会社の不正が判明したら行政に報告すべき？報告義務と自主申告の判断

• 企業不祥事の初動対応｜第9話 / 全15話
• カテゴリー：コンプライアンス・規程対応
• 法令・情報基準日：2026年9月5日

月曜午前10時、報告義務をめぐって意見が三つに分かれる

【シリーズナビゲーション】企業不祥事の初動対応｜全15話

この記事の結論（先に要点）

※本記事は2026年9月5日時点の法令・公表資料に基づく一般的な解説です。個別事案の判断は、所管官庁の最新資料と専門家への確認を前提としてください。

会社の不正はすべて行政へ報告する義務がある？

例えば、個人データの一定の漏えい等には個人情報保護法上の報告義務があります。一方、社内で経費の不正精算が見つかっても、それだけで一般企業に行政報告義務が生じる制度は通常ありません。同じ「不正」でも、どの法令の射程に入るかで結論はまったく変わります。

したがって、法務部が最初に問うべきなのは「報告するか？」ではありません。

この特定作業を、調査の進捗を待たずに始めることが第9話の出発点です。

行政対応を7つのレーンに分ける

不祥事発覚時の「外への対応」は、一つの手続ではありません。LegalGPTでは、実務上次の7レーンに分けて整理することを推奨しています。

※この分類はLegalGPT独自の実務整理であり、法律上の正式な分類ではありません。レーン1とレーン2はいずれも法令に基づく義務です。違いは「業種を問わない制度か」「特定業種の業法・許認可に基づく制度か」という点にあり、確認すべき法令の探し方が異なるため分けています。

一つの事案が複数レーンにまたがることは珍しくありません。「どれか一つを済ませたから終わり」にならないよう、事案ごとに7レーンすべてを点検します。

最初に見るのは「報告トリガー」と「期限」

制度ごとに、何が起きたら義務が発生するか（報告トリガー）が異なります。

• 事故が「生じたことを知った」とき
• 一定の漏えい等が「生じた」とき（そのおそれを含む）
• 不祥事件の「発生を知った」とき
• 一定人数を超える、一定の重大性があるなど、量的・質的な要件を満たしたとき

ここで最も重要なのは、次の点です。

後述するとおり、個人情報保護法の漏えい等報告では、法人の場合いずれかの部署が報告対象事態を知った時点が起算の基準とされています。重大製品事故も「知った日」から期限が走ります。

「調査報告書が完成してから報告期限を確認する」という進め方では、気づいたときには期限を過ぎていることがあり得ます。だからこそ、報告期限管理表に「会社が知った日」を独立した項目として記録しておくことが重要です。

社内調査の終了を待ってはいけない場合

法務担当者が陥りやすい誤解があります。

報告期限が数日から数十日の制度では、この考え方は通用しません。そこで必要になるのが、確認済み事実と未確認事項を分けて報告する設計です。

この形なら、推測を確定事実として書くことを避けつつ、「確認中だから何も報告しない」という状態も避けられます。制度に速報・続報・確報といった段階があるかは、個別に確認してください。

代表例1｜個人情報漏えいの速報・確報

報告対象は「一定の事態」に限られる

個人情報取扱事業者は、個人データの漏えい、滅失、毀損その他の安全の確保に係る事態のうち、個人の権利利益を害するおそれが大きいものとして規則で定めるものが生じたときは、個人情報保護委員会（PPC）へ報告しなければなりません（個人情報保護法26条1項）。

規則で定める報告対象事態は、概要次のとおりです（個人情報保護法施行規則7条）。

1. 要配慮個人情報が含まれる個人データの漏えい等（そのおそれを含む。以下同じ）
2. 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
3. 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（取得しようとしている個人情報で個人データとして取り扱う予定のものを含む）
4. 1,000人を超える個人データの漏えい等

1〜3は1人分でも対象になり得る一方、4は1,000人超が要件です。高度な暗号化など、権利利益を保護するために必要な措置が講じられている場合の除外もあります。したがって、「個人情報が1件でも漏えいしたら必ずPPCへ報告」ではなく、報告対象事態に当たるかをまず確認します。

「おそれ」は、その時点で判明している事実関係から個別に蓋然性を考えて判断するものとされています。確証がないことだけで対象外とはなりません。

速報と確報の二段階

起算点となる「知った」時点は、法人の場合、いずれかの部署が当該事態を知った時点を基準とする整理がガイドライン（通則編）で示されています。PPCのQ&A（Q6-24）では、部署内のある従業者が知った時点で原則として部署が知ったものと考え、従業者による不正な持出しの事案では、持出しを行った従業者本人を除いて判断するとされています。

また確報の時点で、合理的な努力を尽くしても一部の事項が判明していない場合は、その時点で把握している内容を報告し、判明次第追完するという考え方もガイドラインで示されています。つまり、速報も確報も「全容解明まで待つ」制度ではありません。

なお、報告受理権限が事業所管大臣に委任されている分野では、報告先が委任先省庁となる場合があります。PPCの「漏えい等の対応とお役立ち資料」で報告先を確認してください。

本人通知は別の義務

報告対象事態が生じた場合、原則として本人への通知も必要です（個人情報保護法26条2項）。PPCへの報告とは別の義務であり、通知時期は事態の状況に応じて速やかに行うとされています。

令和8年改正法との関係

PPC報告の詳細は、LegalGPTの別記事個人情報漏えいの報告義務｜PPCへの速報・確報・本人通知を実務解説で解説しています。

代表例2｜重大製品事故の10日以内報告

消費生活用製品の製造事業者または輸入事業者は、その製造・輸入に係る消費生活用製品について重大製品事故が生じたことを知ったときは、知った日を含めて10日以内に、製品の名称・型式、事故の内容、製造・輸入数量および販売数量を消費者庁へ報告しなければなりません（消費生活用製品安全法35条1項・2項、内閣府令）。

押さえるべき点は三つです。

この例が示すのは、次の原則です。

代表例3｜金融機関等の業法上の届出

許認可・監督業種には、一般企業とは別の届出制度があります。

銀行は、銀行法53条および銀行法施行規則35条に基づき、一定の不祥事件の発生を知った場合に届出を行う必要があります。金融庁の監督指針では、銀行が不祥事件の発生を知った日から30日以内に不祥事件等届出書が提出されることを前提に、届出の適切性を確認するとされています。

ここから読み取るべきなのは、「銀行の30日ルール」そのものではありません。自社が許認可・登録を受けて営む事業には、その業法固有の届出・報告制度がないかを確認する必要があるということです。証券、保険、貸金、資金移動、建設、運送、医薬品など、業法ごとに対象・期限・様式は異なります。銀行の30日ルールを他の金融業者に当然に広げることはできません。

自主申告とは？独禁法リニエンシーを例に考える

冒頭の「競合他社との価格情報交換」の件は、これまでの例とは性質が違います。

公正取引委員会の課徴金減免制度（いわゆるリニエンシー）は、事業者が自ら関与したカルテル・入札談合について、その違反内容を公取委に自主的に報告した場合に課徴金が減免される制度です。法定の報告義務ではありません。

公取委の公表資料によると、現行制度では、減免申請の順位に応じた減免率に、事業者の協力が事件の真相解明に資する程度に応じた減算率（調査協力減算制度）を加えた減免率が適用されます。

※公取委「課徴金減免制度について」「調査協力減算制度の運用方針」等に基づく整理。協力減算率は最大値であり、実際の減算率は協力内容の評価によって決まります。実際の申請前に必ず最新資料と外部弁護士で確認してください。

実務上の特徴は次のとおりです。

• 順位が制度上の取扱いを左右します。 順位の基準となる様式第1号（調査開始日以後は様式第3号）は電子メールでの提出に限られ、公取委のサーバに記録された時点で提出とみなされます。
• 期限管理があります。 様式第2号は、原則として様式第1号の受理から2週間程度の期限が通知されます。調査開始日以後の様式第3号は、調査開始日から起算して20日を経過した日（行政機関の休日を除いて計算）が期限です。
• 事前相談と順位照会ができます。 公取委Q&Aでは、電話での事前相談に応じること、一定の特定をして照会すれば想定順位を教示すること（保証はしない）、事前相談の情報自体を審査着手の端緒として用いないことが示されています。
• 秘密保持が求められます。 正当な理由なく減免申請を行った旨等を第三者に明らかにすると、減免を受けられない事由になります（独占禁止法7条の6第6号）。公表・取引先説明との整合に注意が必要です。

ここで重要なのは、行政への申告が「義務だから行う」ものではなく、制度上の利益を得るために早期申告を戦略的に検討する場面があるという点です。順位が関係する以上、「社内調査を完璧に終えてから考える」ことで、選択肢そのものを失うリスクがあり得ます。

法定報告と自主申告は何が違う？

※上表は典型的な傾向の比較です。制度ごとに要件・効果は異なるため、一律に当てはめないでください。

なお、自主申告すれば行政処分を免れる、処分が必ず軽くなる、というものではありません。減免や考慮の対象・範囲は、制度が定めるところに限られます。

報告義務が分からないとき行政へ相談できる？

報告対象事態に当たるか、所管法令をどう解釈するか、報告先・様式・期限はどうか――判断に迷うとき、所管官庁へ相談するという中間的な選択肢があります。

ただし、次の2点を誤解しないでください。

相談前後に確認・記録すべき事項は次のとおりです。

• 相談の目的（解釈確認か、報告要否か、様式確認か）
• 会社名を伝えるか、どこまで事実を伝えるか
• 相談日時、相手方の部署・担当者
• 伝えた事実関係と、行政から示された回答内容
• 相談が正式な報告とは別の扱いであることの確認
• 回答を踏まえた社内判断と判断者

口頭でのやり取りは、後日「そのような説明は受けていない」という認識のずれを生みます。相談記録は、行政報告判断シートと一緒に保存しておきましょう。

どの行政機関へ報告する？

所管官庁の特定は、次の順で確認します。

• 問題となる法令（違反が疑われる法令、事故に適用される法令）
• 自社が受けている許認可・登録
• その法令・許認可の監督官庁
• 本省か地方支分部局か（地方の局・事務所が窓口の制度もある）
• 法定の報告窓口（権限委任先を含む）
• 報告様式
• 提出方法（電子フォーム、電子メール、書面など）
• 期限と起算点

一つの事案に複数の行政機関が関係することもあります。例えば「サイバー攻撃による個人データ流出が、金融業を営む上場会社で発生した」場合、PPC（または権限委任先）への漏えい等報告、業法上の監督官庁への届出、取引所との関係での適時開示の要否、警察への被害相談を、それぞれ別に検討する可能性があります。

行政への報告内容はどう書く？

行政への報告は、「事実」と「評価」を分けて構成するのが基本です。所定様式がある制度では様式に従いますが、社内で報告案を組み立てる際は次の骨格が役立ちます。

1. 発生・発覚日時（誰が・どの部署が・いつ把握したか）
2. 判明している事実
3. 未確認事項
4. 影響範囲（現時点）
5. 原因（現時点での把握内容）
6. 応急措置
7. 調査状況と今後の見通し
8. 再発防止策（暫定）
9. 追加報告の予定

法的評価が確定していない段階では、「不正があった」「違法である」と書くのではなく、「〇〇の可能性が判明し、現在確認中」のように事実のレベルを区別します。

一方で、不必要に曖昧な表現で分かっている事実をぼかすことも避けてください。後から「当初から把握していたのに書かなかった」と評価されれば、報告全体の信用を損ないます。

社内調査報告書をそのまま行政へ提出してよい？

社内調査報告書には、次のような情報が含まれていることがあります。

• 未確認情報や推測
• 関係者の供述内容
• 役職員・顧客などの個人情報
• 取引先など第三者の情報
• 営業秘密
• 法的評価
• 外部弁護士とのコミュニケーション
• 今後の訴訟方針

任意の報告や法定報告で求められる事項・資料の範囲を、法令・様式・行政の要請に照らして確認し、必要な内容を正確に伝える資料を作成するのが基本です。

ただし、行政から法的根拠に基づく報告徴収や提出命令などを受けた場合は、話が異なります。その場合は、根拠条文、任意の要請か法的義務か、対象資料の範囲、対象期間、期限を確認したうえで、適切に対応する必要があります。会社側の判断だけで対象資料を恣意的に除外することは避けるべきです。個人情報・営業秘密の取扱いや、要求範囲に疑義がある場合には、行政機関への確認や専門家への相談を行います。行政側から求めを受けた場合の対応は、第14話で扱います。

任意報告するメリット・リスク

法定の報告義務がなくても、行政への任意報告・相談を検討する場面はあります。

「任意報告は誠実だから常に行うべき」とも、「義務がないなら絶対に報告しない」とも言えません。事案の性質、所管官庁との関係、被害拡大防止の必要性、今後の公表予定などを総合し、判断理由を記録したうえで決めることが重要です。

警察への通報は別に判断する

不正に刑法犯の可能性があっても、民間企業一般に「犯罪の疑いがあれば必ず警察へ通報しなければならない」という義務が課されているわけではありません。

一方で、次のような場面では警察への相談・被害申告・告訴等を検討することがあります。

• 会社自身が被害者である横領・詐欺・背任
• 不正アクセスやランサムウェアなどのサイバー犯罪
• 生命・身体の安全に関わる重大な問題
• 業法・監督指針上、警察等関係機関との連携が問題となる場合（前述の銀行の監督指針など）

警察対応は、行政報告とは目的も手続も異なります。「行政へ報告したから警察は不要」「警察に相談したから行政報告は不要」とはなりません。刑事手続の具体的な流れや、捜査機関から会社へアプローチがあった場合の対応は第14話で扱います。

上場会社の適時開示も別レーン

上場会社には、行政への報告義務とは別に、取引所規則（有価証券上場規程）に基づく適時開示の問題があります。

日本取引所グループが示す「適時開示が求められる会社情報」の発生事実には、免許の取消し・事業の停止その他これらに準ずる行政庁による法令等に基づく処分、行政庁による法令違反に係る告発、その他会社の運営・業務・財産に関する重要な事実などが含まれています。

ただし、「不祥事を把握したら必ず即日TDnet」という一般論にはなりません。上場規程の該当項目、軽微基準、投資判断への影響、事実関係の確度などを確認して判断します。

本記事で押さえるべきなのは、次の一点です。

逆に、開示内容と行政報告の内容に食い違いがあれば、双方の信用を損ないます。リニエンシーを検討中の案件では、前述の秘密保持との関係にも注意が必要です。

本人・顧客・取引先への通知も別レーン

個人情報漏えいでは、PPCへの報告（26条1項）と本人への通知（26条2項）は別の義務です。報告を済ませても、本人通知が済んだことにはなりません。

さらに事案によっては、次の相手への通知・報告が契約上必要になることがあります。

• 顧客（委託元を含む）
• 取引先
• 保険会社（サイバー保険・賠償責任保険の事故通知）
• 金融機関（融資契約上の報告義務）
• 業務委託契約・ライセンス契約の相手方

契約上の通知期限は法令より短いこともあります。行政報告を判断するのと同時に、法令・契約・取引所・顧客対応の4方向を確認する設計にしておくことが重要です。

実務で使える「行政報告判断シート」

疑義を把握した当日から作成し、判断のたびに更新するシートです。

実務で使える「報告期限管理表」

複数の制度・通知先を横並びで管理するための表です。1行を「1制度（1通知先）」として作成します。

「会社が知った日」を独立項目にしておくと、後から期限の妥当性を問われたときの説明根拠になります。

報告義務判定フロー

法令違反・事故・不正の疑いを把握（＝「会社が知った日」を記録）
　↓
適用法令・業法・許認可を特定
　↓
法定報告・届出制度がある？
　├ YES
　│　↓
　│　報告トリガーは成立？（おそれを含む制度か確認）
　│　├ YES → 起算日・期限を確定
　│　│　　　　↓
　│　│　　　速報／確報など段階の有無を確認
　│　│　　　　↓
　│　│　　　調査と並行して報告（確認済み／未確認を区分）
　│　│　　　　↓
　│　│　　　続報・確報・訂正を報告履歴で管理
　│　└ NO／判断中 → 判断理由を記録し、事実判明のたびに再判定
　│
　└ NO（または法定報告と並行して）
　　↓
自主申告・減免制度がある？
　├ YES → 利益・不利益・順位・時間制約を外部弁護士と評価
　└ NO
　　↓
任意相談・任意報告の合理性を評価（しない判断も記録）

【常に並行して別レーンで確認】
・取引所への適時開示
・警察・捜査機関への相談等
・本人／顧客／取引先への通知（法令・契約）

報告判断を誰がする？

報告判断には、法務、コンプライアンス、事業所管部署、経営陣、必要に応じて外部弁護士が関与します。第7話で整理したように、調査する人と最終判断する人を分けて考えることがここでも有効です。

経営陣自身が調査対象である場合は、第8話で設計した独立した意思決定ライン（社外役員、監査機関、独立した調査体制への報告ルート）を使います。

例えば「CEO自身の関与が疑われる不正について、CEOが行政報告しないと決定する」という設計は避けるべきです。判断シートには、報告判断者・承認者・提出者を分けて記録してください。

報告した後も終わりではない

行政報告後に、次のような事実が判明することがあります。

• 新たな事実
• 対象人数の増加
• 原因の判明
• 経営陣の関与
• 被害の拡大
• 再発防止策の具体化

制度によっては、続報・確報・訂正・追加説明が必要になります。そこで重要なのが報告履歴です。

• いつ、誰が、何を、どの様式で報告したか
• 前回報告から何が変わったか
• なぜ変わったか（新たに入手した資料・判明時期）

最初の報告と後続報告の差異を説明できる状態を保つことが、行政からの信頼を維持する土台になります。

期限が短い案件は「初日に根拠法令を確認」する

やってはいけない10の行政対応

3つのケースで考える

• まず、報告対象事態（規則7条各号）に当たるかを確認します。従業員による不正な持出しが疑われる場合は、3号（不正の目的をもって行われたおそれ）の該当性を検討します。
• 報告対象と判断すれば、全容解明を待たずに速報期限を管理し、把握している事項で速報します。
• 本人通知は、PPC報告とは別に時期・方法を検討します。
• 人数・送信先が判明した段階で、続報・確報として追完します。
• 並行して、委託元顧客への契約上の通知、警察への相談、適時開示の要否を別レーンで確認します。

• 消費生活用製品に当たるか、重大製品事故の要件に当たるかを確認します。
• 欠陥によるものでないことが明らかとはいえない限り、「原因不明」は対象外の理由になりません。
• 対象なら、知った日を含む10日以内の報告期限を管理し、「原因究明の完了」を待ちません。
• 原因調査、被害者対応、必要に応じたリコール検討は、報告と並行して進めます。

• 第6話の考え方で、チャット・メール等の証拠を保全します。
• 独禁法に精通した外部弁護士を含め、不当な取引制限に当たる可能性を迅速に評価します。
• 課徴金減免制度の利用を、順位・期限・秘密保持・海外当局との関係を踏まえて検討します。
• 「全部調べてから考える」ことで、制度上の選択肢を失うリスクがある点に注意します。
• 申請の検討状況を不用意に社外へ伝えないよう、情報管理を徹底します。

よくある質問（FAQ）

まとめ｜「報告するか」より先に「何を・いつまでに報告する制度か」を確認する

次の記事

第9話までで、「会社の中で不正疑惑をどう扱うか」を見てきました。第3部からは、疑惑が会社の外に出たときの対応です。

参考資料・一次資料