IPO準備におけるコンプライアンス体制は、社内規程を整え、研修を実施し、コンプライアンス委員会を設置すれば、それで足りるというものではありません。
上場準備で本当に問われるのは、会社が法令違反や不正を起こさないように「見せる」ことではありません。事業成長の過程で生じるリスクを早い段階で把握し、経営判断として是正し、投資家・金融機関・役職員・取引先・株主に対してきちんと説明できる状態へ整えているか。ここが核心です。
なかでも、反社会的勢力との関係排除、個人情報管理、内部通報制度、コンプライアンス委員会、役職員教育、そして違反が起きたときの危機対応は、IPO審査・内部統制・ガバナンス・開示責任が交差する領域だといえます。
主幹事証券会社による内部管理体制のチェックを思い浮かべると、その位置づけがよく見えてきます。ビジネスモデル、規程、経営組織、労務管理、業務フロー、会計制度、予算管理、利害関係者取引、グループ会社、情報開示、内部監査、資本政策。これらに加えて、反社会的勢力の排除やコンプライアンスが確認の対象となります。
つまり、コンプライアンス体制は「管理部門の守り」にとどまる話ではありません。IPOを通じて会社を資本市場に開く以上、成長の前提となる信頼をどう築くか、という経営そのもののテーマなのです。
IPO準備でコンプライアンス体制が重視される理由
IPO準備会社では、成長スピードを優先するあまり、取引先審査、委託先管理、個人情報管理、内部通報、法令遵守、反社チェックといった取り組みが後回しになっているケースが少なくありません。
創業期を振り返ると、その理由はよくわかります。経営者の判断で取引を始め、営業現場が独自に契約を結び、エンジニアが外部サービスを導入し、人事が採用管理ツールを使い、マーケティング部門が顧客データを活用していく。こうした機動的な動きは、成長企業ではむしろ自然なものです。
ところが上場準備の段階に入ると、その「速さ」がそのままリスクへと転じます。
- 誰と取引しているのか
- 誰が顧客データにアクセスできるのか
- 不正や法令違反の兆候はどこに集まるのか
- 委託先で問題が起きたとき、会社として把握できるのか
- 経営者にとって都合の悪い情報が上がってくる仕組みはあるのか
- 反社会的勢力との関係を、取引開始時だけでなく継続的に排除できているのか
- 個人情報漏えいが発生したとき、報告・本人通知・公表・再発防止まで動けるのか
これらに答えられないと、せっかく描いた成長ストーリーも、足元から脆くなってしまいます。
IPOの本質を「投資家に対する自社株式のマーケティング」と捉えるなら、内部管理体制は、その株式が欠陥商品ではないことを示すための必要条件だといえるでしょう。もちろん、管理体制が整っているというだけで投資家から選ばれるわけではありません。けれども、重大なコンプライアンス違反や反社会的勢力との関係があれば、成長性を語る以前に、上場準備そのものが止まってしまう可能性があります。
コンプライアンス体制は「規程」ではなく「発見・是正・再発防止」の仕組み
コンプライアンスを「法令遵守」とだけ理解してしまうと、どうしても規程の整備と研修の実施に偏りがちです。
しかし、IPO準備で本当に必要なのは、違反をゼロだと宣言する体制ではありません。違反や不正の兆候を早期に発見し、会社として是正できる体制です。
この点について、日本取引所自主規制法人が公表している考え方が参考になります。不祥事予防の取り組みにあたっては、制度と実態の両面からコンプライアンスの状況を正確に把握すること、違反を早期につかんで迅速に対処すること、そしてグループ全体やサプライチェーンまで視野に入れることが求められています。
出典：日本取引所グループ｜上場会社における不祥事予防のプリンシプル
この発想は、上場会社だけでなく、IPO準備会社にもそのまま当てはまります。上場後に突然コンプライアンス体制をつくるのではなく、上場前から同じ考え方で会社を運用できているか。そこが問われるわけです。
コンプライアンス体制の中心となるのは、次の6つの機能です。
| 機能 | 形式的な対応 | IPO準備で求められる実効性 |
|---|---|---|
| 反社排除 | 取引開始時にチェックする | 役員・株主・取引先・委託先・M&A対象・紹介者まで範囲を定め、継続的に管理する |
| 個人情報管理 | プライバシーポリシーを掲載する | データの取得・利用・保管・第三者提供・委託・削除・漏えい対応を業務フロー化する |
| 内部通報 | 窓口を置く | 通報者保護、調査、是正、再発防止、経営報告まで運用する |
| 委員会 | コンプライアンス委員会を開催する | リスクを抽出し、優先順位を決め、課題を管理し、経営判断につなげる |
| 教育 | 年1回研修を実施する | 職種・権限・リスクに応じて、現場判断が変わる教育を行う |
| 違反時対応 | 事案ごとに対応する | 事実調査、影響評価、法令報告、開示要否、再発防止を一体で判断する |
規程を作ることは、あくまで出発点にすぎません。実効性は、運用記録、会議体での審議、調査記録、是正措置、教育履歴、内部監査、経営報告といった積み重ねによって、初めて確認できるものです。
反社会的勢力排除｜「関係がない」と言えるだけの証拠を残す
反社会的勢力との関係排除は、IPO準備において非常に重みのある論点です。
たとえば東京証券取引所の提出書類フォーマットを見ると、プライム市場への上場申請時の提出書類として、反社会的勢力との関係がないことを示す確認書と、その別添である個人法人リストが掲げられています。
出典：日本取引所グループ｜提出書類フォーマット プライム市場
このように、反社会的勢力との関係がないことを示す確認書は、上場申請書類のなかでも重要な位置づけを与えられています。
ここで気をつけたいのは、「当社は反社会的勢力と関係がありません」と宣言するだけでは足りない、ということです。IPO準備で求められるのは、どの範囲を、どのタイミングで、どの方法で確認し、問題があった場合にどう対応するのか。この一連のプロセスを、社内の仕組みとして説明できることです。
反社会的勢力排除の対象は、一般に次のように広がっていきます。
| 対象 | 確認すべき理由 |
|---|---|
| 役員・執行役員・重要な使用人 | 経営意思決定や内部情報に接するため |
| 大株主・主要株主・創業者周辺 | 支配権、資本政策、上場後の株主構成に影響するため |
| 主要取引先 | 事業継続、売上依存、資金流入に影響するため |
| 販売代理店・紹介者 | 間接的な関係や不透明な手数料が生じやすいため |
| 業務委託先・外注先 | 個人情報、機密情報、顧客接点を持つ場合があるため |
| M&A対象会社・子会社 | グループ全体で上場会社水準の管理が問われるため |
| 不動産賃貸人・金融機関以外の資金提供者 | 拠点・資金面で継続的な関係が生じるため |
| 顧問・アドバイザー・外部専門家 | 経営判断や申請実務に関与するため |
反社チェックは、取引開始時だけ行えばよいものではありません。継続取引、役員就任、株式移動、資金調達、M&A、重要契約の更新といったタイミングでも、その都度実施していく必要があります。
政府の指針でも、反社会的勢力による被害を防止するための基本原則が示されています。組織として対応すること、外部の専門機関と連携すること、取引を含めた一切の関係を遮断すること、有事には民事と刑事の両面で法的に対応すること、そして裏取引や資金提供を行わないこと。これらが柱として掲げられています。
出典：厚生労働省｜「企業が反社会的勢力からの被害を防止するための指針」について
金融庁の監督指針においても、反社会的勢力との関係遮断に向けた態勢整備の必要性が示されています。金融商品取引業者については、公共の信頼や業務の適切性・健全性を確保するうえで、法令等に則した対応が不可欠とされています。
出典：金融庁｜金融商品取引業者等向けの総合的な監督指針 III－2－11 反社会的勢力による被害の防止
IPO準備会社そのものは金融商品取引業者ではありません。しかし、資本市場から資金を受け入れる以上、これと同じ方向性で反社排除の体制を整えておく必要があります。
反社チェック体制の実務ポイント
反社チェック体制は、次のような観点で設計していきます。
| 項目 | 実務上の確認ポイント |
|---|---|
| 方針 | 反社会的勢力との一切の関係遮断を、基本方針として明文化しているか |
| 対象範囲 | 役員、株主、取引先、委託先、紹介者、M&A対象まで対象を定めているか |
| 実施時点 | 新規取引時、契約更新時、役員就任時、資本取引時、M&A時に確認しているか |
| 確認方法 | データベース、新聞・Web検索、登記、反社チェックサービス、外部照会を組み合わせているか |
| 契約条項 | 反社会的勢力排除条項、表明保証、解除条項、損害賠償条項を整備しているか |
| エスカレーション | 懸念先が出た場合、誰が判断し、誰に報告するかが明確か |
| 証跡 | チェック日、確認者、検索結果、判断理由、承認記録を保存しているか |
| 継続管理 | 主要先について、定期的な再チェックを行っているか |
| 有事対応 | 警察、暴力追放運動推進センター、弁護士等への相談ルートがあるか |
反社排除でもっとも危ういのは、営業担当者や経営者個人による「知っている相手だから大丈夫」という判断です。資本市場で問われるのは、個人的な信頼関係ではありません。組織として確認したという、客観的な証拠です。
個人情報管理｜データで伸びる企業ほど上場準備で問われる
近年のIPO準備会社では、個人情報管理が事業成長と直結する場面が増えています。
SaaS、EC、アプリ、マーケットプレイス、HR、FinTech、医療・ヘルスケア、教育、広告、AI、生成AI、データ分析、CRM、営業支援、採用管理。こうした領域の成長企業の多くは、個人情報を事業活動の中核で取り扱っています。
そして個人情報管理は、プライバシーポリシーを用意するだけでは足りません。次のような点を、業務フローとして把握しておく必要があります。
- どの個人情報を取得しているか
- 何の目的で利用しているか
- 本人にどのように通知・公表しているか
- 誰がアクセスできるか
- どのシステムに保存されているか
- 海外クラウドや外部委託先を利用しているか
- 第三者提供や共同利用があるか
- 退会・解約・退職後に削除しているか
- 漏えい時に報告・通知できるか
- 開発環境や分析環境で本番データを使っていないか
個人情報保護委員会のガイドラインでは、個人情報取扱事業者は、個人データの漏えい等を防ぐための安全管理として、必要かつ適切な措置を講じなければならないとされています。その措置の内容は、本人の権利利益が侵害された場合の大きさ、事業の規模や性質、データの取扱状況、媒体の性質などに応じたものでなければならない、と整理されています。
出典：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）
漏えい等の報告についても、目安が案内されています。発覚した日から3〜5日以内の速報、原則として30日以内の確報、不正な目的によるおそれがある場合は60日以内の確報、という流れです。
IPO準備会社の場合、漏えい等の報告が必要な事案が起きたときに検討すべき範囲は、個人情報保護委員会への対応だけにとどまりません。主幹事証券、監査法人、取締役会、監査役、重要取引先、そして投資家向け開示への影響まで、視野に入れて動く必要があります。
個人情報管理で整理すべき業務フロー
| 業務領域 | 典型的な個人情報 | IPO準備での確認ポイント |
|---|---|---|
| 顧客管理 | 氏名、連絡先、契約情報、購買履歴、問い合わせ履歴 | 利用目的、第三者提供、CRM権限、委託先管理 |
| サービス運営 | アカウント情報、ログ、行動履歴、決済情報 | アクセス権限、分析利用、削除・退会処理 |
| マーケティング | メール配信リスト、広告ID、セミナー参加者情報 | 同意取得、オプトアウト、外部ツール利用 |
| 採用 | 履歴書、職務経歴書、面接評価、リファレンス | 保存期間、閲覧権限、不採用者データ削除 |
| 人事労務 | 従業員情報、給与、評価、健康情報、マイナンバー | 要配慮情報、アクセス制限、委託先管理 |
| 開発・分析 | 本番データ、ログ、AI学習用データ | 仮名化・匿名化、目的外利用、検証環境管理 |
| IR・株主管理 | 株主情報、投資家面談記録 | インサイダー情報管理、情報共有範囲 |
| 委託先管理 | 外部コールセンター、クラウド、開発会社 | 委託契約、安全管理措置、再委託管理 |
個人情報保護は、法務部門だけで完結する話ではありません。IT統制、情報セキュリティ、内部監査、業務フロー、開示体制、危機管理。これらと一体で設計してこそ、機能します。
IPAが公表した「情報セキュリティ10大脅威 2026」でも、組織向けの脅威として、ランサム攻撃、サプライチェーンや委託先を狙った攻撃、AI利用をめぐるサイバーリスク、内部不正による情報漏えいなどが上位に挙げられています。
これはIPO準備会社にとっても、決して他人事ではありません。個人情報漏えいは単なるシステム事故ではなく、顧客の信頼、事業計画、売上の継続性、レピュテーション、そして資本市場での評価にまで影響を及ぼすからです。
なお、個人情報保護法をめぐっては、2026年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定され、国会に提出されています。身体の一部の特徴に係る情報が含まれる個人情報等の利用停止請求、課徴金制度、統計等の作成を行う第三者への個人情報提供に関する本人同意不要措置などが盛り込まれています。今後の成立状況・施行時期・実務対応については、必ず最新の情報で確認してください。
出典：個人情報保護委員会｜「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（令和8年4月7日）
内部通報制度｜窓口の設置ではなく、悪い情報が経営に届く仕組みを
内部通報制度は、IPO準備における重要なコンプライアンスインフラのひとつです。
とはいえ、通報窓口を設置しただけでは機能しません。役職員が安心して通報でき、通報後にきちんと調査が行われ、是正措置と再発防止につながっていく。ここまでそろって、初めて意味を持ちます。
公益通報者保護法では、常時使用する労働者の数が300人を超える事業者に対し、内部公益通報対応体制の整備その他の必要な措置が義務づけられています。300人以下の事業者についても、努力義務とされています。
出典：消費者庁｜内部公益通報対応体制の整備その他の必要な措置に関するQ&A
この公益通報者保護法については、令和7年改正法が2025年6月11日に公布され、2026年12月1日からの施行が予定されています。IPO準備会社としては、施行前であっても、通報者保護、体制整備、周知、調査・是正のプロセスについて、改正内容を踏まえた見直しを進めておく必要があります。
法定の指針でも、内部公益通報の受付窓口を設置したうえで、通報を受け、調査し、是正に必要な措置をとる部署と責任者を明確に定めることが示されています。
内部通報制度で何より大切なのは、経営者にとって耳の痛い情報を、その経営者が握りつぶせない構造にしておくことです。内部統制には、経営者による無効化のリスクが常につきまといます。だからこそ、実効性のある内部・外部の通報制度や、社外役員を含めた取締役会・監査役等による監督が重要になるのです。
内部通報制度の設計ポイント
| 項目 | 確認すべき実務ポイント |
|---|---|
| 窓口 | 社内窓口と外部窓口を設けているか |
| 対象 | 役職員、退職者、派遣社員、委託先など、対象範囲を整理しているか |
| 通報方法 | メール、Webフォーム、電話、郵送、匿名通報の扱いを定めているか |
| 担当者 | 公益通報対応業務従事者、責任者、調査担当を明確にしているか |
| 秘密保持 | 通報者、被通報者、調査協力者の情報管理を徹底しているか |
| 不利益取扱い禁止 | 解雇、降格、配置転換、評価不利益、嫌がらせを防ぐ仕組みがあるか |
| 調査 | 調査開始基準、調査範囲、証拠保全、ヒアリング手続を定めているか |
| 報告 | 取締役会、監査役、社外役員、内部監査への報告ルートがあるか |
| 是正 | 処分、業務改善、再発防止、教育、規程改訂まで行うか |
| 周知 | 制度の存在、利用方法、保護内容を継続的に周知しているか |
内部通報制度は、通報件数が少なければ少ないほど良い制度、というわけではありません。通報がまったくない会社は、問題がないのではなく、「通報しても無駄だ」と思われている可能性があるからです。
IPO準備で重視されるのは、通報件数そのものではありません。制度がどれだけ周知されているか、通報後の対応がどう記録されているか、調査の独立性は保たれているか、取締役会や監査役へ報告されているか、再発防止がきちんと実行されているか。こうした中身です。
コンプライアンス委員会｜設置よりも「何を議論しているか」
IPO準備にあたり、コンプライアンス委員会を設置する会社は数多くあります。しかし、委員会を置いただけでは、実効性は生まれません。
毎月あるいは四半期ごとに会議を開いていても、その議題が研修の実施報告や規程改訂の確認だけにとどまっているなら、経営リスクを管理しているとはいえないでしょう。
コンプライアンス委員会に期待される役割は、次のようなものです。
- 法令改正・規制動向の把握
- 社内外の通報・苦情・クレームの分析
- 反社チェック結果の報告
- 個人情報管理状況の確認
- 委託先・サプライチェーンリスクの確認
- 労務・ハラスメント・情報漏えい・不正リスクの確認
- 重大インシデントの初動対応方針
- 再発防止策の進捗管理
- 取締役会・監査役・内部監査への報告
- 教育計画と実施結果の評価
委員会の位置づけも見逃せません。管理部門だけの会議にしてしまうと、現場の実態が上がってこなくなります。営業、開発、人事、情報システム、法務、経理、内部監査、経営企画など、リスクに関係する部門を巻き込んでいくことが欠かせません。
内部統制やサステナビリティ情報の信頼性を高めるという観点からも、財務・会計、リスクマネジメント、内部監査、IR、戦略、業務、IT、コンプライアンス、人事、法務といった機能横断的な参加が重要だとされています。
コンプライアンス委員会で扱うべき議題例
| 領域 | 議題例 |
|---|---|
| 反社排除 | 反社チェック実施状況、懸念先、契約解除・取引停止の判断 |
| 個人情報 | 漏えい兆候、アクセス権の棚卸し、委託先管理、第三者提供 |
| 内部通報 | 通報件数、調査状況、是正措置、通報者保護 |
| 法令改正 | 個人情報保護法、公益通報者保護法、業法、労務、消費者法 |
| 取引先管理 | 主要取引先の信用不安、違法行為、下請・フリーランス対応 |
| 労務・人権 | ハラスメント、長時間労働、採用差別、外国人雇用 |
| 情報セキュリティ | ランサムウェア、委託先攻撃、内部不正、アカウント管理 |
| グループ管理 | 子会社・海外拠点・M&A対象会社のリスク |
| 教育 | 役員向け、管理職向け、現場向け、情報管理向けの教育 |
| 危機対応 | 発生事実の開示要否、広報方針、当局対応、再発防止 |
委員会の議事録には、単なる報告だけでなく、判断の理由、対応期限、責任部署、経営報告の要否まで残しておきたいところです。
IPO審査で問われるのは、「コンプライアンス委員会がありますか」という事実ではありません。会社が重要なリスクを認識し、組織として判断し、是正まで進めているか。問われているのは、ここです。
教育・研修｜知識を配るのではなく、現場の判断を変える
コンプライアンス教育は、IPO準備で必ず整えておきたい領域です。
ただし、年1回のeラーニングを受講させ、受講率を100％にするだけでは不十分です。教育の目的は、知識を配ることではありません。現場で迷ったときの判断を変えることにあります。
特にIPO準備会社では、次のような場面で判断が分かれます。
- 営業担当者が、紹介者から高額な紹介手数料を求められた
- 取引先の代表者に反社の疑義があるが、売上依存度が高い
- 顧客データをマーケティング分析に使いたい
- 開発環境で本番データを利用したい
- 外部委託先から再委託の相談を受けた
- 上司のハラスメントを、部下が人事に相談した
- 社内で粉飾や売上前倒しの疑義を聞いた
- 退職者が顧客リストを持ち出した
- SNS上で自社サービスの炎上が始まった
- 取引先の違法行為が報道された
こうした場面で、役職員が「自分で抱え込まず、適切な窓口に相談する」という行動を取れるかどうか。これが大きな分かれ目になります。
そして教育は、対象者ごとに分けて設計する必要があります。
| 対象者 | 教育内容 |
|---|---|
| 取締役・経営陣 | 上場会社としての説明責任、内部統制、反社排除、開示、危機対応 |
| 管理職 | ハラスメント、通報対応、部下からの相談、情報管理、懲戒手続 |
| 営業 | 取引先審査、反社チェック、接待交際、下請・委託先、契約管理 |
| 開発・IT | 個人情報、アクセス権、ログ管理、脆弱性、外部サービス利用 |
| 人事 | 労務、採用情報、健康情報、ハラスメント、公益通報 |
| 経理・財務 | 不正会計、支払統制、経費不正、資金管理、反社資金流入 |
| 全社員 | 行動規範、内部通報、個人情報、SNS、情報持出し |
研修の証跡としては、実施日、対象者、教材、受講履歴、理解度テスト、未受講者フォロー、質疑応答、改善事項などを残しておきます。IPO準備で確認されるのは、教育を「やった」という記録ではありません。その教育がリスク低減にどう効いているか、という実質です。
違反時対応｜問題発覚後の動きが、会社の信頼を左右する
どれだけ体制を整えても、コンプライアンス違反や情報漏えいが起きる可能性をゼロにはできません。
大切なのは、違反をゼロだと言い切ることではありません。発覚したときに、会社として適切に対応できることです。
法務・コンプライアンスリスクを考えるうえでは、不祥事や不正行為そのものだけでなく、なぜ事前に防げなかったのか、事後対応は適切だったのか、という視点が欠かせません。形式的な法令遵守体制があっても企業不祥事は起こり得ます。制度や文書を整えるだけでは、真のコンプライアンスには届かないのです。
違反が発生したときは、次の順序で整理していきます。
1. 初動対応
事案を把握したら、事実を確定する前に、まず証拠保全と被害拡大の防止を行います。
関係資料、ログ、メール、チャット、契約書、アクセス履歴、監視カメラ、端末、クラウド環境などを保全します。個人情報漏えいが疑われる場合は、アクセス停止、アカウント停止、外部共有の停止、委託先への連絡を進めます。
この段階で、軽々に「問題ありません」と社内外へ説明してはいけません。初動で誤った説明をしてしまうと、あとから訂正が必要になり、かえって信頼を損なってしまいます。
2. 事実調査
次に、誰が、いつ、何を、どの範囲で、なぜ行ったのかを調査します。
調査の担当は、事案の性質に応じて、法務、人事、情報システム、内部監査、外部弁護士、公認会計士、社労士、フォレンジック専門家を組み合わせます。経営者や役員の関与が疑われる場合には、独立性を確保した調査体制が必要です。
3. 影響評価
影響評価では、法令違反の有無だけでなく、会社全体への影響を整理します。
- 個人情報保護委員会や監督官庁への報告が必要か
- 本人への通知が必要か
- 取引先・顧客への説明が必要か
- 労務上の処分が必要か
- 損害賠償や契約解除のリスクがあるか
- 財務諸表・引当金・偶発債務に影響するか
- 監査法人・主幹事証券への報告が必要か
- 上場申請書類やリスク情報に影響するか
- 適時開示や法定開示の検討が必要か
- 上場スケジュールに影響するか
上場会社における不祥事対応の考え方でも、不祥事やその疑義を把握した場合には、必要十分な調査によって事実関係や原因を解明し、その結果をもとに再発防止を図ることを通じて、自浄作用を発揮する必要があるとされています。
出典：日本取引所グループ｜上場会社における不祥事対応のプリンシプル
IPO準備会社も、上場後に求められるこの発想を、前倒しで実装しておく必要があります。
4. 是正・再発防止
違反時対応のなかで、もっとも軽視されやすいのが再発防止です。
再発防止策は、「研修を徹底します」「規程を見直します」だけでは足りません。原因が業務フローにあるのか、権限管理にあるのか、上司の圧力にあるのか、売上目標にあるのか、委託先管理にあるのか、それとも経営者の姿勢にあるのか。ここを特定しないかぎり、同じ問題が繰り返されてしまいます。
再発防止策としては、たとえば次のようなものが考えられます。
- 承認権限の見直し
- アクセス権限の削除・定期棚卸し
- 職務分掌の変更
- 外部委託先の再審査
- 契約条項の改訂
- 内部通報制度の改善
- 取締役会・監査役への定期報告
- 内部監査の監査項目追加
- コンプライアンス委員会でのフォローアップ
- 役員・管理職への個別教育
- KPI・インセンティブ設計の見直し
違反時対応は、危機広報だけでは終わりません。会社の仕組みそのものを変えるところまで踏み込んで、ようやく資本市場に説明できる対応になります。
IPO準備で整える順番
反社会的勢力排除、個人情報管理、内部通報、コンプライアンス委員会、教育、違反時対応。これらは、申請期にまとめて整備するものではありません。
IPO準備監査では、直前々期末までに基本的な管理体制を整え、直前期には上場会社と同レベルの管理体制で、一定期間の運用実績を示すことが想定されています。
コンプライアンス体制も、これと同じです。規程だけなら短期間で作れますが、運用実績ばかりは、時間をかけて積み上げていくしかありません。
| フェーズ | 整備すべき内容 |
|---|---|
| IPO検討初期 | 反社・個人情報・法令違反・内部通報・委託先管理の現状棚卸し |
| N-3期 | 重要リスクの洗い出し、規程・方針の設計、担当部署と責任者の明確化 |
| N-2期 | 反社チェック、個人情報台帳、内部通報制度、委員会、教育を運用開始 |
| N-1期 | 運用実績の蓄積、内部監査、是正措置、取締役会・監査役への報告 |
| 申請期 | 主幹事証券・監査法人・取引所への説明、申請書類・リスク情報への反映 |
| 上場後 | 開示体制、適時開示、内部統制報告、投資家説明、継続的改善 |
なかでも反社チェックや個人情報管理は、あとからまとめて過去分を確認するのが難しい領域です。新規取引時、契約更新時、採用時、資金調達時、M&A時など、その発生時点で証跡を残す仕組みにしておく必要があります。
コンプライアンス体制の成熟度を確認する視点
自社のコンプライアンス体制を点検する際は、次のような問いを使うと、頭の中が整理しやすくなります。
反社会的勢力排除
- 主要株主、役員、取引先、委託先について、反社チェックの対象範囲を定めているか
- 契約書に反社会的勢力排除条項が入っているか
- 懸念先が出た場合の判断権限と報告ルートが明確か
- 過去の取引先・株主・紹介者について、確認漏れがないか
- M&A対象会社や子会社にも、同じ基準を適用しているか
個人情報管理
- 個人情報台帳を整備しているか
- 利用目的、第三者提供、委託、共同利用を整理しているか
- アクセス権限を定期的に棚卸ししているか
- 開発・分析環境で本番データを利用していないか
- 漏えい等が発生したときの報告・通知・公表フローがあるか
- 委託先・再委託先の管理をしているか
内部通報
- 内部通報窓口が周知されているか
- 通報者の秘密保持・不利益取扱い禁止が運用されているか
- 通報後の調査・是正・再発防止の記録があるか
- 経営者が関与する可能性のある事案でも、独立した調査が可能か
- 取締役会・監査役・社外役員へ報告される仕組みがあるか
コンプライアンス委員会
- 委員会が実質的なリスクを議論しているか
- 法務・人事・IT・経理・内部監査・現場部門が関与しているか
- 議事録に判断理由、期限、責任部署、フォローアップが残っているか
- 取締役会へ重要事項が報告されているか
- 子会社・海外拠点・委託先まで視野に入れているか
違反時対応
- 初動対応の手順があるか
- 証拠保全、外部専門家、当局報告、本人通知、開示要否を判断できるか
- 監査法人・主幹事証券への報告基準があるか
- 再発防止策を内部監査や委員会でフォローしているか
- 危機対応後に、規程・業務フロー・教育へ反映しているか
これらの問いに答えられない部分は、IPO審査で指摘される可能性があるだけではありません。上場後に重大な不祥事へと発展するリスクをはらんでいます。
反社排除・個人情報・コンプライアンス体制を、経営の言葉で説明できるか
IPO準備会社が陥りやすい誤解があります。コンプライアンス体制を「審査のために整えるもの」と考えてしまうことです。
しかし、投資家が見ているのは規程の数ではありません。会社が成長する過程で、リスクを認識し、情報を集め、経営判断として是正し、透明性を保てるかどうか。見られているのは、そこです。
それぞれの体制が果たす意味を、あらためて言葉にしてみます。
- 反社排除は、資本市場に不適切な資金や関係者を入れないための体制です。
- 個人情報管理は、顧客・従業員・ユーザーから預かったデータを、事業成長に使いながら守る体制です。
- 内部通報は、現場の違和感を経営に届ける体制です。
- コンプライアンス委員会は、散在するリスクを経営判断へ変換する体制です。
- 教育は、現場の判断を上場会社水準へ引き上げる体制です。
- 違反時対応は、会社の自浄作用を示す体制です。
これらはすべて、上場後の説明責任へとつながっていきます。
上場前に「問題がない会社」に見せるのではなく、問題を発見し、是正し、説明できる会社になること。それこそが、IPO準備におけるコンプライアンス体制の本質だと考えています。
反社排除・個人情報・コンプライアンス体制の整理に不安がある場合は
IPO準備におけるコンプライアンス体制は、法務部門や管理部門だけで完結するものではありません。
反社会的勢力排除、個人情報管理、内部通報、コンプライアンス委員会、情報セキュリティ、内部監査、開示判断、主幹事証券対応、監査法人対応。これらはすべて、互いに接続しています。
犬飼公認会計士・税理士事務所では、IPO準備を単なる上場審査対応とは捉えていません。資本市場に耐えうる会社づくりの過程として位置づけ、コンプライアンス体制を会計・内部統制・ガバナンス・開示・事業計画と接続しながら整理していく支援を行っています。
反社チェック体制が属人的になっている、個人情報管理が各部門任せになっている、内部通報制度が形だけになっている、コンプライアンス委員会の議題が実務に結びついていない、違反が起きたときに誰が何を判断するのか不明確である。こうした状況に心当たりがあるなら、早めに棚卸しを行っておくことをおすすめします。
お問い合わせページより、現在の体制、IPO準備の進捗、課題として感じている領域をお知らせください。初期の段階では、規程の有無を確認するよりも、どこにリスクがあり、どの順番で整備すべきかを整理することから始めるのが現実的だと考えています。
重要ポイントの振り返り
| 論点 | 重要ポイント |
|---|---|
| コンプライアンス体制の本質 | 規程・研修・委員会の設置ではなく、リスクを発見し、是正し、再発防止できる仕組みが必要 |
| IPO準備での位置づけ | 反社排除、個人情報、内部通報、違反時対応は、審査・内部統制・ガバナンス・開示に直結する |
| 反社会的勢力排除 | 役員・株主・取引先・委託先・紹介者・M&A対象まで範囲を定め、証跡を残して確認する |
| 反社チェックの実務 | 新規取引時だけでなく、契約更新、役員就任、資本取引、M&A時にも継続して確認する |
| 契約対応 | 反社会的勢力排除条項、表明保証、解除条項、損害賠償条項を整備する |
| 個人情報管理 | プライバシーポリシーだけでなく、取得・利用・保管・提供・委託・削除・漏えい対応まで業務フロー化する |
| 安全管理措置 | 事業規模、データの性質、取扱状況、本人への影響に応じた安全管理措置を設計する |
| 漏えい時対応 | 速報、確報、本人通知、公表、再発防止、主幹事証券・監査法人への報告を一体で検討する |
| 内部通報制度 | 窓口設置だけでなく、通報者保護、調査、是正、再発防止、経営報告まで運用する |
| 公益通報者保護法 | 300人超の事業者には体制整備義務があり、令和7年改正法は2026年12月1日施行予定 |
| コンプライアンス委員会 | 法令改正、通報、反社チェック、個人情報、委託先、危機対応を議論し、経営判断につなげる |
| 教育・研修 | 受講率ではなく、現場の判断が変わることが重要。役員・管理職・現場ごとに内容を分ける |
| 違反時対応 | 事実調査、影響評価、当局報告、開示要否、再発防止まで一体で整理する |
| 内部統制との関係 | コンプライアンス体制は、業務フロー、職務分掌、IT統制、内部監査と接続して初めて機能する |
| 整備時期 | N-2期までに基本体制を整え、N-1期には運用実績を積むことが望ましい |
| 経営判断としての意味 | コンプライアンスは守りではなく、投資家から信頼される成長企業になるための経営インフラ |
