whistleblower-policy-malik-taiar

内部通報制度 — 評価と文書作成

概要

このガイドは、（a）既存の内部通報制度のコンプライアンスを評価する、または（b）提供されたテンプレートに基づいて通報ポリシーを作成する際に役立ちます。

対象となる法的枠組み

• EU 指令 2019/1937
• 改正 Sapin II 法（Waserman 法 2022）
• 政令第 2022-1284 号
• CNIL 職業上の通報に関する枠組み

2 つの利用モード

モード	説明	成果物
A. コンプライアンス評価	既存制度を監査します	評価レポート＋アクションプラン
B. ポリシー作成	参照資料に基づいて制度を作成します	テンプレートに基づくポリシー

このスキルでできること／できないこと

このスキルでできること	このスキルでできないこと
既存制度のコンプライアンスを評価します	最終的な法的判断を提示すること
提供されたテンプレートに基づいて通報ポリシーを作成します	法的執行可能性を保証すること

対象範囲：改正 Sapin II 法および政令第 2022-1284 号の適用対象となる内部通報制度です。

対象に応じた留意事項：

• 公共部門：刑事訴訟法第 40 条との調整
• 警戒義務：従業員数が 5,000 人／10,000 人以上の企業

目次

/
├── SKILL.md
├── LICENSE.txt
├── README.md
├── assets/
    ├── Template_Politique_Lanceur_Alerte.docx ← Template for Mode B
    ├── [PDF sources]
└── references/
    ├── TEXTES_LEGAUX.md      ← Verbatim legal article citations
    ├── DECRET_PROCEDURE.md   ← Mandatory elements (Decree 2022-1284)
    ├── RGPD_CNIL.md          ← GDPR compliance and CNIL framework
    ├── FONCTION_PUBLIQUE.md  ← Public sector specifics + Art. 40 CPP
    └── VIGILANCE.md          ← Duty of vigilance coordination

免責事項

これは法的助言ではありません。 このスキルは、情報提供および教育のみを目的として提供されます。法律は管轄地域や個々の状況によって異なり、特定の状況に合わせた助言を提供できるのは、資格を有する弁護士のみです。これは法的助言または法的見解を構成するものではなく、法律専門家向けの Claude スキルです。このスキルのすべての出力は、法的な用途に使用する前に、資格を有する法律専門家による確認を受ける必要があります。

利用モードの選択

モード A：コンプライアンス評価

使用する場面：クライアントがすでに制度を導入しており、そのコンプライアンスを確認したい場合です。

→ セクション 3（入力情報）、次に セクション 5（評価ワークフロー）に進みます

モード B：ポリシー作成

使用する場面：クライアントが制度をまだ導入していない、または新たに作成したい場合です。

→ セクション 3（入力情報）、次に セクション 13（ポリシー作成）に進みます

テンプレート	形式	用途
Template_Politique_Lanceur_Alerte.docx	Word	内部通報ポリシーのテンプレート

重要：テンプレートは提供されたとおりに正確に使用してください。変更できるのは可変要素のみです。

収集する入力情報（評価前に依頼してください）

A. 組織の概要（必須）

• 法的形態と従業員数（従業員／職員数が 50 人以上の基準に該当しますか？）
• 事業分野と組織の区分（民間／公共／混合）
• グループ構成（共同利用は可能ですか？）
• 既存制度：導入日、Waserman 法施行後の更新状況

B. 依頼する文書

• 内部通報手続き
• 従業員向けの案内資料
• 使用するテンプレート（受領確認、フィードバック、終了通知）
• 職務記述書／担当者の任命書
• GDPR 登録簿／DPIA（作成済みの場合）

C. 実務上の制約（推奨）

• 他の組織との共同利用を検討しましたか？
• 受付窓口を外部委託していますか？
• 他の制度（警戒義務）との調整は必要ですか？

成果物 — モード A：評価

クイックスタート（デフォルトの出力）

必ず以下を作成してください。

1. エグゼクティブサマリー（1 ページ）
2. フェーズ別評価表（8 フェーズ）
3. 推奨アクションプラン

A. エグゼクティブサマリー

• 全体的なコンプライアンス：準拠／一部準拠／非準拠
• 特定された主なギャップ 5 件（優先度順）
• 推奨事項：「準拠」／「導入前に是正」／「エスカレーション」

B. 詳細評価表

フェーズ	チェック項目	適合	特定されたギャップ	優先度	推奨事項
1. 適用可能性
1.1	従業員数の基準を満たしている（≥ 50）
1.2	事業体の種類を特定している（民間／公的／混合）
1.3	該当する場合、共同窓口の要件に適合している（< 250、同時に決定）
2. 受付窓口
2.1	書面または口頭の窓口を設けている（事業体が選択）
2.2	口頭窓口を設ける場合：電話または留守番電話に言及している
2.3	口頭窓口を設ける場合：要請があればビデオ会議／対面での面談を実施する（20営業日以内）
2.4	あらゆる種類の文書を送信できる
2.5	7営業日以内に書面で受領確認を行う
3. 指定担当者
3.1	受付担当者を正式に指定している
3.2	処理担当者を正式に指定している
3.3	十分な能力を有している
3.4	十分な権限を有している
3.5	十分なリソースを有している
3.6	公平性を確保するための措置を講じている
3.7	外部委託する場合：第三者に関する義務を遵守している
4. 検証／処理
4.1	受理基準を定めている（第6条＋第8条I.A.）
4.2	受理できない場合に通報者へ通知している
4.3	要件に適合しない通報への対応を定めている
4.4	匿名通報への対応を定めている
4.5	3か月以内に書面でフィードバックを行う
4.6	フィードバックの内容が要件に適合している（措置＋理由）
4.7	理由を付した終了通知を行う
4.8	通報者に終了を書面で通知する
5. 機密保持
5.1	情報の完全性を保証している
5.2	通報者の身元を機密として保持している
5.3	関係者の情報を機密として保持している
5.4	言及された第三者の情報を機密として保持している
5.5	アクセスを許可された担当者に限定している
5.6	指定担当者へ速やかに伝達している
5.7	口頭の場合：録音手順を定めている
5.8	通報者に確認／承認する権利を認めている
5.9	保存期間を限定している
6. 周知／情報提供
6.1	手順を十分に周知している
6.2	対象者が常時アクセスできる
6.3	通報者の地位を得るための条件
6.4	対象者のカテゴリー
6.5	通報手順（様式、窓口）
6.6	処理期間（7日以内の受領確認、3か月以内のフィードバック）
6.7	機密保持の保証
6.8	付与される保護
6.9	外部窓口に関する情報
6.10	GDPRに関する情報
7. GDPR遵守（CNIL参照：06/07/2023）
7.1	法的根拠を特定している（法的義務または正当な利益）
7.2	目的を定義し、適合しない目的での再利用を行わない
7.3	データ最小化を遵守している（フェーズ別：収集、調査、決定後）
7.4	匿名での通報が可能であり、再特定を行わない
7.5	許可されたユーザーを文書化し、アクセスを記録している
7.6	開示に関する規則を遵守している（通報者：同意／対象者：事実確認後）
7.7	フェーズごとに保存期間を定め、通知している
7.8	データ主体への通知が要件に適合している（受領確認時に通報者へ、1か月以内に対象者へ）
7.9	データ主体の権利を保証している（アクセス、異議申立て、訂正、処理の制限）
7.10	セキュリティ対策が要件に適合している（CNILの17カテゴリー）
7.11	処理記録を更新している
7.12	DPIAを完了している（推奨）
8. 分野別の要件
8.1	公共部門：CPP第40条との連携を文書化している
8.2	公共部門：指定担当者に第40条の義務を知らせている
8.3	警戒義務：代表的な労働組合と協議している
8.4	警戒義務：対象範囲を拡大している（子会社、下請業者）
8.5	警戒義務：外部の利害関係者を対象としている
8.6	規制対象分野：分野固有の義務との連携を図っている

評価ワークフロー（モード A）

ステップ 1 — 該当性の確認

組織は義務の対象ですか？

• 従業員 50 人以上の民間法人 → はい
• 職員 50 人以上の公法人 → はい
• 住民 10,000 人以上の自治体 → はい
• 国の行政機関 → はい
• その他 → 業種固有の規制を確認してください

共同実施が可能（従業員／職員 250 人未満）：改正 Sapin II 法第 8 条 I. B. および C.、ならびに政令第 7 条 II を参照してください。

ステップ 2 — コンプライアンスの評価（参考資料を使用）

重要 - 必読：評価を行う前に、ファイル assets/Decret_2022_1284.pdf（第 1 条から第 8 条および付属書）を全文お読みください。要約だけに頼らないでください。政令の正確な本文が正式な根拠となります。

参考資料を使用して、システムを体系的に評価してください。

参考資料	内容
assets/Decret_2022_1284.pdf	必ず最初に読む - 政令の全文
DECRET_PROCEDURE.md	必須要素の概要（政令第 4～8 条）
RGPD_CNIL.md	GDPR コンプライアンスおよび CNIL の枠組み
FONCTION_PUBLIQUE.md	公共部門に固有の事項 + CPP 第 40 条
VIGILANCE.md	警戒義務との連携（該当する場合）
TEXTES_LEGAUX.md	検証用の原文引用

評価方法：

1. 評価を開始する前に、政令 2022-1284 を全文読む
2. すべての必須要素が存在することを確認する（完全性）
3. 各条項が法令および規制の枠組みに準拠していることを確認する（矛盾がないこと）
4. 第 6 節のチェックリストを使用して、段階ごとに評価を進める
5. 疑義がある場合は、必ず政令の正確な本文に立ち返る

ステップ 3 — 報告書の作成

REPORT STRUCTURE:
1. Executive summary (overall compliance, strengths, priority areas)
2. Context and scope (organization, regulatory framework, documents analyzed)
3. Detailed results (cover all 8 checklist phases)
4. Gap summary table
5. Recommended action plan
6. Annexes (completed checklist, applicable texts)

ステップ 4 — 推奨事項の優先順位付け

優先度	基準	例
CRITICAL	システムの不在、法定期限の不遵守、機密保持の不備	受領確認がない
IMPORTANT	情報不足、担当者が特定されていない、GDPR 不遵守	処理担当者の公平性に関するリスク
IMPROVEMENT	手続きの改善が必要、文書が不完全、研修の強化が必要	コミュニケーション資料の補完

評価チェックリスト（8 段階）

フェーズ 1：該当性

改正 Sapin II 法第 8 条 I. B.、ならびに政令第 1 条および第 2 条を参照してください。

• 組織が義務の対象である（基準を満たしている）
• 事業体の種類が特定されている（民間／公的／混合）
• 該当する場合、共同実施が要件を満たしている（従業員／職員 250 人未満、共同決定）

フェーズ 2：受付窓口

→ 詳細な参考資料：DECRET_PROCEDURE.md - Section 1

• 書面または口頭での窓口を設けている（事業体が選択 - 政令第 4 条 I）
• 口頭での受付を設けている場合：電話または留守番電話について明記している
• 口頭での受付を設けている場合：要請に応じたビデオ会議／対面会議に対応している（20 営業日以内）
• あらゆる種類の文書を送信できる
• 7 営業日以内に書面で受領確認を行う

フェーズ 3：指定担当者

→ 詳細な参考資料：DECRET_PROCEDURE.md - Section 3

• 手続きにおいて正式に指定されている（受付および処理の両方）
• 十分な能力、権限およびリソースがある
• 公平性を確保する措置が講じられている
• 共同実施の場合（従業員 250 人未満）：第 7 条 II の条件を満たしている
• 外部委託の場合：第三者に関する義務が第 7 条 I に準拠している

フェーズ 4：検証と処理

→ 詳細な参考資料：DECRET_PROCEDURE.md - Section 2

検証：

• 受理基準を定義（Art. 6 および Art. 8 I.A.）
• 受理できない場合の通報者への通知を規定
• 要件を満たさない通報へのフォローアップを明記
• 匿名通報へのフォローアップを明記

処理：

• 最長 3 か月以内に書面でフィードバックを提供
• フィードバックの内容が適合（検討・実施した措置とその理由）
• 理由を示した終了通知を提供（根拠のない申し立て、または対応の必要がなくなった申し立て）
• 通報者に書面で終了通知を提供

フェーズ 5：機密保持

→ 詳細な参考資料：DECRET_PROCEDURE.md - Section 4

• 情報の完全性と機密性を保証
• 通報者、関係者、言及された第三者の身元を保護
• 権限のない者によるアクセスを禁止
• 指定された担当者への速やかな伝達を規定
• 口頭の場合：記録手順を定義
• 保管期間を厳密に必要な範囲に限定

フェーズ 6：周知と情報提供

→ 詳細な参考資料：DECRET_PROCEDURE.md - Section 6

• 手順を十分に周知
• 対象者が常時アクセスできるようにする
• 情報提供の内容を網羅（政令第 7 条を参照）
• 外部通報窓口に関する情報を提供

フェーズ 7：GDPR への準拠（CNIL フレームワーク 06/07/2023）

→ 詳細な参考資料：RGPD_CNIL.md

• 法的根拠を特定（法的義務または正当な利益）
• 目的を定義し、適合しない目的での再利用を禁止
• フェーズごとにデータを最小化（収集、調査、決定後）
• 匿名通報を可能にし、再特定を禁止
• 許可されたユーザーを文書化し、アクセスを記録
• 開示規則を遵守（通報者：同意／対象者：事実確認後）
• フェーズごとに保管期間を定め、伝達
• データ主体への通知が適合（通報者には受領確認時、対象者には 1 か月以内）
• データ主体の権利を保証（アクセス、異議申し立て、訂正、処理の制限）
• セキュリティ対策が適合（CNIL の 17 カテゴリー）
• 処理記録を更新
• DPIA を完了（推奨）

フェーズ 8：分野固有の要件

→ 公共部門 → FONCTION_PUBLIQUE.md

• Art. 40 CPP との連携を文書化
• 指定担当者に Art. 40 の義務を通知

→ 警戒義務 → VIGILANCE.md

• 代表的な労働組合との協議のもとで仕組みを構築
• 適用範囲を拡大（子会社、下請業者、サプライヤー）
• 外部の利害関係者も対象とする

→ 規制対象の業界（金融、医療など）

• 業界固有の義務との連携を文書化

3 つの通報経路（Sapin II 法 Art. 8）

┌──────────────────────────────────────────────────────────────────────────────┐
│  CHANNEL 1: INTERNAL REPORTING (Art. 8 I)                                    │
│  ────────────────────────────────────────                                    │
│  WHEN: Can be used directly, without prior condition                         │
│                                                                              │
│  ELIGIBLE PERSONS (Art. 8 I.A. 1° to 5°):                                    │
│  → Staff members (current or former)                                         │
│  → Job applicants                                                            │
│  → Shareholders, partners, voting rights holders                             │
│  → Members of administrative, management, supervisory bodies                 │
│  → External and occasional collaborators                                     │
│  → Contractors, subcontractors and their bodies/staff                        │
├──────────────────────────────────────────────────────────────────────────────┤
│  CHANNEL 2: EXTERNAL REPORTING (Art. 8 II)                                   │
│  ─────────────────────────────────────────                                   │
│  WHEN: Can be used in two ways                                               │
│    ✓ EITHER after making an internal report                                  │
│    ✓ OR directly (without going through internal)                            │
│                                                                              │
│  POSSIBLE RECIPIENTS:                                                        │
│  1° Competent authority (list in annex to Decree No. 2022-1284)              │
│  2° Defender of Rights                                                       │
│  3° Judicial authority (Public Prosecutor)                                   │
│  4° Competent EU institution, body or agency                                 │
├──────────────────────────────────────────────────────────────────────────────┤
│  CHANNEL 3: PUBLIC DISCLOSURE (Art. 8 III)                                   │
│  ─────────────────────────────────────────                                   │
│  WHEN: Protection granted only in the following cases                        │
│                                                                              │
│  CASE 1 (Art. 8 III 1°) - Ineffective reports:                               │
│    → After external report (preceded or not by internal)                     │
│    → AND no appropriate measure taken at deadline expiry                     │
│                                                                              │
│  CASE 2 (Art. 8 III 2°) - Serious and imminent danger                        │
│                                                                              │
│  CASE 3 (Art. 8 III 3°) - Risks related to external reporting:               │
│    → Risk of retaliation                                                     │
│    → OR impossibility of effective remedy                                    │
│                                                                              │
│  DEROGATORY CASE (Art. 8 III penultimate paragraph):                         │
│    → IMMINENT or MANIFEST danger to the public interest                      │
│                                                                              │
│  ⚠️ EXCLUSION: Cases 2°, 3° and derogatory do NOT apply if                   │
│     disclosure harms national defense/security                               │
└──────────────────────────────────────────────────────────────────────────────┘

注記：Waserman 法（2022 年）以降、内部通報者は内部経路と外部経路を自由に選択できます。まず内部経路を利用する義務はなくなりました。

内部通報者の定義（Sapin II 法 Art. 6）

内部通報者＝次の条件を満たす自然人：

• 直接的な金銭的対価を受けずに通報または開示する
• 誠実に行動する
• 次の事項に関する情報を伝える：
  • 犯罪または違反
  • 公益に対する脅威または損害
  • 次の事項への違反、または違反を隠蔽しようとする行為：
    • 国際的な約束
    • 欧州連合法
    • 法律または規則

除外事項（Art. 6 II）：国防上の秘密、医療上の守秘義務、司法審議の秘密、捜査・調査の秘密、弁護士と依頼者間の秘匿特権。

支援者（Art. 6-1）：内部通報者を支援する、非営利の私法上の自然人または法人。

内部通報者の保護

→ 詳細な参照資料：TEXTES_LEGAUX.md - Article 10-1

報告が必要であると信じる合理的な根拠がある場合の民事上および刑事上の免責（Art. 10-1 I）。

禁止される報復措置（Art. 10-1 II）：停職、解雇、降格、職務の変更、差別、ハラスメント、ブラックリストへの掲載など。

立証責任の転換（Art. 10-1 III）：雇用主は、その判断が正当であったことを立証しなければなりません。

これらの保護に違反して行われた行為は、すべて自動的に無効となります。

よくある誤り

誤り	リスク	是正方法
2022年以降、制度が更新されていない	ワセルマン法への不適合	全面的な改訂
まず内部通報窓口の利用を義務付けている	通報先を自由に選ぶ権利に反する	この要件を削除
受領の自動確認がない	7日間の期限に不適合	送信を自動化
守秘性が技術的に保証されていない	情報漏えいのリスク	暗号化、分離
指名された担当者が経営幹部の一員である	利益相反の可能性	独立した担当者を任命
外部通報窓口に関する情報がない	法的義務	情報を補完
データの保存期間に制限がない	GDPRへの不適合	CNILの保存期間を適用
口頭での通報手段がない	Decree 2022-1284の要件	口頭での通報手段を設ける

罰則とリスク

違反行為	罰則	法的根拠
通報の妨害	懲役1年＋罰金€15,000	Art. 13 Sapin II Law
報復	懲役3年＋罰金€45,000	Art. 225-1 and 225-2 Criminal Code
内部通報者の身元の開示	懲役2年＋罰金€30,000	Art. 9 Sapin II Law
悪意ある通報	懲役5年＋罰金€45,000	Art. 226-10 Criminal Code

参照法令

法令	日付	ファイル
EU Directive 2019/1937	10/23/2019	assets/Directive_2019_1937.pdf
Law No. 2016-1691 (Sapin II)	12/09/2016	assets/Loi_Sapin_II_consolidee.pdf
Law No. 2022-401 (Waserman)	03/21/2022	assets/Loi_Waserman_2022.pdf
Decree No. 2022-1284	10/03/2022	assets/Decret_2022_1284.pdf
CNIL Framework	07/24/2023	assets/Referentiel_CNIL_alertes_professionnelles.pdf
Public Sector Circular	06/26/2024	assets/Circulaire_26_juin_2024.pdf
DREETS Summary	02/17/2025	assets/DREETS_synthese_2025.pdf
Law No. 2017-399 (Vigilance)	03/27/2017	assets/L225-102-1.pdf and assets/L225-102-2.pdf
EU Directive 2024/1760 (CS3D)	06/13/2024	assets/Directive_CS3D_2024_1760.pdf

方針の作成（モードB）

提供テンプレート

テンプレート	形式	用途
Template_Politique_Lanceur_Alerte.docx	Word	内部通報方針のテンプレート

IMPORTANT：テンプレートは提供されたとおりにそのまま使用してください。変更できるのは、クライアントの状況に合わせた可変要素のみです。テンプレートの条項を言い換えたり、削除したり、並べ替えたりしないでください。

起草ワークフロー

STEP 1 — クライアント情報を収集する

• 法的形態と従業員数
• 選択したチャネル（書面、口頭、または両方）
• 指定担当者の氏名
• 報告チャネルの連絡先情報
• 対象となる人の範囲
• 他の制度との連携（注意義務）

STEP 2 — テンプレートを調整する

• Template_Politique_Lanceur_Alerte.docx を開く
• 変動する項目のみを記入する
• 既存の条項を書き換えない
• セクションを削除しない
• 外部チャネルに関する必須条項を追加する

ポリシーに挿入する文例：

Independently of this system, any person may submit an external report
directly to the Defender of Rights, the judicial authority, or the
competent authority according to the relevant domain. The list of
external authorities is set by the annex to Decree No. 2022-1284 of
October 3, 2022, available at:
https://www.legifrance.gouv.fr/loda/id/JORFTEXT000046357368

STEP 3 — コンプライアンスを確認する → DECRET_PROCEDURE.md と TEXTES_LEGAUX.md を使用して必須項目を確認します → RGPD_CNIL.md を使用して GDPR への準拠を確認します

STEP 4 — 外部チャネルに関する情報を追加する （法的義務 — 2022-1284 号政令第 8 条第 3 項）

最終化

STEP 5 — 検証

• 経営陣に確認してもらう
• 該当する場合は従業員代表委員会に相談する（従業員数 50 人以上）
• 注意義務がある場合：代表労働組合と協議する

STEP 6 — 周知

• 周知チャネルを選択する（セクション 6 — フェーズ 6 を参照）
• 常時アクセスできる状態を確保する
• 指定担当者をトレーニングする