企業不祥事の初動対応チェックリスト｜発覚後24時間に会社がやること

• 企業不祥事の初動対応｜第15話 / 全15話（最終話）
• カテゴリー：コンプライアンス・規程対応
• 法令・情報基準日：2026年9月5日

月曜9時03分、3件の連絡が同時に入った

【シリーズナビゲーション】企業不祥事の初動対応｜全15話

時間がない場合はここだけ｜最初の1時間

不祥事発覚後24時間で目指す状態

最初の24時間の目的は、事件を解決することではありません。目的は次の7つです。

1. 情報を失わない
2. 証拠を失わない
3. 被害を拡大させない
4. 調査できる体制を作る
5. 法的期限を見落とさない
6. 誤った対外説明をしない
7. 誰が何を決めたか記録する

「24時間」は法定期限ではありません

ここは誤解が多い点です。日本法に、企業不祥事一般について「24時間以内に○○せよ」という包括的な法定ルールはありません。本記事の「24時間」と4つのフェーズは、LegalGPTが危機管理実務の初動整理として設定した時間軸です。

したがって、「24時間以内に行政報告すればよい」という意味でも、「24時間以内なら証拠保全を後回しにしてよい」という意味でもありません。個人情報漏えい、重大製品事故、業法上の届出、独占禁止法の課徴金減免、適時開示などは、それぞれ別の起算点・期限・判断基準を持っています。

最初の24時間でやるべきことは、報告そのものより先に、「どの制度の時計が、いつから動いているか」を特定することです。

24時間を4フェーズに分ける

時間の区切りは目安です。人命に関わる案件なら、PHASE 3の対外連絡がPHASE 1で必要になることもあります。

まずT0（初動の基準時刻）を記録する

最初に、T0＝初動対応上、現時点で把握している最初の社内受領時刻を記録します。

対応開始後に、別の部署がそれ以前に情報を受け取っていたことが判明した場合は、T0を遡って更新し、更新の経緯も記録します。

T0は、危機管理上の社内タイムラインの管理時刻です。各法令上の起算点を当然に決めるものではありません。制度によって、起算点は次のように異なります。

• 事態を「知った」時点（個人情報保護法の漏えい等報告など）
• 事故の発生を「知った日」（消費生活用製品安全法の重大製品事故報告など）
• 一定の事実が判明した時点、処分等を決定した時点（業法・適時開示など）

たとえば個人情報漏えいでは、法人の場合、いずれかの部署が事態を知った時点が基準とされます。法務に届いた9時03分より前に、コールセンターが顧客から連絡を受けていたことが後で分かれば、T0を遡って更新するとともに、法的な時計もその時点から動いていた可能性を検討することになります。

0〜1時間｜情報と証拠を失わない

PHASE 1の中心は、情報を止めず、証拠を失わないことです。ここでは調査を終わらせようとしません。

• 受付日時・情報源を記録する
• 情報内容を原文のまま保存する（要約しない）
• 添付ファイル・関係資料を保存する
• 初期受付番号を付ける
• 法務・コンプライアンス等へエスカレーションする
• 人命・安全・顧客被害の緊急性を確認する
• 証拠散逸リスクを確認する（自動削除、退職、PC入替え）
• 必要に応じ、メール・チャット・ログ等の保全を開始する
• 疑惑対象者・関係者へ不用意に連絡しない
• 通報者・投稿者の探索を始めない
• メディア等へ未確認事実を回答しない
• 経営陣が関与している可能性を確認する

最初の15分チェック

スマホでも確認できる、最小限の問いです。

• 何が起きた？
• いつ知った？
• 誰から知った？
• 人命・安全への危険はある？
• データ・証拠が消える可能性はある？
• 今すぐ止めるべき行為はある？
• メディア・SNS・行政へ、すでに外部化している？
• 経営陣自身が関与している可能性はある？

1つでも「はい」「分からない」があれば、その項目が最初の1時間の優先事項です。

人命・安全・被害拡大を最優先する

危険な製品、設備事故、個人情報漏えい、サイバー侵害、顧客資産、環境事故など、詳細調査を待つあいだに被害が広がる案件では、原因究明より先に緊急措置を検討します。

具体的な措置は、事案と適用法令によって変わります。ただし、「調査が終わるまで何も公表・連絡しない」を原則にしてはいけません。安全に関わる情報は、原因が未確定でも先に届けるべき場合があります。

なお、緊急措置で証拠が失われないよう、たとえば遮断前にログを取得するなど、被害防止と証拠保全を同時に設計します。

本人へ聞く前に証拠保全を考える

「まず本人に聞け」は、自然な反応です。しかし疑惑対象者に即確認すると、メール・チャットの削除、関係者への連絡、口裏合わせ、証拠改変のリスクがあります。

そこで、情報の具体性・重大性・散逸リスクに応じて、次の順序を検討します。

ただし、すべての案件で本人への連絡を遅らせるわけではありません。人命・安全に関わる行為の即時停止が必要な場合、軽微で散逸リスクが低い場合、本人の説明がなければ緊急措置を判断できない場合などは、早期の確認が合理的なこともあります。判断した理由は記録します。

調査開始の判断は第5話、保全の範囲と方法は第6話で詳しく解説しています。

1〜6時間｜事実確認と体制を立ち上げる

PHASE 2の中心は、事実確認を始め、対応レーンを立ち上げることです。

• 初期情報を命題単位に分解する
• 確認済み／未確認／評価を分ける
• 初期調査担当を決める
• 利益相反を確認する
• 経営陣関与の可能性があれば独立ルートを検討する
• 保全の実施状況を確認する
• 適用法令・業法の候補を洗い出す
• 行政報告・届出制度の有無を確認する
• 自主申告制度の有無を確認する
• メディア問い合わせの状況を確認する
• SNSの状況を確認する
• 上場会社なら適時開示の要否検討を始める
• 外部弁護士・専門家の要否を判断する

確認済み／未確認／評価を分ける

シリーズを通じて使ってきた基本表です。内部調査、行政報告、メディア回答、SNS対応、適時開示のすべての土台になります。

ポイントは、評価語をそのまま事実欄に入れないことです。「改ざん」「隠蔽」「違法」は評価です。事実欄に書くと、後の回答文や報告書にそのまま流れ込みます。

7つの対応レーンを起動する

初動では、複数の仕事を並行して動かします。本記事では、シリーズ全体をLegalGPT独自の7レーンに整理します。案件に必要なレーンだけを起動し、すべての案件で7レーン全部を動かす必要はありません。

各レーンには、担当者・次の期限・次のアクションを1行ずつ持たせます。

経営陣関与なら通常ルートを切り替える

最初の6時間以内に、疑惑対象に経営陣が含まれるかを必ず確認します。

YESまたは「可能性あり」の場合、調査対象となり得る経営陣が、次の事項を支配しないようにします。

• 調査を始めるかどうか
• 調査範囲
• 調査の人選
• 証拠へのアクセス
• 報告内容

具体的には、社外取締役、監査役・監査（等）委員会などを起点にした独立ルートを検討します。ただし、経営陣関与＝必ず第三者委員会、ではありません。必要な独立性の程度は、関与の疑いの強さ、重大性、上場の有無などで変わります（→第8話）。

公益通報者・情報源を保護する

最初の24時間では、次の4点を確認します。

• 通報者を特定させる情報を、誰まで共有するか（need-to-know）
• 通報者の探索が始まっていないか
• 通報者への不利益な取扱いのおそれがないか
• 通報者情報と事実情報を分けて管理しているか

重要なのは、「公益通報に当たるか、まだ分からないから保護しない」としないことです。該当する可能性がある段階から、不要な情報拡散と探索を避けます（→第3話）。

冒頭の場面で経営陣が言った「誰がリークしたか調べろ」は、この観点から、初動で優先すべき指示ではありません。

6〜12時間｜報告・公表・回答方針を決める

PHASE 3の中心は、調査・報告・対外説明の方針を決めることです。

• 初期確認の結果を更新する
• 調査範囲・対象・担当を確定する
• 行政報告制度の適用を判定する
• 各制度の起算点・期限を記録する
• 速報／確報型の制度なら、速報の準備に入る
• 自主申告制度を検討する
• メディア回答の方針を決める
• SNS公式発信の要否を決める
• 上場会社なら適時開示を判断する
• 顧客・取引先への通知の要否を確認する
• 経営（独立ルートの場合はその報告先）へ報告する
• 24時間以降の調査計画を作る

法的期限一覧を作る

第9話の考え方を、実務表に落とし込みます。

記入ルールは3つです。

1. 「発覚から24時間」を期限欄に入れない
2. 期限欄には、根拠となる法令名・条文・ガイドラインを必ず書く
3. 「非該当」と判断した制度も、理由とともに残す

業種ごとの届出制度や独占禁止法の課徴金減免制度（申請順位や調査開始日との関係が重要な制度）など、各制度の詳細は第9話で確認してください。本記事では、「不祥事は○日以内」といった横断的な期限表はあえて作りません。制度ごとに対象・起算点・期限が異なるためです。

個人情報漏えいの「3〜5日・30日・60日」で考える

具体例として、個人情報保護法の漏えい等報告を見てみます（2026年9月5日時点）。

個人情報保護法26条と同法施行規則、個人情報保護委員会（PPC）の通則ガイドラインにより、一定の報告対象事態では、次の2段階で報告します。

さらに、報告期限の起算点となる「知った」時点について、ガイドラインは、法人の場合、いずれかの部署が当該事態を知った時点を基準とするとしています。法務やCSIRTに上がってきた時刻とは限りません。

したがって、最初の24時間でやることは、確報を完成させることではありません。次の点を特定することです。

• 報告対象事態に当たるか（または当たる可能性があるか）
• 社内のどこかが最初に知ったのはいつか（＝時計がいつ動き始めたか）
• 速報の担当者は誰か、何を把握できていれば速報できるか
• 本人通知の要否と方法の検討を誰が行うか

24時間はPPC報告の法定期限ではありません。一方で、「速やか」の目安が数日単位である以上、初日のうちに担当と起算点を固めておく意味は大きいといえます。

※2026年7月17日に個人情報保護法の改正法（令和8年法律第56号）が公布されていますが、基準日時点では施行前です。施行後は、漏えい等対応に関する条文・規則・ガイドラインを改めて確認してください。

行政報告は「24時間以内」が原則ではない

行政への報告・相談のタイミングは、次の要素で判断します。

• 法定の報告期限と起算点
• 自主申告・減免制度の有無と要件
• 被害拡大防止のために行政の関与が必要か
• 所管官庁との平時の関係、業法上の報告慣行

早期相談が有益な事案もあれば、まず対象制度の確認が必要な事案もあります。「早ければ早いほどよい」も「事実が確定するまで報告しない」も、一律のルールにはしません。確定していない事実を報告する場合は、確認済み／未確認を区別して伝え、後で補足・訂正できる形にします（→第9話）。

メディア・SNS・適時開示を整合させる

対外説明で最も危険なのは、窓口ごとに違う事実が語られることです。記者への回答、SNSでの発信、行政への報告、適時開示は、同じ「確認済み／未確認／評価」の表から作ります。

メディア対応（第10〜12話）

• 問い合わせの原文を保存する
• 記者名・媒体・連絡先・回答期限を確認する
• 受付担当者は、未確認事実をその場で答えない
• 質問を命題単位に分解する
• 確認済み／未確認を分ける
• 回答／限定回答／確認中／回答留保のどれにするかを判断する
• 行政報告・適時開示との整合を確認する

冒頭の「記者には否定しておけ」は、確認前の即否定になり得ます。後で事実が判明すれば、否定したこと自体が二つ目の問題になります。詳しくは第10話・第11話・第12話へ。

SNS対応（第13話）

• 元投稿を保存する（画面・URL・投稿日時・アカウントID）
• 投稿内容を命題単位に分解する
• 新しい不正情報が含まれていないか確認する
• 投稿者の探索を先行させない
• 訂正するのは明確な誤情報に限定する
• 削除申出の前に証拠を保存する
• 公式発信の要否を判断する（拡散数だけで決めない）

詳しくは第13話へ。

上場会社の適時開示

上場会社では、レーンFとして適時開示の要否を別途判断します。判断の基準は、東京証券取引所の有価証券上場規程と「会社情報適時開示ガイドブック（2026年7月版）」です。不祥事を知ったら必ず即時開示、というわけではありませんが、未公表の重要な情報を社内で管理する段階に入ったことを前提に、関係者の情報管理や自社株売買の管理も確認します。

行政・警察から接触があった場合（第14話）

• 相手方（機関名）
• 所属・担当者
• 法的根拠（どの法律のどの条文か）
• 任意の協力要請か、法定の報告徴収・検査か、令状に基づく強制処分か
• 求められている対象
• 期限

「行政だから全部出す」「令状がないから全部断る」の二択にはしません（→第14話）。

12〜24時間｜翌日以降の調査体制を固定する

PHASE 4の中心は、体制を固定し、翌日以降へ引き継ぐことです。

• 調査責任者を確定する
• 調査チームと役割分担を確定する
• 利益相反チェックを完了する
• 証拠保全の範囲を再確認する
• 調査計画を作る
• 法的期限一覧を更新する
• 行政報告の状況を確認する
• メディア／SNS／適時開示の対応状況を更新する
• 経営・監査機関等へ報告する
• 被害拡大防止策が機能しているか確認する
• 外部専門家の体制を確認する
• 翌24時間のタスクを設定する
• すべての意思決定ログを保存する

取締役会・監査機関への報告

重大案件では、取締役会、監査役（会）、監査等委員会、監査委員会、社外取締役などへの報告を検討します。報告先と根拠は機関設計によって異なります。たとえば会社法357条は、会社に著しい損害を及ぼすおそれのある事実を取締役が発見した場合について、機関設計に応じて株主、監査役・監査役会または監査等委員会への報告義務を定めています。指名委員会等設置会社では357条は適用されず（419条3項）、執行役について419条1項による監査委員への報告義務が問題となります。法定の報告義務の有無にかかわらず、重大案件では報告の要否を検討します。経営陣関与の案件での報告ルートは第8話を参照してください。

24時間以内に終わらなくてよいこと

「24時間で全部やらなければならない」わけではありません。次のものは、通常、24時間以内に完了しなくてかまいません。

• 本格的な原因究明
• 全社員へのヒアリング
• 責任の認定
• 懲戒処分
• 再発防止策の完成
• 第三者委員会の報告書
• 行政への最終報告（確報等）
• 損害額の確定

重要なのは、これらについて開始の有無・担当・期限・次のアクションが決まっていることです。逆に、24時間で責任者を処分するような拙速な判断は、後の調査結果と矛盾するリスクを抱えます。

24時間後に会社がこの状態なら初動は機能している

6つすべてに「はい」と言える状態は、主要な初動論点が一通り管理下に入っているかを確認する一つの目安です。業法固有の対応や海外当局対応など、この6項目だけでは拾いきれない案件もあります。

24時間後から「次の72時間」へ

24時間後は、本格調査、追加ヒアリング、行政への補足報告、対外説明の更新、処分判断の準備、再発防止の検討、取締役会等への継続報告へと進みます。初動は終わりではなく、調査の入口です。

誰が何をする？役割分担表

部署名ではなく、必要な機能で考えます。中小企業では1人が複数の機能を兼ね、大企業では各機能を分担します（→第7話）。

注意点は、疑惑に関係する部門・人物がこの表のどこに入っているかを確認することです。関係者を一律に排除するのではなく、役割を限定するかどうかを実質的に判断します。

実務で使える「初動司令塔シート」

案件ごとに1枚作り、24時間のあいだ随時更新します。

実務で使える「24時間タイムライン表」

「完了証拠」列が、この表の要です。

「完了」を何で証明するか

「□ 法務へ連絡」というチェックだけでは、何をもって完了したのか後から分かりません。そこで、各タスクに完了証拠を決めておきます。

完了証拠があれば、担当者が交代しても引継ぎができ、後から「本当にやったのか」と問われたときにも説明できます。

実務で使える「意思決定ログ」

不祥事対応では、後から「なぜ当時その判断をしたのか」が問われます。新事実が出たあとでも、当時の情報で合理的だったことを説明できるように残します。

案件別ルーティング表｜困ったらどの記事を見る？

第15話はシリーズの入口です。いま困っていることから、必要な回へ進んでください。

RED FLAG｜初動を強化すべき案件

ただし、RED FLAGがあれば必ず外部弁護士・第三者委員会、というわけではありません。

重大度を単純な点数にしない

「合計100点なら重大」といった機械的なスコアは使いません。生命身体、被害拡大、法令違反、金額、顧客数、継続性、経営関与、証拠散逸、行政、メディア、市場といった複数の軸を並べて、優先順位を判断します。1つの軸だけが突出していても、それが生命身体であれば最優先になるからです。

外部弁護士を呼ぶ判断基準

「不祥事ならすぐ外部弁護士」とは限りません。通常の社内調査で対応できる案件もあります。次の要素が重なるほど、外部専門家の関与を検討する意味が大きくなります。

• 重大な法令違反の可能性
• 刑事責任のリスク
• 行政処分の可能性
• 経営陣の関与と独立性の必要
• 多数の被害者
• 高度なデジタル調査（フォレンジック等）
• 自主申告制度の利用判断
• 訴訟の可能性
• 上場会社であること
• 複数国の法令が関係すること

なお、顧問弁護士であれば自動的に独立性がある、とはいえません。経営陣関与の案件では、誰から依頼を受け、誰に報告するかが問題になります（→第7話・第8話）。

やってはいけない初動16選

印刷用｜企業不祥事・発覚後24時間チェックリスト

この部分だけを印刷して、対応室へ持ち込めるように作っています。

① 受付

② 緊急

③ 証拠

④ 体制

⑤ 法律

⑥ 外部

⑦ 24時間後

※「24時間」はLegalGPTの実務整理であり、法定期限ではありません。法的期限は制度ごとに確認してください。

3つのケースで24時間をシミュレーション

ケースA｜匿名内部告発（営業部長のキックバック疑惑）

ケースB｜個人情報漏えい＋SNS投稿

顧客データの一部とみられる画像がSNSに投稿された事案です。

ここでも、24時間はPPC報告の法定期限ではありません。速報の目安は概ね3〜5日、確報は原則30日（不正目的のおそれがある事態は60日）で、起算点は「知った」時点です。

ケースC｜上場会社・CEO関与疑惑＋記者

記者から「CEOが不正を指示していた」との問い合わせがあり、社内でも関連するメールが見つかった事案です。

よくある質問（FAQ）

まとめ｜最初の24時間で「正しい判断を続けられる状態」を作る

冒頭の月曜9時03分に戻りましょう。

「まず本人に聞け」「記者へ否定しろ」「誰がリークしたか調べろ」という3つの指示は、どれも自然な反応です。しかし、どれも結論を先に出そうとする行動です。

24時間後に正しい結論が出ていなくても、かまいません。正しい判断を続けられる状態ができていれば、初動は成功です。

参考資料・一次資料