コンプライアンス(その3) 日本証券業協会が定める内部管理責任者

1線におけるリスク発見・管理機能

日本証券業協会は自主規制規則として、「協会員の内部管理責任者等に関する規則」を定め、その第13条で「協会員は支店や営業所単位ごとに内部管理業務の管理職者を内部管理責任者に任命し配置しなければならない」としています。

また、第15条では「内部管理責任者は、自ら金商法その他の法令諸規則等を遵守するとともに、自らが内部管理責任者として任命された営業単位における営業活動が金商法その他の法令諸規則等に準拠し、適正に遂行されているかどうか常時監査する等適切な内部管理を行わなければならない。」としています。

証券界ではこの規則により、支店や営業所といった業務執行部門の中に異質な存在を配置することを従来から求めてきたのです。顧客の大切なお金を扱う業務でありながら、昔から不祥事が絶えなかった業界でしたので、3線ディフェンス的な発想が早くから持ち込まれていた、とみることも可能です。

さらに、第10条では「協会員は、支店や営業所に、当該営業単位の長を営業責任者に任命し、配置しなければならない。」とし、第12条で「営業責任者は、自ら金商法その他の法令諸規則等を遵守するとともに、自らが営業責任者として任命された営業単位に所属する役員又は従業員に対し、金商法その他の法令諸規則等を遵守する営業姿勢を徹底させ、投資勧誘等の営業活動、顧客管理が適正に行われるよう、指導、監督しなければならない。」としています。

1線におけるリスク管理、指導監督といった機能を営業責任者に求めていて、ここにも3線ディフェンスの機能が取り込まれています。リスクオーナーといった言葉はありませんが、支店長や営業所長が内部統制におけるまず第一の責任者であることを明示しています。kuniは、証券界はかなり先進的なリスク管理態勢を持っているのではないかと思っています。

営業責任者 内部管理責任者

このように先進的な内部管理システムを構築してきた証券界ですが、それでもやっぱりいろいろなことが起きてしまいます。まず、支店長が求められている責務を果たせないケース。支店長は当然業務執行の責任者でもあり、「収益を上げる」という役割と「内部管理を徹底する」という相反する役割を兼務することになります。

この支店長の微妙な立ち位置が収益の方に触れてしまったとき、問題が発生します。営業責任者という立場にはコンプライアンス上の脆弱性が潜んでいることを前提としておくべきで、そのために内部管理に専念する内部管理責任者を別途配置していると考えるべきでしょう。

余談ですが、会社の経営層においても同じような景色があって、取締役全員が執行役員を兼務している会社の経営陣についても似たようなことが起きているんじゃないかと思います。ここにもやはり独立取締役等が求められるわけですね。

遠隔操作と直接配置の決定的な違い

内部管理責任者という異質な存在を営業の現場に配置すること。これをルール化している業界って他にもあるんでしょうかね。これはかなり良いシステムではないかとkuniは思っていて、他の業界も検討してみたらどうかと思っています。

上場企業の不祥事においても、品質検査を行う部署が不正をしても、専門性や閉塞性のため、他の組織からはそれが発見できない。そのため何年にもわたって不正が続いてしまう。こんな状況をたくさん見ました。そう、外からでは見えてこないことが沢山あるわけです。支店や工場といった、本社から離れた組織の場合はさらに見えにくくなります。

だからこそ、直接現場組織の中に配置する意味があるわけです。本社からの遠隔操作ではなく、現場組織への直接配置の方が決定的に機能が高いと言えます。

コンプライアンス(その2) 3線ディフェンス

3線ディフェンスという態勢

コンプライアンス領域の拡大に合わせて、リスクベースでコンプライアンス業務をチューニングしていくことについて前回書きました。その際に触れておくべきと思われるのが新しい態勢、3線ディフェンス(Three-line defense)です。

2008年のリーマンショックによる世界的な金融危機の反省を踏まえて、主要国の金融監督当局は、国際的な巨大金融機関について、普通の金融機関よりも厳しい規制を課すことになりました。その時に提唱された新しいコンプライアンス態勢が3線ディフェンスです。全世界で30程度の巨大金融機関に対して求められたこの態勢ですが、今では多くの企業でその態勢が取り入れられています。

3線それぞれの役割

第1線は業務執行部門、いわゆるフロントのことで、日々の業務の中でリスクの特定を行い、必要な統制を行います。リスクオーナーとしてリスクを前線でコントロールする役割です。1線の中にコンプライアンスの推進を役割とする部署、いわゆる「1.5線」とも呼ばれる機能部署を置くケースもあります。

第2線はリスク管理部門やコンプライアンス部門のことで、業務執行部門とは独立した立場で、リスクおよびその(1線における)管理状況を監視します。また、適切な助言を行い指導する立場でもあります。

そして、第3線は内部監査部門で、業務執行部門、リスク管理部門等から独立した立場から、それぞれにおけるリスクの管理状況および監視・指導の状況を最終的に確認し、取締役会等に報告。リスク管理機能、内部統制システムの合理的な保証を与えるという役割になります。

1線の新たな役割 異質な存在の重要性 

それぞれの役割についてみてきましたが、ある程度のサイズの会社であれば、2線と3線に相当する部署と機能については既に備えていると思います。従来の態勢と最も大きく違うのが1線でしょう。業務を執行するだけでなく、そこで発生するリスクを的確にとらえ、自らリスクをコントロールすることが求められます。

つまり、ここに新たな組織であったり、人員が必要になるわけです。業務を強力に推進しようとする集団の中に、基本的な指向性は一緒であるものの、リスクを見出しコントロールしようとする、周囲とは異質な存在を置くわけです。このことにより2つのメリットが生まれます。

一つ目は、その業務を推進することで発生するであろう将来のリスクをより的確に見極めることができるという点です。特に支店や工場といった本社とは物理的にも離れた組織ではこのメリットは顕著です。

二つ目は、リスク管理やコンプライアンス管理の立場から、支店長や工場長に適切な助言を行えることです。ずいぶんきれいな書き方になってしまいましたが、現実には異質な存在とトップの間でかなりの衝突も起きます。現場に放り込まれた異質な存在がその異質性を維持することはとてつもなく大変なことです。本社2線からの強力な支援が重要になります。

スルガ銀行に見る異質な存在

銀行は一部で証券仲介業を行うため、日本証券業協会の規則が適用され、支店に内部管理責任者を置くことが求められます。この内部管理責任者こそが現場における異質な存在であり、暴走しそうな支店長等に対して、コンプライアンス上の適切な助言や牽制を行う役割を担う人です。

しかしながら、スルガ銀行ではその異質性が担保されることなく、全員が同じ方向を向いてしまったわけです。本社における2線や3線が機能不全を起こしてしまっており、支援のない状況でしたから、当然1線でのけん制も効かなかったと思われます。結果的に内部通報制度すら機能しませんでした。

コンプライアンス 拡大し続ける対象領域

20年ほど前のこと、kuniが初めてコンプライアンス部門の職場に異動になったとき、コンプライアンス=「法令遵守」、と教えられました。そのころ既にコンプライアンスの意味が次第に変化し始めていました。まずは「社内規則やマニュアルの遵守」も含むようになり、次に「企業倫理」にまでその対象領域を拡大してきました。

この20年でコンプライアンスの意味する領域は大きく拡大してきたわけです。そして現在では、「社会規範」までもが、コンプライアンスの領域となってきました。とうとうコンプライアンスとは、社会の要請に応えるために企業が取り組むすべてを指す言葉になってしまいました。

コンプライアンスの実務にも影響

こんなふうにカバーすべき領域が広範になってしまうと、チェックリストやマニュアルといったツールでカバーすることが困難になってしまいます。当然ですよね。それでなくても人員を潤沢に配置してもらえる部署ではありませんから。これはどこの会社も一緒だと思います。

そこでリスクベースという考え方がとられるようになります。自社が注力する事業やビジネスモデルの特長に着目して、そのビジネスを強力に推進することで、リスクが高くなると思われるゾーンにフォーカスして対処しようという考え方です。

また、予兆管理という方法もあります。一見関係なさそうに見える指標をモニタリングしていると、その指標が大きく変化する部署等で、後に大きな事件、事故が発生したりするという因果関係というか関係性に着目する手法です。例えば、ミスが顕著に増加し始めた支店や営業所で、過失ではなく従業員による不正が発生するといったこと、意外にあるんです。

「ミスの多発」と「従業員による不正」って、一見関係なさそうです。ミスが多発するのは職場に緊張感がなかったり、逆に緊張感が強すぎたり。その背景には管理職やトップの管理方法に問題があったりします。甘すぎる管理は不正を発生させる機会となりますし、厳しすぎる管理は目標を達成するための不正につながりやすかったりします。

そして、広範な対象領域に対応するためのもう一つの方法が、他部署との連携だと思います。コンプライアンス部とは別に検査部や監査部があるばあいは、当該部署との連携であったり、従来は別の対象を相手にしてきたかもしれないリスク管理部といった部署との連携も有効になってきます。

基本は法令・諸規則

こんなふうに、コンプライアンスの領域は拡大し続け、コンプライアンスを徹底していくための方法も変化を続けています。しかし、それでも重要なのは、法令・諸規則、社内ルールといったベースになるコンプライアンスを、ルーチンでしっかり押さえておくこと。

この土台が揺らいでいると先ほどまでの話は意味を持ちません。基本をしっかり押さえたうえで、プラスアルファでリスクベースでの取り組みを、他部署も巻き込んでオンしていくという枠組みを持つことですね。