上司がそれに署名しなければならない場合
自分が完全に納得していない書類に署名しなければならなかった、直近の出来事を思い出してみてください。病院での書類だったかもしれませんし、半分しか読んでいない契約書だったかもしれません。ペンを手に持ち、署名しようとするその瞬間、自分が今確認した内容がすべて事実であることを心の中で密かに願ってしまうものです。 さて、あなたのCEO、CFO、そして取締役会が、まさに同じことをしているところを想像してみてください。しかし、彼らが署名しているのは単なる定型書類ではなく、年次報告書に掲載される公開宣言書であり、そこでは「貴社のリスク管理および内部統制の枠組みが有効である」と明記されています。「有効であると我々は考えている」でもなく、「重大な問題については聞いていない」でもありません。「有効である」。それだけのことです。
まさにそれが、英国の改訂版「コーポレート・ガバナンス・コード」、特に第29条で、現在取締役会に求められていることです。そして、貴組織が英国と何らかのつながり（子会社、取引関係、英国での事業展開、あるいは英国の顧客など）を持っている場合は、それが日々のGRCプログラムにどのような意味を持つのかを理解する必要があります。
第29条は、単に英国だけの問題ではない
英国以外の多くのコンプライアンスチームは、「英国コーポレート・ガバナンス・コード」を読んで、自分たちには適用されないと誤解しがちです。それは間違いです。ガバナンスに関する動向は広まるものであり、これら2つは実際に国境を越えた影響力を持っています。
2024年1月改訂の英国コーポレート・ガバナンス・コードの第29条は、2026年1月1日以降に開始する会計年度から適用されます。同条項では、取締役会に対し、財務、業務、コンプライアンス、報告に関するリスクを網羅した重要な内部統制が機能しているかどうかを、年次報告書において正式に表明することを求めています。 内部統制に不備がある場合、取締役会は同報告書において、その不備の内容と是正計画を説明しなければならない。「継続的なモニタリング」といった曖昧な保証や定型的な表現では、もはや通用しなくなる。
これと並行して、「2023年経済犯罪・企業透明性法（ECCTA）」が制定されており、同法では「詐欺防止義務違反」という罪が導入され、2025年9月1日に施行されました。特定の要件に関する遵守期限は2026年中に順次設定されます。この法律の適用範囲は、明示的に域外適用されます。 英国国外に本社を置く大規模な組織であっても、海外の従業員や子会社を含む関連者が英国に関連する詐欺罪を犯した場合、起訴される可能性があります。罰則は罰金額の上限がないものであり、唯一の抗弁事由は、合理的な詐欺防止手続きが整備され、運用されていたことを立証することのみです。
第29条とECCTA 2023を総合すると、そこには「善意に基づくガバナンスの時代は終わった」という明確なメッセージが示されている。
本当の難しさは、ルールを知ることではありません。基礎を築くことこそが難しさなのです。
コンプライアンスアナリストの多くは、理論上、どのような状態が望ましいかをすでに理解しています。統制は義務と照合されるべきだということは分かっています。証拠資料は、監査の1週間前に慌ててまとめ上げるのではなく、常に最新の状態にしておくべきだということは分かっています。また、新しい規制が導入された際には、誰かがその責任を担い、内容を更新し、下流に関わるあらゆる要素と連携させる必要があることも理解しています。
課題は、ほとんどのGRCプログラムが実際にはそのような仕組みで構築されていないという点です。それらは、スプレッドシートやメールのやり取り、年次レビューサイクル、そして個々の担当者の並外れた努力に依存して成り立っています。それらは、ある時点におけるコンプライアンスの状況の「スナップショット」を生み出すに過ぎず、そのスナップショットは印刷された瞬間にすでに古くなっているのです。
それ自体は問題ないが、誰かがそこに署名しなければならないとなると話は別だ。
取締役会が、貸借対照表作成日時点で重要な内部統制が有効であることを正式に宣言することが求められる場合、重要なのは、そのプログラムが書類上見栄えが良いかどうかではありません。重要なのは、事後に慌てて証拠をまとめたりすることなく、継続的かつ追跡可能な形で、その有効性を証明できるかどうかです。
強力なGRCプログラムの基盤とは、実際にはどのようなものか
コンプライアンス・プロジェクトという考え方から、継続的なGRCプログラムという考え方へと移行すると、重要な変化が生じます。それは、証拠が単に収集されるものではなく、プログラムの運用から自然に生み出される副産物となるということです。
実際には、これは、内部統制を年1回テストして、その間の11ヶ月間に何も変化がないことを願うのではなく、継続的に監視することを意味します。また、規制の変更に合わせて、一度きりのマッピング作業が徐々に時代遅れになるのを放置するのではなく、明確な責任の所在のもとで自動的に「業務と内部統制の対応関係」を更新することを意味します。さらに、監査シーズンが到来した際には、散在する文書やEメールを寄せ集めて資料を作成するのではなく、すでに現在の状況を反映した単一の連携された記録を活用することを意味します。
これこそが、経営幹部が取締役会レベルでの内部統制に関する宣言を行う自信の源泉となるものです。監査プロセスの改善や、より徹底した年次レビューを行っても、その目標は達成できません。効果的なのは、コンプライアンスの保証が定期的なプロジェクトではなく、継続的な成果として得られるようなプログラムの枠組みです。規制当局がますます重視しているのはまさにこの点であり、とりわけ「規定29」は、この点を明らかにするために設けられたものです。
なぜ継続的なGRCコンプライアンスが今や最低限の要件となっているのか
プロビジョン29の基盤となるガバナンス基準は、より広範な世界的な潮流と一致しています。 英国、EU、米国をはじめとする各国の規制当局は、特定の時点における報告から、経営トップによる真の説明責任を伴う、継続的かつ成果重視のガバナンスへと移行しつつある。サーベンス・オクスリー法は、数年前から米国の公開企業に対してこの方向性を示していた。現在、規定29は英国上場企業に対しても同様の圧力をかけており、ECCTAは、英国と実質的な関連性を持つあらゆる組織に対して説明責任の範囲を拡大している。
コンプライアンス・アナリストにとって、この点が重要なのは、自分たちが構築・維持を担当するプログラムこそが、経営陣が表明を求められる内容の直接的な証拠基盤となるからです。取締役会が表明すべき内容と、ほとんどのプログラムが実際に要求に応じて実証できる内容との間に生じるギャップこそが、真のリスクの源泉なのです。
継続的な規制変更管理（新たな義務の追跡、それらを統制措置に紐づけること、責任の所在を明確化すること、および証拠をリアルタイムで記録すること）は、もはや単なる目標ではありません。それが運用モデルそのものなのです。
Archer Evolv™の役割
ここで、GRC専用に開発されたテクノロジーの真価が発揮されます。Archer Evolvは、まさにこの運用モデルを基に設計されています。つまり、「傾聴 → 決定 → 実行 → 保証 → 学習」という継続的なループにより、手作業に頼ることなくGRCプログラムを常に最新の状態に維持する仕組みです。
規制の変更は自動的に検知され、影響を受ける統制に紐付けられます。証拠は、締め切り間際に急いでまとめるのではなく、業務の流れの中で収集されます。統制上の不備が生じた場合、それが6か月後に監査人によって発見されるのではなく、是正責任者がすぐに把握できるようになります。また、取締役会レベルの関係者が、リスク管理および内部統制の枠組みが有効であるかどうかを把握する必要がある場合、その答えは、プレッシャーの下で推測してまとめたものではなく、常に更新され、追跡可能な記録に基づいて得られます。
規定29およびECCTA 2023によって生じる取締役会レベルの説明責任の義務に関して言えば、それが、経営陣が自信を持って支持できる宣言と、夜も眠れなくなるような宣言との違いなのです。
リスクおよびコンプライアンスアナリストにとっての要点
これらのプログラムを実際に構築・維持しているのは、まさに皆さんです。規定29に基づく取締役会レベルの宣言や、ECCTAに基づく不正防止義務は、最終的には、皆さんが日々行っている業務――義務のマッピング、コントロールライブラリの維持管理、証拠の追跡、不備の指摘、そしてフレームワーク全体の最新状態の維持――にかかっているのです。
英国におけるガバナンスの変革は、たとえ現時点で貴社の組織が直接の対象範囲外であったとしても、注目すべき動きです。世界中の規制当局は、取締役会が責任を負う継続的な内部統制ガバナンスへと移行しつつあり、それに伴い実質的な措置が講じられるようになっています。定期的な取り組みや手作業による調整に依存したプログラムでは、こうした変化についていくのは困難になるでしょう。もしそうでないとするならば、その事実を公に確認するよう求められるのは、あなたの上司たちとなるでしょう。
幸いなことに、その基盤の説明はそれほど複雑ではありません。常に最新の状態に保たれ、その成果がすべてを物語っている、連携された制御ライブラリです。これを構築すれば、経営陣はあのペンを手に取り続ける必要がなくなるでしょう。
詳細については、Governance Intelligenceの最新記事をご覧ください。
よくある質問
英国コーポレート・ガバナンス・コードの第29条とは何ですか？
2024年版英国コーポレート・ガバナンス・コードの第29条では、プレミアム上場企業の取締役会に対し、年次報告書において、重要なリスク管理および内部統制が有効であるかどうかを確認する明確な年次宣言を行うことを義務付けています。これは、2026年1月1日以降に開始する会計年度に適用され、財務、業務、コンプライアンス、および報告に関する統制を対象としています。
第29条は、英国以外の企業にも適用されますか？
規定29は、英国のFCA（金融行動監視機構）の規制対象となる市場に上場している企業に直接適用されます。ただし、英国に上場している子会社を持つ多国籍企業、英国で事業を展開している企業、あるいは英国の規制の影響を受ける企業は、同規定が示唆するガバナンスへの期待が、より広範な国際基準に影響を与えていることから、自らの義務について慎重に評価する必要があります。
ECCTA 2023における「詐欺防止義務違反」とはどのような犯罪ですか？
2023年経済犯罪・企業透明性法では、詐欺の防止を怠った場合の法人責任が導入され、2025年9月1日に施行された。この法律は、英国国外に本社を置く組織を含め、世界中の大規模組織のうち、関連者が英国に関連する詐欺罪を犯した場合に適用される。唯一の抗弁事由は、合理的な詐欺防止措置が講じられていたことを立証することである。
GRCプログラムは、規定29の遵守にどのように役立つのでしょうか？
継続的なGRCプログラムは、統制を現在の義務に照らし合わせて管理し、日常業務の副産物として証拠を収集するとともに、取締役会レベルでの内部統制宣言を裏付ける追跡可能な記録を維持します。これにより、従来のコンプライアンスアプローチにおける「ある時点」のスナップショットが、常に最新の保証情報に置き換えられます。
Archer Evolvは、内部統制のコンプライアンスにおいてどのような役割を果たしているのでしょうか？
Archer Evolvは、AIを活用したGRC運用モデル（「傾聴→判断→実行→保証→学習」のループ）を提供します。このモデルは、規制の変更を継続的に監視し、義務と管理措置を照合し、完全なコンテキストとともに業務を担当者に割り当て、監査対応可能な証拠を自動的に収集します。これにより、取締役会は、規定29に基づく宣言やECCTAの不正防止手続きに必要な、追跡可能かつ正当性を立証できる基盤を得ることができます。
