whistleblower-compliance

⚠️ 実験的 — このスキルは、教育および情報提供のみを目的として提供されています。法的助言を構成するものではありません。利用に関する責任はすべてユーザーが負うものとします。出力に基づいて行動する前に、資格を有する法律専門家に相談してください。

内部告発コンプライアンススキル

概要

既存の報告システムの監査と、法令に準拠したポリシーの作成に対応する、本番環境対応の内部告発コンプライアンスツールキットです。EU 指令 2019/1937、米国 SOX 法第 806 条、米国ドッド・フランク法、英国の 1998 年公益開示法を対象としています。2 つのモードで動作します。モード A（評価）では、既存システムを 8 フェーズ、56 チェックポイントで監査し、モード B（作成）では、管轄区域に応じた報告ポリシーを生成します。

目次

• ツール
• リファレンスガイド
• ワークフロー
• トラブルシューティング
• 成功基準
• 対象範囲と制限事項
• アンチパターン
• ツールリファレンス

まず確認すること

出力を生成する前に、次の情報を確認してください。不明または曖昧な項目がある場合は、推測せずに質問してください。

• モード：既存システムの評価か、ポリシーの作成か — モード A はギャップのスコアリングを含む 56 チェックポイントの監査を実施し、モード B はポリシーの骨子を作成します。成果物はまったく異なります。
• 管轄区域 — EU、米国、英国のいずれか。適用される規制の要件、しきい値、期限を決定します（EU の 7 日以内の受領確認／3 か月以内のフィードバックと、SOX の 180 日以内の申立てなど）。
• 従業員数と組織の種類 — EU ではしきい値が異なります（民間部門は 50 人以上、公的部門はすべて）。適用の有無と必須セクションを判断します。
• 業種 — 金融、医療、防衛、原子力、運輸など。フェーズ 8 の業種固有の要件が適用されます。

質問の停止ルール：出力への影響が最も大きい 2～3 項目のみを質問してください。ユーザーが「とにかく作成して」と言った場合は、そのまま進め、出力の冒頭に前提を列挙してください。

ツール

1. コンプライアンスチェッカー（scripts/whistleblower_compliance_checker.py）

組織のパラメーターに基づき、既存の内部告発システムを規制要件に照らして評価します。優先度別に分類したギャップとコンプライアンススコアを出力します。

python scripts/whistleblower_compliance_checker.py \
  --jurisdiction EU --headcount 300 --sector financial \
  --channels internal,external --has-designated-person \
  --has-confidentiality --has-gdpr-measures --has-dissemination

python scripts/whistleblower_compliance_checker.py \
  --jurisdiction US --headcount 5000 --sector healthcare \
  --channels internal --json

python scripts/whistleblower_compliance_checker.py \
  --jurisdiction UK --headcount 50 --sector technology \
  --channels none

2. ポリシーのひな形作成ツール（scripts/whistleblower_policy_scaffolder.py）

規制の枠組みに応じた必須セクションをあらかじめ含む、内部告発ポリシーの骨子を生成します。

python scripts/whistleblower_policy_scaffolder.py \
  --jurisdiction EU --org-type private --headcount 500 \
  --org-name "Acme Corp"

python scripts/whistleblower_policy_scaffolder.py \
  --jurisdiction US --org-type public --headcount 10000 \
  --org-name "MegaCorp Inc" --json

python scripts/whistleblower_policy_scaffolder.py \
  --jurisdiction UK --org-type nonprofit --headcount 100 \
  --org-name "CharityOrg" --output policy-draft.md

リファレンスガイド

リファレンス	目的
references/regulatory_framework.md	複数の管轄区域における内部告発規制、比較表
references/assessment_checklist.md	優先度分類を含む、8 フェーズ、56 チェックポイントの評価

ワークフロー

モード A：評価ワークフロー

1. パラメーターの収集 -- 管轄区域、従業員数、業種、システムの説明を収集します
2. コンプライアンスチェッカーの実行 -- パラメーターを指定して whistleblower_compliance_checker.py を実行します
3. ギャップの確認 -- まず CRITICAL のギャップ、次に IMPORTANT、最後に IMPROVEMENT の順で優先順位を付けます
4. チェックリストとの照合 -- assessment_checklist.md に沿って手動で確認します
5. 是正計画の作成 -- 優先度に応じてギャップに対処し、規制上の期限に基づいて締め切りを設定します

モード B：作成ワークフロー

1. 管轄区域の特定 -- 本社の所在地と事業活動に基づいて、適用される規制を特定します
2. 骨子の生成 -- 組織の詳細を指定して whistleblower_policy_scaffolder.py を実行します
3. 各セクションのカスタマイズ -- プレースホルダーを組織固有の情報に置き換えます
4. 法務レビュー -- 管轄区域固有の検証のため、草案を法務担当者に回します
5. 承認と公開 -- 取締役会または経営陣の承認を得て、全職員に周知します

8段階の評価フレームワーク

フェーズ	焦点	チェックポイント
1. 適用可能性	規制範囲の判定	3
2. 受付チャネル	報告チャネルの適切性	5
3. 指名担当者	人員および独立性	7
4. 検証／処理	調査手順	8
5. 機密性	身元およびデータの保護	9
6. 周知／情報	認知度およびアクセス性	10
7. データ保護／GDPR	プライバシーコンプライアンス	12
8. 業種固有	業界要件	6
合計		60

3つの報告チャネル

チャネル	使用する状況	主な要件
内部	第一の選択肢。組織に報告	7日以内に受領確認、3か月以内にフィードバック
外部（規制当局）	内部チャネルが機能しない、または適切でない場合	権限を有する当局に報告。同じ保護が適用されます
公開開示	最終手段。差し迫った危険または報復がある場合	内部／外部チャネルを使い切った場合にのみ保護されます

内部告発者の保護

保護	説明
民事上の免責	守秘義務違反について責任を問われません
刑事上の免責	報告された情報を取得したことについて刑事責任を問われません
報復の禁止	解雇、降格、嫌がらせ、ブラックリストへの登録、差別
立証責任の転換	雇用主は、その措置が報復ではなかったことを証明する必要があります
暫定的救済	調査期間中の暫定的な保護
法的支援へのアクセス	法律顧問および支援を利用できます

優先度の分類

優先度	定義	例
CRITICAL	法令違反。差し迫った規制上のリスク	報告チャネルが存在しない。機密性を保護する措置がない
IMPORTANT	システムの有効性を損なう重大なギャップ	受領確認までの期間が7日を超える。指名担当者がいない
IMPROVEMENT	改善の機会。現時点ではコンプライアンス違反ではない	トレーニングの頻度がベストプラクティスを下回る。チャネルの種類が限られている

トラブルシューティング

問題	原因	解決策
チェッカーがすべてをCRITICALとして報告する	システムパラメーターが指定されていない	正確な --channels、--has-designated-person、その他のフラグを指定してください
管轄区域の要件が異なる	複数の管轄区域にまたがる事業体に、単一の管轄区域を適用している	管轄区域ごとにチェッカーを実行し、最も厳しい要件を適用してください
ポリシーのひな形にセクションが不足している	管轄区域フラグが正しくない	--jurisdiction がEU、US、またはUKと一致することを確認してください
従業員数のしきい値が分かりにくい	EU指令では事業体の種類によってしきい値が異なる	民間部門：従業員50人以上。公共部門：すべての自治体
業種固有のギャップが検出されない	一般的な業種値が指定されている	financial、healthcare、defense、nuclear など、具体的な業種を指定してください
USの事業体でGDPRのチェックに失敗する	USの事業体もGDPRへの準拠が必要な場合があります	EU市民のデータを処理する場合は、--has-gdpr-measures を追加してください
タイムライン要件が不明確	管轄区域によってタイムラインが異なる	EU：7日以内に受領確認、3か月以内にフィードバック。SOX：提出期限は180日
ポリシーの出力が一般的すぎる	指定されたパラメーターが最小限である	具体性を高めるため、--org-name、--org-type、--headcount を追加してください

成功基準

• コンプライアンス範囲：指定された管轄区域に適用される規制要件を100％網羅した評価であること
• ギャップの特定：すべてのCRITICALおよびIMPORTANTのギャップを特定し、明確な是正指針を示すこと
• ポリシーの完全性：生成されるポリシーに、適用される規制で義務付けられたすべてのセクションが含まれること
• タイムラインの遵守：受領確認（7日）およびフィードバック（3か月）の正しい期間がポリシーに反映されていること
• 監査への対応準備：評価結果が、規制監査の準備および証拠収集に十分であること

対象範囲と制限事項

このスキルの対象範囲：

• EU 指令 2019/1937、米国の SOX／Dodd-Frank、英国の PIDA に照らしたコンプライアンス評価
• 管轄区域固有の必須セクションを含むポリシーの骨組みの作成
• 優先度分類と是正の指針を含むギャップ分析
• 複数セクターへの対応（金融、医療、防衛、原子力、輸送）

このスキルの対象外：

• 実際の内部告発案件の管理や調査手順
• 法的助言や弁護士・依頼者間の秘匿特権が適用される分析
• リアルタイムの規制監視や、法改正時の自動更新
• 内部告発ホットラインソフトウェアの導入やベンダー選定
• 複数の規制当局間での越境報告の調整

アンチパターン

アンチパターン	失敗する理由	より良い方法
別の管轄区域のポリシーをコピー＆ペーストする	規制には実質的な違いがあります。EUでは7日以内の受領確認が必要ですが、SOXでは申告期間が180日です	正しい管轄区域を指定してスキャフォルダーを実行し、現地の要件に合わせてカスタマイズします
すべてのギャップを同じ優先度として扱う	CRITICAL のギャップが残っているのに、改善にリソースを浪費します	まず CRITICAL、次に IMPORTANT、最後に IMPROVEMENT に対処します
複数の管轄区域にまたがる組織を一度だけ評価する	管轄区域ごとに固有の要件と基準があります	管轄区域ごとに個別に評価を実施し、統一ポリシーにまとめます
セクター固有のフェーズを省略する	規制対象のセクター（金融、医療）には追加要件があります	規制対象の業界では、必ずフェーズ 8 を完了します
定期的な再評価を行わない	規制は変化し、国内法への移行期限も過ぎていきます	年次再評価を予定し、法改正を監視します

ツールリファレンス

scripts/whistleblower_compliance_checker.py

規制要件に照らして内部告発システムのコンプライアンスを評価します。

usage: whistleblower_compliance_checker.py [-h] [--json]
                                           --jurisdiction {EU,US,UK}
                                           --headcount HEADCOUNT
                                           --sector SECTOR
                                           [--channels CHANNELS]
                                           [--has-designated-person]
                                           [--has-confidentiality]
                                           [--has-gdpr-measures]
                                           [--has-dissemination]
                                           [--has-acknowledgment-timeline]
                                           [--has-feedback-timeline]

options:
  -h, --help            Show help message and exit
  --json                Output in JSON format
  --jurisdiction        Regulatory jurisdiction: EU, US, or UK
  --headcount           Number of employees in the organization
  --sector              Industry sector (financial, healthcare, technology, etc.)
  --channels            Comma-separated channel types: internal, external, none
  --has-designated-person  Designated person(s) appointed for handling reports
  --has-confidentiality    Confidentiality measures in place
  --has-gdpr-measures      GDPR/data protection measures implemented
  --has-dissemination      Policy disseminated to all personnel
  --has-acknowledgment-timeline  7-day acknowledgment timeline met
  --has-feedback-timeline  3-month feedback timeline met

scripts/whistleblower_policy_scaffolder.py

管轄区域固有の内部告発ポリシーの骨組みを生成します。

usage: whistleblower_policy_scaffolder.py [-h] [--json]
                                          --jurisdiction {EU,US,UK}
                                          --org-type {public,private,nonprofit}
                                          --headcount HEADCOUNT
                                          [--org-name ORG_NAME]
                                          [--output OUTPUT]

options:
  -h, --help            Show help message and exit
  --json                Output in JSON format
  --jurisdiction        Regulatory jurisdiction: EU, US, or UK
  --org-type            Organization type
  --headcount           Number of employees
  --org-name            Organization name (used in policy template)
  --output              Write policy to file instead of stdout