つけ出し、生産的で合理的に扱うことができるようになります。
COSOはこうしたプロセスを通じて、経営陣がリスクを明示的に考慮することが、戦略選択の影響について理解を深め、状況の変化に伴う戦略の長所・短所や、使命・展望・価値観との適合性を検討する視点を加えることによって、経営陣と取締役会や従業員等との対話を豊かにすることにあるとしています。
これは経営陣の聖域と考えられていた経営判断を洗練させることで透明性と説明責任を強化し、より広い関係者の共感と支援を得ることを可能にします。
【Aくん】なるほど。それは素晴らしい考え方ですね。
【B先生】しかし、これは簡単な作業ではありません。事業を取り囲む極めて多様なリスクに最適の対応を行うには、事業全体が有する全リスクのポートフォリオを作成した上で、 リスク対応の優先順位付けをできるようにする必要があり、これが正にERMが行おうとすることです。
最近、デパートの売却に関して、従業員によるストライキが話題になっていますね。このように経営陣や取締役会は企業の目標や戦略に関する意思決定の合理性について、株主や従業員等からますます厳しい説明責任を求められるようになってきています。なぜなら、こうした意思決定は企業の運命を左右するにもかかわらず、必ずしも合理的とは言えない方法で行われる場合が稀ではなかったからでしょう。
疑問点4：企業の意思決定におけるリスク評価の役割
【Aくん】法律学でも意思決定については扱っていると思うのですが、リスクマネジメントが議論されることはありません。これはなぜでしょうか？また戦略設定におけるリスク評価についてもう少し具体的に教えていただけないでしょうか？
【B先生】リスクマネジメントと法律学の関係について確かなことはわかりません。私の考えですが、法律学は紛争が生じた後の解決を中心に展開されてきたので、紛争や被害を予防するという観点がうまく位置づけられなかったのではないでしょうか。確かに契約に関して予防法学という言葉が用いられることはありますが、これも紛争が発生した場合に訴訟等で不利にならないよう契約条項を定めておくといった意味でしょう。これに対してリスクマネジメントは、組織を効率的に運営するためのツールとして経営学や会計学等で議論されてきました。効率的な企業運営において、大きな損害を被ってから訴訟で救済を求めるだけでは明らかに不十分です。つまり損害を被る可能性をいち早く予測し、それに対応するための合理的な方策を講じることは組織運営の中心です。最近話題となる環境問題等では、それが大きな災害となってからでは手遅れであり、未然に防ぐための方策がより重要です。法律学は、隣接する学問領域から学ぶ必要性が高まっています。最近、コンプライアンスからリスクマネジメントに組織運営の重心が移りつつあると指摘されています。内部統制もコンプライアンスも法律学が生み出したものではありません。私も経営学や会計監査を学生の時にもっと勉強しておけばよかったと後悔しています。
戦略設定の意思決定は複雑なプロセスですが、少し単純化して説明しましょう。またリスクの評価や分析は、とくに人権DDとも共通する面があるので、そのことも頭の片隅におきながら聞いてください。
全ての戦略案は、理想的には、主要なリスク・リスクの軽減方法・オフロード方法・リスク保持のコスト、の概要を示した上で提案されるべきです。
具体的には戦略案に伴うリスクを評価する際には、リスクの可能性やコストを増幅させる状況を考慮し、もし巨額の損失を生じる可能性があることが判明すれば、その戦略案を回避する重要な材料になります。
もちろん企業が保有可能なリスクの量は、その企業の財務状況に強く影響されます。例えば収益性や手元資金に余裕のある企業は、リスクに伴う財務損失について耐性があり、逆に現金の多くをローン返済に充てている企業はリスク保有の余裕がありません。「虎穴に入らずんば虎子を得ず」というように、合理的にリスクを採る能力は、ビジネスの成功にとって大きな意義を持ちます。それは財務に限られた問題ではありません。具体例を上げましょう。
ある海岸線付近の地方では、過去10年間に3回も大きな台風に見舞われたため、貸店舗が不足している。ある不動産会社は、台風のリスクを十分考慮に入れて、建物の1階部分を高くし、建物の下に雨水が流れ込むスペースを確保して、台風のリスクを軽減できる店舗用建物の設計を開発した。同社はその建設と運用に成功し、さらに数回の台風を最小限の被害で乗り切った。同業他社の多くが台風のリスクを嫌ってこの地方から撤退したため、同社は長期にわたり大きな収益を得ることが可能となった。
COSOのERMフレームワークで特に強調されているのは、リスクは負の要因としてだけでなく、ビジネスの成功の重要な機会としても考慮すべきである点です。この台風の例でも明らかですが、要するに同じリスクであっても、各企業によって対応能力に大きな差がある場合は少なくありません。つまり君の会社はそのリスクにうまく対応できるけれども、同業他社にそれができなければ、それが強みとなります。これはリスク選好度という表現で示されることもあります。
もちろん自社のビジネスに関するリスクの分析は慎重に行う必要があり、日頃から調査研究すべきものです。例えば業界内で他社が遭遇した問題などには注意を払う必要があり、そのリストを定期的に見直し、とくに状況によるリスク顕在化の可能性を注意深く確認する必要があります。また自社に特有のリスク対応策や能力を日常的に把握していることも大きな意義を持ちます。リスクが大きなビジネスチャンスとなりうることは、とくに君のようにコンプライアンスを担当する人も十分に理解する必要があるでしょう。
疑問点5：企業組織におけるリスクマネジメント体制の構築方法
【Aくん】リスクはビジネスチャンスですか。少し驚きましたが、言われてみればその通りですね。でも企業を取り巻くリスク全体のポートフォリオを作って、それを日常的にアップデートするとなると、簡単ではありませんね。最近、どこかでCRO（最高リスク責任者）という言葉を耳にしました。そうした専門家を雇用しないと対応できないのでしょうか？
【B先生】重要な点ですね。私は、そうした形式的な役職を設定する前に、全社的にリスクをマネジメントする必要性を経営者や従業員が広く文化として共有するプロセスが必要だと考えます。その時に、例えば君のようなポジションにある人がそうした文化形成の触媒的な役割を果たすのが現実的で堅実な方法ではないでしょうか。冗談ではなく、本気でそう思います。部門を超えてリスクの状況を把握できる可能性のある人は多くはありません。
経営陣や取締役会が、企業全体のリスク状況を意思決定において活用するには、その情報が管理されている必要があります。大企業では多くの部門があります。それぞれに成果を上げる必要から、その部署に関係するリスクが認識されていても、その測定や対応に一貫性がないことはよくあります。さらに悪いことに、複数の部門にまたがって発生するリスクが認識されていないことは容易に起こり得ます。このような場合、あるリスクは、それぞれの部門で個別に考えれば小さく見えても、企業全体にとって重大な懸念事項となる場合があります。つまり企業組織としてリスクに合理的に対処するための方法は、企業全体で協調して取り組むことしかありません。そう考えると、外部から専門家を採用して新しい役職を作るだけで対応できるような問題ではありません。
ところで君が法務コンプライアンス担当者として最も気にしているのはどんな問題でしょうか？
【Aくん】いろいろと種類は多いです。下請法とか独禁法とか労働法関係とか。外国公務員贈賄とか最近では海外のサプライチェーンなんかも気にしています。簡単に言えば、法律をかなり詳しく知らないと気付かずに法律違反をしてしまうような問題で、特に会社にとってインパクトの大きい問題と言えるでしょうか。マスコミに騒がれるいわゆる「不祥事」へと繋がるような問題です。
【B先生】よく分かります。法律知識がない場合、そうした行為が社会に及ぼす危害との因果関係を直感的に理解するのが難しいでしょう。しかし法律が広く受け入れられるようになるには、必ず根拠があります。人々の行動を規律し、その違反に制裁を加えるためには、納得できる理由を示す必要があります。それは法の支配の根幹です。それが簡単でないことはよく分かりますが、企業に人権尊重責任を根付かせるには、なぜそれが法律で禁じられているのかを納得できるよう伝える必要があります。また研修に加えて、評価制度などを適切に設計することも検討すべきでしょう。
逆に、企業がなにか問題を起こした場合、それのみで企業は消滅すべきであるとか、その従業員全員が犯罪者であるかのような考え方も修正する必要があるように思います。私達は、その企業がその後どのようにその問題に取り組んでどのように変化しているかを粘り強く注視し続ける姿勢を身につける必要があります。事件の性格にもよりますが、従業員全員が厳しい社会的な制裁を受けることが適切ではない場合もあるでしょう。アメリカでは、エンロン事件に関してアンダーソン会計事務所が起訴されたことによって、多くの従業員が会計士資格を剥奪されたり、事務所が上場企業の監査ができなくなったりして、社会的に大混乱が起こりました。それ以降、FCPA違反に関して、組織をすぐに起訴するのではなく、司法取引で多額の制裁金を支払わせ、組織文化再建に向けてコンプライアンスモニタの指示に従うこと等を条件として、起訴猶予合意が締結される実務が広く行われるようになっています。日本の刑法や刑事訴訟法ではこうした対応は難しそうですが、かといって組織に対する行政的制裁で済ませるのが不十分だと思われる事件は増加しているように思います。また、上級経営者の責任をもっと厳しく追及する必要がある事件も少なくありません。
疑問点6：内部統制・ERMと人権DD
【Aくん】分かりました。ちょっと耳が痛いです。ところで今気づいたのですが、人権DDが防止しようとする人権侵害に対するリスクもERMや内部統制システムに組み込んで考えることができるのではないでしょうか。これって突拍子もないアイデアでしょうか？
【B先生】良い所に気付かれましたね。私もそう考えます。それはCOSOの２つのフレームワークから見ても自然なことです。
内部統制フレームワークは、企業内部の通常の運営において、企業目的を達成するための合理的な保証を確保するためのものでした。これは組織の健康体を保つ基本的な部分に関するもので、FCPAが法的義務として位置づける範囲をカバーします。
ERMフレームワークはさらに広い範囲のリスクをも考慮に入れて、企業が重大な意思決定を行う際にも、それが適切に行われる合理的な保証を確保しようとするものです。現段階では、法的な義務とまではされませんが、米国の証券取引委員会等が用いる基準として支配力を増しています。
人権DDはそのどちらにも関係しますが、ビジネスが人権に対して及ぼす負の影響を停止・防止・軽減するという目的から、サプライチェーンも含めた広範な問題について、企業がその影響力を積極的に行使することを求めています。
だから、それらを別個の問題として扱うのではなく、企業のリスクマネジメントの一環として統合的に扱う事は、企業を取り巻くリスクを軽減するための理にかなった対応方法といえるでしょう。
内部統制とERMとの間に強い関連性があることはCOSOが指摘しており、両者の関係についての詳細な説明もあります。どちらもリスク評価に着目した組織のマネジメントの一環ですが、ERMは組織の重要な意思決定にもリスクマネジメントの方法を活用する野心的なものです。
人権DDの実施方法について眺めてみると、それがCOSOのフレームワークに見られる方法を強く意識していることがよく分かります。先に説明したように、内部統制システムを構成するのは次の 5つのプロセスでした。
(1) 統制環境; (2)リスク評価; (3) 統制活動; (4) 情報とコミュニケーション; (5)モニタリング
これをOECDガイダンス[5]の人権DDにおけるプロセスと比較すると次のようになります。
(1) 責任ある企業行動を企業方針および経営システムに組み込む【統制環境】
(2) 企業の事業，サプライチェーン およびビジネス上の関係における負の影響を特定し，評価する【リスク評価】
(3) 負の影響を停止、防止および軽減する【統制活動】
(4) 実施状況および結果を追跡調査する【モニタリング】
(5) 影響にどのように対処したかを伝える【情報とコミュニケーション】
(6) 適切な場合是正措置を行う，または是正のために協力する【統制活動】
少し順序等が異なりますが、全体として内部統制フレームワークの構成要素は意識されていたと考えるべきでしょう。確かに、人権DDに関しては、企業の外部で生じる広範な問題に対応する必要から、その全体においてステークホルダーエンゲージメントが非常に重要な役割を果たします。またそのために、苦情処理メカニズムや情報とコミュニケーションにおいて、企業に対する要求は厳しいものとなります。
しかしOECDのガイダンスには、人権DDが資源の制約の中で、効率的に行われるべき点が強調されています。
「資源の制約にどう対処できるか：デュー・ディリジェンス（DD）には，人的資源と財源の問題が関わっている。資源の制約は全ての企業にとって課題となり得るが，特に小規模な企業では，DD実施のための人的資源や財源がさらに少ない場合がある。その一方で，小規模な企業は大規模な企業に比べ，企業方針の策定およびその実行に関する柔軟性が高く，対処すべき影響やサプライヤーも少ない場合が多い。リスクに相応するデュー・ディリジェンスを実施する責任が，企業の規模や資源によって変わるものではないが，実施方法に影響する可能性がある。資源の制約がある企業では，DD実施の上で，協働によるアプローチに依存する度合いが高いと考えられ，優先順位付けにおいてはより注意深い決定が必要である。また，企業方針のモデルや特定のサプライチェーンにおけるリスクに関する公の情報等，既存の資源を利用したり，会員となっている業界団体の技術的支援を求めたりすることも可能である。」
人権に関するリスクへの対応能力も、それぞれの企業によって異なります。つまり、対応能力の高い企業にはそれをビジネスチャンスとして活用する可能性が当然に生まれます。そうしたチャンスを逃さないためにも、人権DDをERMに組み込むことは有益でしょう。
人権DDに関して、サプライチェーンにおけるリスク評価や苦情処理メカニズムについては、 もう少し説明が必要です。しかしもうだいぶ遅いので、今日はここまでにしましょう。
おわりに
【Aくん】長時間にわたり、色々と教えていただきありがとうございました。考えなければいけないことが多くて大変ですが、 いくつかの重要な課題に気づきました。それから本当に厚かましいのですが、もう一度だけ時間を作っていただけないでしょうか？企業の目的を「利潤追求」であるとする考えは不正確だと言われた点は特に気になっています。最近の状況では、企業に対して利潤追求とは矛盾する要求ばかりが強まっているような気がします。また日本の企業も人権問題に真剣に取り組んでいると思っていたのですが、8月に公表された国連「ビジネスと人権」作業部会の訪日調査では、日本社会に対する厳しい評価が多くの点で指摘されている点も不思議です。何か私達に誤解があるのでしょうか。
【B先生】分りました。君のような熱心な若者のリクエストを断ることはできません。喜んで説明させていただきます。来月の今頃でよろしいでしょうか。（続く）
〈注記〉本資料に関し、以下の点をご了承ください。
・ 本ニューズレターは2023年9月7日時点の情報に基づいて作成されています。
・ 今後の政府による発表や解釈の明確化、実務上の運用の変更等に伴い、その内容は変更される可能性がございます。
・ 本ニューズレターの内容によって生じたいかなる損害についても弊所は責任を負いません。
[1] COSOはトレッドウェイ委員会支援組織委員会の略称。トレッドウェイ委員会（不正な財務報告全米委員会）はFCPA（海外腐敗行為防止法）が企業に内部統制プログラム実施を義務づけたことを受けて、企業の不正な財務報告書を調査・分析・勧告するため1985年にアメリカ公認会計士協会・アメリカ会計学会,・財務担当経営者協会,・内部監査人協会・管理会計士協会の支援によって設立された。同委員会は1985年10月から1987年9月までの期間に実態調査を行い、1987年10月に調査結果のレポートを発行した。この報告の結果としてCOSOが設立され、Coopers & Lybrand（当時）に問題点の調査と統合的な内部統制の枠組みについての報告書執筆を依頼した。COSOは1992年に4巻の報告書を作成し1994年に微修正を加えて「内部統制の統合的フレームワーク」を公表した。
[2] 2013年版のエグゼクティブサマリー(日本語訳)を 日本公認会計士協会のウェブから入手できる。https://jicpa.or.jp/news/information/docs/5-99-0-2-20160112.pdf
[3] ビジネスと人権に関する指導原則：国際連合「保護、尊重及び救済」枠組実施のために（A/HRC/17/31）国連広報センターのウェブに日本語訳が掲載されている。（https://www.unic.or.jp/）
[4] COSOによる2つのフレームワークのエグゼクティブサマリーとガイダンスと呼ばれる付加的な説明文書が閲覧できる。 (https://www.coso.org)
[5] https://mneguidelines.oecd.org/OECD-Due-Diligence-Guidance-for-RBC-Japanese.pdfp
