会社の不正を外部から指摘されたら？第三者から告発を受けたときの初動対応

• 企業不祥事の初動対応｜第1話 / 全15話
• カテゴリー：コンプライアンス・規程対応
• 法令・情報基準日：2026年9月5日

【シリーズナビゲーション】企業不祥事の初動対応｜全15話

第三者から会社の不正を指摘されたら、まず何をする？

最初にやることは、告発者が何者かを突き止めることでも、名指しされた部署に電話することでもありません。

受け取った情報を原形のまま保全し、内容を整理し、緊急性と重大性を確認し、必要な範囲で社内にエスカレーションする。この4つを済ませたうえで、調査を始めるかどうかを判断できる状態に持っていく——これが初動の目的です。

真偽の判定は、初動の仕事ではありません。判定できるだけの材料と体制を整えるところまでが初動です。

【図解】外部から不正を指摘されたときの初動フロー

このフローの各ステップは、以降で順に解説します。

「外部告発＝事実」でもなければ「匿名＝無視してよい」でもない

外部から不正を指摘されたとき、担当者が陥りやすい極端が2つあります。

ひとつは、告発内容をそのまま事実として扱ってしまうこと。もうひとつは、差出人が匿名だから、あるいは元従業員らしいから、競合の嫌がらせに見えるから、という理由で内容を切り捨ててしまうことです。

どちらも初動としては危険です。

情報源の評価と情報内容の評価を分ける

「恨みを持った元従業員かもしれない」「競合会社の嫌がらせかもしれない」——こうした推測は、内容を検討しない理由にはなりません。動機に問題がある通報でも、指摘されている事実が実在することはあり得ます。逆に、善意の情報提供でも、事実誤認や伝聞にすぎないこともあります。

初動で必要なのは、情報源の人格・動機と、情報内容の信用性を別々に評価するという姿勢です。動機の推測から入ると、都合の悪い情報ほど早く捨てる判断が働きやすくなります。

なお、匿名だからという理由で法的な位置付けが自動的に決まるわけでもありません。公益通報者保護法（平成16年法律第122号）は、対象となる通報を顕名（実名）の通報に限定していません。匿名であっても、同法所定の要件を満たせば公益通報に該当します。ただし、実際に不利益な取扱いを受けて同法による保護を求める場合には、自らがその公益通報をした者であることを裁判所等で明らかにする必要があります。匿名通報の信用性をどう評価するかは第2話「匿名の告発メールが届いたら？会社が調査すべきか判断するポイント」で詳しく扱います。

「告発が来たら必ず調査義務が生じる」わけでもない

一方で、外部から指摘を受けたすべての企業に、一律の調査義務が法律上課されているわけではありません。この点は正確に理解しておく必要があります。

調査や報告に関する義務の有無・内容は、次のような要素によって変わります。

• 問題とされている行為が、どの法令に関わるか
• 会社の規模・業種・上場の有無
• 監督官庁への報告義務を定める個別法の有無
• 取締役の善管注意義務や内部統制システムの整備義務との関係（会社法330条・民法644条、会社法362条4項6号・5項、会社法施行規則100条など）
• 上場会社であれば取引所規則との関係
• 自社の社内規程・内部通報規程がどう定めているか

たとえば公益通報者保護法との関係では、常時使用する労働者数が300人を超える事業者には、内部公益通報に対応するための体制整備義務があります（同法11条1項・2項。300人以下の事業者は努力義務。同条3項）。そして法定指針（令和3年内閣府告示第118号）は、内部公益通報受付窓口で受け付けた内部公益通報について、正当な理由がある場合を除いて必要な調査を実施することを、事業者がとるべき措置として定めています。

まず、告発情報そのものを保全する

初動で最も取り返しがつかないのが、情報を失うことです。事実関係が固まる前に元データが消えると、後から調査体制を整えても検証できません。

保全の対象と方法を整理します。

メールで届いた場合

• 受信メールを削除・移動せず、元のメールボックスに残す
• 添付ファイルを開く前に、社内のセキュリティ担当と取り扱いを確認する
• ヘッダ情報を含めた形で保存する（画面のスクリーンショットだけで済ませない）
• 転送で社内に広げず、必要最小限の範囲に限定する

電話で受けた場合

• 受電直後に、聞き取れた内容を時系列でメモに起こす（時間が経つほど再現性が落ちる）
• 相手の名乗り、連絡先の申出の有無、具体性の程度も記録する

封書・FAX・持参資料の場合

• 原本を保管し、封筒・送り状も残す（消印や発送元の情報が意味を持つことがある）
• スキャンして電子的にも保存してよいが、原本を廃棄しない

共通して記録すべき事項

• 受領日時（分単位まで）
• 受領方法
• 受領者の氏名・所属
• 差出人が名乗った情報（あれば）
• 添付資料・記載されたURLの有無

添付ファイルやURLについては、安全性の確認を先に行ってください。告発を装ったマルウェアの可能性も否定できません。ただし、「怪しいから」という理由で削除してしまうと、内容の検討そのものができなくなります。隔離して保全する、という対応が基本です。

デジタルフォレンジックを含む本格的な証拠保全の手順は、第6話「企業不祥事の証拠保全｜メール・チャット・PCをいつ確保する？」で扱います。ここで押さえるべきは、「本格的な保全を始める前に、原情報を失わない」という一点です。

告発内容の緊急性と重大性を切り分ける

情報を保全したら、次は内容の分解です。「本当か嘘か」ではなく、「どういう性質の指摘か」を6つの軸で整理します。

1. 具体性 — 部署名、人物、時期、金額、手口がどこまで書かれているか
2. 重大性 — 事実だとした場合、どの法令に関わり、どの程度の影響が生じ得るか
3. 緊急性 — 今すぐ止めないと被害が拡大する類型か
4. 継続性 — 過去の一回限りか、現在も続いているとされているか
5. 裏付け可能性 — 社内の記録・データで検証できる余地があるか
6. 被害拡大可能性 — 顧客、取引先、地域社会、従業員に波及し得るか

この6軸で分解すると、「怪しいメール」だったものが、「検証可能な範囲がここまである指摘」に変わります。判断の解像度が上がるのは、この段階です。

【比較表】通常確認ルート／緊急対応を検討すべきケース

指摘内容の類型ごとに、通常の確認ルートに乗せるか、緊急対応を検討するかを整理したものです。

最初に誰へ報告するか

外部告発を受け取った担当者が、直属の上司にだけ相談して止める——これは初動として避けたい形です。上司が判断できる範囲を超えている可能性がありますし、指摘の内容によっては上司自身が関係者である可能性も排除できません。

エスカレーション先として検討すべき部署・機関

• 法務部門
• コンプライアンス部門・内部通報窓口の所管部署
• 内部監査部門
• 情報セキュリティ部門（添付ファイル・データ保全の技術的対応が必要な場合）
• 経営層（重大性・緊急性が高い場合、または全社的判断が必要な場合）
• 監査役・監査等委員会等（経営陣の関与が疑われる場合を含む）
• 外部弁護士（法的評価、調査設計、対外対応の検討が必要な場合）

指摘内容が会社に著しい損害を及ぼすおそれのある事実に関わる場合には、社内エスカレーションの結果として、取締役による監査役等への報告義務（会社法357条）が問題となることがあります。同条は、取締役が会社に著しい損害を及ぼすおそれのある事実を発見したときに、直ちにその事実を株主（監査役設置会社では監査役、監査役会設置会社では監査役会、監査等委員会設置会社では監査等委員会）へ報告すべきことを定めたものです。

【警告】告発対象部署への「まず確認」が危険な理由

告発者にはすぐ返信すべき？

「返信すべき」「返信してはいけない」のどちらかに一律に決めることはできません。判断は、連絡手段があるか、追加情報の必要性があるか、返信によるリスクがどの程度かによって変わります。

返信を検討する場面

• 差出人が連絡先を明示しており、追加資料の提供を申し出ている
• 指摘が具体的で、資料の提供を受ければ検証が大きく進む
• 書面（電子メール等の電磁的記録を含みます）による内部公益通報に該当し得る場合に、受領後の連絡・調査判断を放置すると、一定の要件の下で外部公益通報が保護され得る場面（後述）

返信を急がない・慎重に判断する場面

• 連絡先が明示されておらず、返信自体ができない
• 金銭要求や取引上の交渉が併記されており、性質の見極めが必要
• 社内の緊急対応が先行しており、対外的な言及ができる段階にない

返信するとき、書いてよいこと・書いてはいけないこと

左が返信に含めてよい範囲、右が事実確認前に書いてはいけない内容です。

事実確認前に評価や約束を書き込むと、それ自体が後の調査結果や対外説明と矛盾し、会社の信用を損なう材料になります。受領の事実と手続の説明にとどめるのが基本形です。

「誰が告発したのか」を最初に探してはいけない理由

外部から指摘を受けたとき、真っ先に「誰が書いたのか」を突き止めようとする動きが出ます。しかし、通報者の特定を初動の目的にすべきではありません。

理由は3つあります。

第一に、目的が違うからです。初動で必要なのは指摘された事実の検証可能性を確保することであり、発信者の特定はその手段でも前提でもありません。特定に労力を割いている間に、証拠は失われます。

第二に、社内の空気が変わるからです。通報者探しが始まると、以後、社内から情報が上がってこなくなります。不正の早期発見という自浄機能そのものが弱くなります。

第三に、法的なリスクがあるからです。ここは現行法と改正法を分けて理解する必要があります。

2026年9月5日時点の現行法での位置付け

2026年12月1日から施行される改正法での位置付け

「すべての外部告発」に探索禁止が及ぶわけではない

もっとも、実務上これは「該当しなければ探索してよい」という意味にはなりません。差出人の属性も通報内容の性質も、初動の時点では確定していないからです。現行法上、公益通報者となり得るのは、労働者、派遣労働者、通報の日前1年以内の退職者・派遣終了者、役員、取引先事業者の事業に従事する労働者等です（同法2条1項各号）。社外から届いたというだけで、この範囲外だと断定はできません。

したがって初動では、属性や内容を確認する前から探索に走らず、同法の適用可能性を排除しない形で情報を管理するのが安全です。この論点は第3話「第三者からの告発は公益通報になる？公益通報者保護法との関係」、退職者からの通報については第4話「元従業員から会社の不正を告発されたら？退職者からの通報への対応」で詳しく扱います。

調査を始めるかどうかはどう判断する？

初動の最後に来るのが、調査方針の決定です。選択肢は「調査する／しない」の二択ではありません。実務では、次の3つの間で判断します。

• 予備的な確認にとどめる — 指摘に対応する記録が社内に存在するか、指摘された取引が実在するかといった、限定的な範囲の確認
• 正式な社内調査を開始する — 調査主体を決め、範囲・手法・報告経路を設計して行う調査
• さらなる情報を待ちつつ保全を継続する — 具体性が乏しく確認の端緒が立たない場合

判断要素は次のとおりです。

このうち経営陣関与の可能性は、調査の入口で確認すべき項目です。通常の社内調査ラインが機能しない可能性があるため、調査主体の設計そのものを変える必要が出てきます。

調査開始の判断基準の詳細は第5話「不正疑惑はどこまで調査する？社内調査を始める判断基準」で扱います。

【要注意】外部告発を受けた直後にやってはいけない8つのこと

実務で使える「外部告発 初動受付シート」

受領した担当者がその場で埋められる形にしておくと、エスカレーション先での判断が速くなります。

このシートは、全項目を埋めることが目的ではありません。空欄が多いこと自体が「具体性が低い」という重要な情報になります。無理に推測で埋めると、後の判断が歪みます。「不明」「記載なし」と書けることが、シートの価値です。

ケーススタディ｜匿名メールで不正を指摘された場合

以下は、解説のために設定した架空の事例です。

①削除してよいか

削除すべきではありません。差出人が匿名であること、内容の真偽が不明であることは、いずれも情報を破棄してよい理由になりません。指摘には、対象部署（営業部）、対象者（部長）、時期（昨年から）、継続性（続いている）、裏付け資料の存在（請求書）という具体的要素が含まれており、社内記録との照合が可能な水準です。まず原メールをヘッダ情報を含めて保全し、受領記録を作成します。

②営業部長にすぐ確認してよいか

してはいけません。営業部長は指摘の対象として名指しされています。この段階で本人に伝えれば、関連する請求書・稟議・メールが削除・改変される余地を与え、関係者間で説明のすり合わせが行われる可能性が生じます。加えて、営業部内で「誰が通報したのか」の探索が始まる契機にもなります。対象者へのヒアリングは、証拠保全と調査設計を終えたあとの順序で行うべきものです。

③メールを保存すべきか

保存します。加えて、この段階で関連データが失われない状態を確保することを検討します。営業部の請求書・支払記録・稟議書について、通常のデータ削除サイクルや文書廃棄の運用が動いていないかを、対象部署に事案を知らせない形で確認するのが実務的です。技術的な保全手順は第6話「企業不祥事の証拠保全｜メール・チャット・PCをいつ確保する？」を参照してください。

④誰に報告するか

まず法務・コンプライアンス部門です。指摘は「継続的な不適切な金銭の支払」であり、事実であれば会社に相応の影響が生じ得る内容です。営業部長の関与が指摘されているため、営業部門のライン内で処理してはいけません。その情報が取締役に共有され、取締役が会社に著しい損害を及ぼすおそれのある事実を発見したと評価される場合には、会社法357条による監査役等への報告義務が問題となります。また、差出人が現従業員・元従業員・取引先の従業員である可能性が排除できない以上、公益通報者保護法の適用可能性を前提とした情報管理（共有範囲の限定、通報者を特定させる事項の取扱い）を初動から適用します。

⑤正式調査に進むか

この事例では、対象部署と対象者が特定されており、時期と継続性の記載があり、社内記録で照合可能な余地があります。少なくとも予備的な確認——該当期間の営業部の支払記録に不自然な取引が存在するか、指摘された類型の支出があるか——には進めるだけの具体性があります。その結果次第で、正式な社内調査への移行を判断することになります。

ここで注意すべきは、この時点で何らかの犯罪が成立したと結論づけないことです。金銭の支払が不適切かどうかは、相手方の属性、支払の名目、社内手続の履践状況、業界慣行、適用法令によって評価が分かれます。初動の役割は、この評価を行える材料を確保するところまでです。

外部告発を受けたときの初動チェックリスト

• 原情報（メール本文・添付・封書・通話記録）を原形のまま保全した
• 受領日時・受領方法・受領者を記録した
• 添付ファイル・URLの安全性確認を行い、開封手順を決めた
• 内容を6軸（具体性・重大性・緊急性・継続性・裏付け・被害拡大）で整理した
• 人命・安全、進行中の重大違反、大量漏えい等の緊急類型に該当しないか確認した
• 該当し得る個別法を特定し、報告義務の有無を条文で確認する手配をした
• 告発対象部署・対象者に事案を伝えていない
• 共有範囲を必要最小限に限定した
• 法務・コンプライアンス等の適切な部署へエスカレーションした
• 経営陣関与の可能性を確認し、必要なら報告経路を変更した
• 関連データが削除・上書きされない状態を確保した
• 通報者の探索を初動の目的にしていない
• 公益通報者保護法の適用可能性を排除しない前提で情報を管理している
• 差出人への返信要否と記載内容を検討した（評価・約束を書いていない）
• 予備確認／正式調査／継続監視のいずれに進むかの判断期限を設定した

よくある質問

まとめ｜最初に必要なのは「真偽の即断」ではなく、判断できる状態を作ること

初動の骨格は、情報を消さない／広げすぎない／対象者へ不用意に知らせない／緊急性を確認する／適切にエスカレーションする／必要な証拠を確保する／調査開始の要否を判断する——この7つです。

外部から不正を指摘されたからといって、直ちに告発内容を事実と認定する必要はありません。しかし、真偽不明だからといって、直ちに無視してよいわけでもありません。初動の役割は、この後の判断を誤らないための土台を作ることです。

そして、その最初の一手は、告発者が誰かを考えることではなく、届いた情報を失わないことです。

参考資料・一次資料