「従業員が取引先からリベートを受け取っていた」「顧客データが外部に流出したらしい」。不祥事の第一報は断片的な情報として突然届き、最初の48時間の動き方が損害の大きさと会社の信用を左右します。この記事では、不祥事が起きたときの初動対応の手順、公表するかどうかの判断基準、行政報告・取引先への説明の順番、取締役の善管注意義務、第三者委員会が必要になる場合を、条文と公的資料に沿って整理します。
初動48時間の動き方 ― 最初にやること・やってはいけないこと
不祥事対応の失敗は、不祥事そのものより「初動の誤り」から生まれることが多いです。発覚直後に経営者がすべきことは結論を出すことではなく、「被害の拡大を止め、証拠を守り、判断できる体制を作る」ことです。
やってはいけないこと
- 関与が疑われる本人を、準備なしに問い詰める。証拠の隠滅や口裏合わせを招きます。
- 「何もなかった」前提で社内に説明する。後に事実が判明すると、経営者自身が隠ぺいに関与したと見られます。
- 取引先や報道機関からの問い合わせに、確認のないまま回答する。訂正のたびに信用を失います。
- 対応を一人で抱える。役員1名と外部の弁護士を加え、判断の記録を残します。
時間軸で見た初動の流れ
| 時間 | やること | 注意点 |
|---|---|---|
| 発覚〜数時間 | 第一報の記録（誰から・何を・いつ）。被害拡大の防止（アクセス権の停止、出荷・入金の一時保留など）。対応チームの指名。 | 「疑い」にとどめ、社内への拡散を抑えます。 |
| 〜24時間 | 証拠保全（PC・メール・チャット・入退室記録・会計データ）。関係者のリスト化。弁護士への相談。法令上の報告義務の確認。 | 個人データの漏えいは速報の期限が3〜5日以内と短いです（後述）。 |
| 〜48時間 | 調査の範囲と方法の決定（社内調査か外部専門家か）。ヒアリングの順番の設計。対外的な問い合わせへの仮の回答方針。 | 本人のヒアリングは、客観証拠を固めた後が原則です。 |
| 〜1週間 | 初期調査を踏まえ、公表の要否、行政・取引先への報告、処分方針を取締役会（または取締役の協議）で決定。 | 決定の経過を議事録に残します。 |
初動48時間の目標は「真相の解明」ではなく「被害を止め、証拠を守り、判断の体制を整える」ことです。本人への追及を急ぐほど調査は難しくなります。
事実確認と証拠保全 ― 社内調査の設計
調査は「客観証拠を先に、人の話を後に」が基本です。メール・チャット・会計データ・契約書など改ざんされにくい資料をまず確保し、突き合わせて仮説を立てたうえでヒアリングに入ります。
- デジタル証拠は原本を触らない。業務PCや貸与端末はそのまま保管し、コピーを取ってから分析します。削除や上書きがあると調査の信用性自体が疑われます。
- 私物端末・私的アカウントは会社が一方的に閲覧できません。本人の同意か、就業規則で定めた調査権限が前提です。
- 聞き取りは2名で、記録を残す。日時・出席者・質問と回答の要旨を記録します。
ヒアリングは周辺の関係者（経理担当・上司・同僚）から始め、最後に関与が疑われる本人へ進みます。処分を予告して自白を迫るような方法は避けてください。強圧的な聞き取りで得た供述は、後に懲戒処分や損害賠償請求で争われた際に証拠としての重みが落ちます。
内部通報で発覚した場合は、通報者が特定されないよう調査の範囲と順番に配慮します。公益通報者保護法11条は事業者に通報対応体制の整備を求めており（従業員300人以下は努力義務、同条3項）、通報者の探索や不利益な扱いは別途損害賠償の問題になります。2026年12月1日施行の改正法で通報者保護は強化されるため、調査の進め方は改正法を前提に組み立てることをお勧めします。
公表するかどうかの判断基準 ― 法令上の報告義務と任意の公表
「公表」には、法令で報告・通知が義務づけられているものと、義務はないが会社の判断で行うものの二層があります。前者は期限が決まっており迷う余地はありません。後者は、被害者・取引先への影響と、後から発覚するリスクとを比較して決めます。
法令上の報告・通知義務の例
個人データの漏えい・滅失・毀損で個人の権利利益を害するおそれが大きいものが生じたときは、個人情報保護委員会への報告と本人への通知が義務です（個人情報保護法26条1項・2項）。対象は、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合などで、期限は速報が発覚から3〜5日以内、確報が30日以内（不正の目的のおそれがある場合は60日以内）です（個人情報保護委員会「漏えい等の対応とお役立ち資料」）。許認可事業では、監督官庁への事故報告が別に定められていないかも早期に確認します。
任意の公表を判断する軸
| 判断軸 | 公表に傾く要素 | 限定的な説明にとどめやすい要素 |
|---|---|---|
| 被害の広がり | 不特定多数の顧客に実害や二次被害のおそれがある | 被害者が特定でき、個別に連絡して対応できる |
| 法令上の義務 | 報告・通知義務があり、事実が公的記録に残る | 義務がなく、社内の規律違反にとどまる |
| 外部からの発覚可能性 | 通報・報道・取引先の調査で表に出る可能性が高い | 関係者が限定され、すでに是正済み |
| 取引先への影響 | 品質・納期・情報管理など取引の前提に関わる | 取引の前提に影響しない |
| 説明できる材料 | 事実関係と再発防止策を一定程度説明できる | 調査中で事実が固まっておらず、誤った説明になりかねない |
迷う場面での軸は、「公表しなかったことが後から判明したとき、会社と経営者が説明できるか」です。被害者がいるのに知らせなかったという事情は、信用低下と法的責任を大きくします。一方で、事実が固まらないうちに断片的な情報を出すと訂正が重なります。「いつ・何を・誰に」説明するかを段階的に設計します。
法令上の報告義務（個人情報保護法26条など）は期限が短く、判断の余地はありません。任意の公表は「後から判明したとき説明できるか」を軸に決めます。
行政・被害者・取引先・従業員への説明の順番
原則は、「法令上の期限があるもの」と「被害を受けている人」を先に、「会社の都合で説明したい相手」を後にすることです。
行政機関
報告義務があるものは期限内に、分かっている範囲で報告します。速報は判明している事実のみで足り、後に確報で補います。「確定してから」と待つと期限を過ぎます。
被害者・顧客
個人データの漏えいでは本人通知が義務で、通知が困難な場合は代替措置が求められます（個人情報保護法26条2項）。製品やサービスの不具合では、被害拡大を防ぐ注意喚起が先で、原因の説明は後でも構いません。
取引先
契約書に「法令違反・信用不安が生じたときの通知義務」や「表明保証」が入っていれば、通知を怠ること自体が契約違反になります。主要な取引先の契約書を早い段階で確認し、説明は事実・現在の対応・再発防止の見通しを簡潔に伝え、推測を交えないことが信頼の維持につながります。
従業員
調査中の社内説明は、「事実関係を調査していること」「対外的な問い合わせは窓口に一本化すること」「憶測での発信を控えること」の3点にとどめます。関与者の氏名や推測の共有は、名誉毀損やプライバシー侵害の問題を生みます。
取締役の善管注意義務 ― 「隠す」判断が最も重い責任を招く
株式会社と取締役の関係は委任の規定に従い（会社法330条）、取締役は善良な管理者の注意をもって職務を行う義務（善管注意義務）と、法令・定款・株主総会決議を守り会社のため忠実に職務を行う義務（忠実義務、同法355条）を負います。任務を怠って会社に損害を与えれば損害賠償責任を負い（同法423条1項）、職務について悪意または重大な過失があれば第三者に対しても責任を負います（同法429条1項）。
重要なのは、従業員の行為そのものではなく「発覚後に取締役がどう判断したか」が審査対象になることです。
- 調査をしない・打ち切る。合理的な調査を行わず被害が拡大すれば、拡大分の任務懈怠が問われます。
- 報告義務を怠る。行政上の措置に加え、会社に生じた損害について取締役個人の責任が問題になります。
- 隠ぺい・虚偽説明。事実を知りながら取引先や金融機関に虚偽の説明をすると、第三者責任（429条1項）や刑事責任に直結します。
会社法は、取締役の職務執行が法令・定款に適合することを確保する体制（内部統制システム）の整備を取締役会の決定事項とし（同法362条4項6号、取締役会のない会社では348条3項4号）、大会社にはその決定を義務づけています（362条5項・348条4項）。中小企業に整備義務はありませんが、職務分掌・承認権限・内部通報窓口といった「規模に応じた合理的な体制」の有無は、不祥事後に取締役の責任を判断する材料になります。
取締役の責任は、従業員の不正そのものより「発覚後の判断」で問われます。調査をしない・報告を怠る・隠すという選択は、423条・429条の責任に最も近づく行動です。
第三者委員会は必要か ― 社内調査・外部専門家調査との使い分け
- 社内調査。総務・経理・管理職が中心となって行うもの。迅速ですが、関与者が上位者である場合や調査担当者に利害関係がある場合には限界があります。
- 外部専門家による調査（会社主導）。弁護士や公認会計士が会社の委託を受けて調査するもの。専門性と一定の客観性があり、中小企業では現実的な選択になることが多いです。
- 第三者委員会。日本弁護士連合会「企業等不祥事における第三者委員会ガイドライン」（2010年）では、企業等から独立した委員のみで構成され、徹底した調査と原因分析を行い、再発防止策を提言する委員会と位置づけられています。会社が結論を左右できない点が特徴です。
第三者委員会が検討される場面
- 経営トップや役員の関与が疑われ、会社主導の調査では信用されない場合
- 被害者・取引先・金融機関・監督官庁に調査結果の客観性を示す必要がある場合
- 上場準備中など、調査の独立性が求められる場合
逆に、関与者が従業員にとどまり、経営陣に関与の疑いがなく、被害も限定的な場合は、会社主導の外部専門家調査で足りることが多いです。第三者委員会は時間と費用がかかり、結論を会社が制御できません。「誰に、どの程度の客観性を示す必要があるか」から逆算して調査の形を選びます。
よくある質問（FAQ）
不祥事が発覚したとき、最初に誰に相談すべきですか。
個人情報が漏えいした場合、どこまで報告・通知が必要ですか。
調査が終わるまで公表を待ってよいですか。
関与が疑われる従業員を、すぐに自宅待機や懲戒処分にしてよいですか。
取締役会のない小規模な会社でも、取締役個人の責任は問われますか。
第三者委員会を設置しないと、調査の信用性は認められませんか。
内部通報で不祥事が発覚した場合、通報者にはどう対応すべきですか。
まとめ
- 初動48時間の目標は「被害の拡大防止・証拠保全・判断体制の構築」で、本人への追及や結論を急がないことです。
- 調査は客観証拠を先に固め、ヒアリングは周辺から本人へ。強圧的な聞き取りや通報者の探索は避けます。
- 法令上の報告義務（個人情報保護法26条など）は期限が短く、任意の公表は「後から判明したときに説明できるか」を軸に判断します。
- 取締役の責任は発覚後の判断で問われ、調査をしない・報告しない・隠す選択が会社法423条・429条の責任に最も近づきます。
- 第三者委員会は経営陣の関与が疑われる場合などの選択肢で、多くの会社では外部専門家による会社主導の調査が現実的です。
不祥事は「起きたときに動ける準備」があるかどうかで結果が変わります。当事務所の顧問弁護士サービスでは、発覚初日からの初動助言、証拠保全とヒアリングの設計、報告・公表の判断、取引先への説明文の作成までを、貴社の事業と契約内容を踏まえて支援しています。すでに疑いが生じている場合も、まずはお問い合わせ（無料相談）から状況をお聞かせください。
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。法令・制度の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令をご確認のうえ、弁護士にご相談ください。