今年の夏、公益通報者保護法（JWPA）を改正する法律が国会で成立したが、これは日本が公益通報者の保護を強化する明確な徴候だと私は考えている。今回の改正で国際的な枠組みとの整合性が高まり、日本で事業を展開する企業のコンプライアンス準拠が厳しく求められるようになるだろう。これは単なる更新ではなく、日本法人のある企業や国境を越えた内部通報制度を設けている国際的な組織に実質的な影響をもたらす変更である。
2025年の改正で大きく変更されたのは？
最初に、新たな制度では、公益通報者に報復した企業には、（たとえば最大3,000万円/19.5万ドルの）罰金が科される場合がある。また、公益通報者の解雇・懲罰を行った個人には、最長6か月の拘禁刑または（最大30万円/1,950ドルの）罰金が科される場合がある。 さらに、公益通報者が通報後1年以内（もしくは企業が外部通報を認識してから1年以内）に解雇された、または不利益な取り扱いを受けた場合、雇用主がそうではないと立証しない限り、法によりその行為は報復とみなされる。ただし、今回の改正では、保護の対象が「従業員」だけでなく、事業者と契約している、および過去12か月間に契約が終了したフリーランスやサービス請負業者にまで拡大される。また、事業者が正当な理由なく公益通報者を特定するような行為は明示的に禁止され、通報する権利を制限する取り決め（契約条件など）は無効になる。
部長や本部長クラスにとって、これは何よりも重要である。すなわち、「経営陣にそう言われたので信じた。」はもはや通用しない。
しかし、誰がこのすべてを施行するかといえば、それは消費者庁なのだ。消費者庁には、「拘束力のある行政命令を発する」「立入検査を実施する」「非協力者に過料・罰金を処す」権限があり、通報を受ける担当者を企業が指定しているかどうかの監視が強化される。標準的な通報窓口を設けていれば十分だと考えているのなら、それは間違っている。通報窓口を従業員に周知する、担当者（従事者）を指定する、内部調査とその結果を文書に記録するなど、企業は制度が機能するように積極的に行動せねばならない。ここで思い浮かぶのは、適切に策定され、効果的に機能するようにリソースが適切に配分され、実際に機能している米国司法省のECCP（企業コンプライアンスプログラム評価）だ。
公益通報者保護法の改正は6月に行われたが、関連条項は公布から1年6か月を超えない範囲で施行される（従って、おそらく2026年末か、遅くとも2027年年初までに施行される）。
要するに、日本は公益通報制度の強化を求めるようになったのだ。「窓口を設けて、後は最善の結果を期待する」時代は終わった。行政機関は、窓口が機能し、労働者に窓口が周知され、通報者を保護する制度が定められている証拠を期待しており、それができなかった場合の説明責任を企業に負わせる。
日本に子会社があったり、日本で事業を展開している事業者向けに、今後に備えてすぐに取るべき最優先対策（または中長期対策）を以下に挙げる。
1. 現在の内部通報制度のギャップ分析
通報を受ける者（従事者）を正式に指定しているかどうかを確認する。指定していない場合、消費者庁は命令を出せる。フリーランスやサービス請負業者（および過去12か月以内に契約が終了した者）が、社内の内部通報規定の対象となっているかどうかを見直す。内部通報規定の対象が従業員のみの場合は、ギャップが存在する可能性がある。ホットラインや通報窓口が、労働者に伝えられているかどうかを検証する。従業員や関係者に制度が知らされているか？研修を実施したか？労働者が研修を受けただけでなく、内容を理解したことを記録しているか？誰かが通報窓口を使用したら、どれくらい迅速に対応できるか、プロセスは文書化されているか、プロセスは独立しているか、秘密保持を確保できるか、身元を保護できるかを評価する。内部通報を阻止する可能性がある制限条項（守秘義務条項や開示・非難禁止条項など）が社内契約や業務委託契約に含まれていないかどうかを確認する。今回の改正法では、これらが無効になる可能性がある。
2. 規定、研修、社内コミュニケーションをアップデートする
保護の拡大（過去12か月間に契約が終了したフリーランスと請負業者を含む）を内部通報規定に反映する。正当な理由なく、内部通用者を特定するような行為や報復を目的とする不利益な取扱いの禁止を明記する。ここで繰り返すが、通報後1年以内の報復の推定について、課長クラス、人事、社内調査担当者の研修を実施すること。大部分のコンプライアンスプログラムの最大のギャップは、課長クラスがその役割についての適切な研修を受けていないため、上層部が苦労して作成したメッセージが伝わらず、中間層で止まってしまうことだ。通報後1年以内の解雇・懲戒は、そうではないと立証されない限り、報復と推定されると明確に伝えなければならない。制度が機能しているかどうかの監視を内部監査やコンプライアンスに担当させること。監視の方法としては、主要な数値指標（通報数、結果、報復の有無など）の確認、文書の調査、記録の保持などが挙げられる。
3. フリーランスや請負業者との契約を見直す
フリーランスや請負業者との業務委託契約に、内部通報者の保護を遵守する（および通報に対して不当な契約解除を行わない）旨が記載されているかなどを確認し、第三者の従業員、請負業者、下請業者が内部通報窓口（または外部通報窓口）を認識し、懸念を提起した場合に保護されるように、請負業者のテンプレートを変更する。個人的には、このような第三者に研修を実施し、通報窓口や法的保護について理解してもらうことを勧める。
契約終了後でも報復から保護されることも認識しておくべきだ。保護は契約終了から最長12か月間有効であり、契約期間の短縮や通報直後の契約解除は報復措置だという訴えにつながる。
4. 文化、プロセス、文書化を浸透させる
先見性のある組織のほとんどは、すでに内部通報制度を広範な倫理・コンプライアンスプログラムに組み込んでいるが、これも例外ではない。サイロ化は継続を断ち切る。
すべての労働者（従業員、請負業者、供給業者など）を対象に、内部通報窓口の存在、その使い方、報復の禁止を定期的に通知する。これを既存の行動規範研修に組み込むのも手だ（ただし、その前に当該研修の内容を見直すこと）。
調査、判断、フォローアップの詳細な記録を保持する必要性については述べたが、通報に対する保護策も不可欠になる。また、行政機関による査察にも備えねばならない。現在、消費者庁には立入検査を実施する、行政命令を出す、非協力者に対して過料を処すなどの権限がある。従って、監査証跡の準備が必要だ。
日本で事業を展開するグローバル企業は何に注意すべきか？
2025年の公益通報者保護法の改正では、ホットラインポリシーの微修正を大きく越えた複雑性が追加される。今回の変更は、国際的な制度設計、データ流通、調査プロトコル、請負業者の管理、供給業者との関係、日本法人の日常的な業務規律に触れている。
企業は、海外での内部通報構造が、日本での義務強化の中で通用するかどうかを確認せねばならない。多くの多国籍企業は、本社や地域拠点を経由する全世界共通のホットラインに頼っている。これでもよいのだが、今後はより細かい注意を払わねばならない。さらに、日本支社は、前述の従事者を定める、現地で通報窓口を設ける、フリーランスや請負業者（過去に契約が終了した者を含む）も保護の対象とするなど、日本特有の要件を満たさねばならない。
国境を越えた問題には、特に慎重に対処すべきだ。日本を端緒とする通報が、問題の仕分け（トリアージ）や調査のために国外に転送される場合、企業は日本の公益通報者保護法が定める秘密保持および身元保護に関する基準が損なわれないようにする。本社が日本の通報者の身元を要求すれば、それは身元特定禁止の違反になりうる。組織は、海外でのデータ移転慣行と調査プロトコルが日本のプライバシー規則と一致し、行政機関による調査の強化が越境データ移転に当てはまるかどうかを確認する必要もある。場合によっては、グローバルな制度の中に現地の内部通報担当部署や担当者を組み込み、日本法人の内部通報制度の明確な文書化と準拠を確保することが賢明だ。
多国籍企業は、日本での改正法の施行により生じるリスクが今や極めて高く、手続き上のミスでは済まないことも認識すべきだ。
罰則の導入により、内部通報制度が適切でない場合、日本法人は直接的なリスクにさらされる。日本法人の措置が基準に達しないと、企業全体の評判が損なわれる可能性もある。通報後1年以内の報復の推定は、雇用主に負担を課す。すなわち、企業は受動的にではなく、能動的に対応せねばならない。従業員だけが対象のグローバルプログラムは、もはや十分とは言えない。特に、最近契約が終了したフリーランス、サービス請負業者、個人が標準規定から外れる場合はなおさらだ。そして、日本での通報にグローバル全体の問題や個人が含まれる場合、日本法人は調査、エスカレーション、フォローアップ、通報者の保護を実施していることを明確に示さねばならない。行政機関は、規定の文書化だけではなく、制度が機能しているという証拠を大きく期待するようになっている。
最後に、多国籍企業は、日本以外での契約、規定、運営を、拡大された日本の要件と整合させる要がある。たとえば、企業グループ全体の規定が「従業員」だけを対象としていたら、契約が12か月以内に終了した請負業者、フリーランス、個人を明示的にカバーするように変更せねばならない。日本法人の労働者への通達でも、このような保護の拡大を強調すべきだ。
場合によっては、現地の研修プログラムも、日本語のニュアンス、労働法の要件、変化する日本の規制環境を反映する必要がある。日本のコンプライアンス文化は急速に変化している。そして、行政機関は企業がそのような変化を理解し、取り入れている証拠を示すことを大きく期待している。「郷に入っては郷に従え」である。
最後に
2025年の公益通報者保護法の改正は大きな変曲点だが、日本国内での事業や日本を経由した事業を展開している企業に対する最終通告でもある。これまでは、内部通報窓口を設置すれば必要最低限の義務を満たしていた。しかし現在は、「窓口が機能していることを企業が実証する」「保護対象を（フリーランスや第三者などに）拡大する」「報復に深刻に対処する」「行政機関に強制力があることを認識しておく」などが期待されている。
規定のアップデートだけではない。企業文化の移行、ガバナンスやモニタリングの強化、日本の慣習とグローバルの制度との一致が重要だ。これまでの「軽い」コンプライアンスの時代は、急速に幕を閉じようとしている。書面上のコンプライアンス準拠だけでなく、実際の調査に備えられるように、企業は今すぐに行動せねばならない。