コンプライアンスの“かたちと心”
第4回 「コンプライアンスと内部統制」

平成18年5月1日に新商法が施行された。その中で、コンプライアンスとの関係で注目すべき重要な内容の一つとして、内部統制システム（商法362条、商法施行規則100条）があげられる。これは商法上の大会社を基本としているが、中小企業であっても等閑視できない問題だ。なぜなら、中小企業の経営のあり方の今後の方向性を明確に示唆するからだ。

今、書店の店頭を見ると、内部統制に関する本が所狭しと並べられ、またよく売れているという。これは数年前には見られなかった現象である。

そこで、本稿では前3回と違って、コンプライアンスを内部統制という角度から考えてみたいと思う。

内部統制システムというのは、一般に企業などの内部において、違法行為や不正、ミスなどが行われることなく、組織が健全かつ有効・効率的に運営されるよう各業務で所定の基準や手続きを定め、それに基づいて管理・監視・保証を行うための一連の仕組みをいう。

従来の内部統制というのは、主として財務会計の視点から財務報告の適正性確保を目的とする活動としてとらえられていたが、近年は会計統制以外に、コンプライアンスや経営方針・業務ルールの遵守、経営および業務の有効性・効率性の向上、リスクマネジメントなどより広い範囲が対象となり、コーポレート・ガバナンスのための機能・役割という側面も急速にクローズアップされてきている。

そのきっかけとなったのが、米国トレッドウェイ委員会組織委員会（The Committee of Sponsoring Organizations of the Treadway Commission 、通称COSO）が公表した報告書「Internal Control - Integrated Framework（内部統制－統合的枠組み：いわゆるCOSOレポート）」で、この中で新しい内部統制のための統合的枠組み（いわゆるCOSOフレームワーク）が提唱された。

では、このCOSOレポートがどのような内容なのか？ 早速その概略を見てみよう。

内部統制はそもそも企業がなにか活動を営んでいくうえで設けられるものであるから、それぞれの内部統制の要素にはある種の目的を達成することが求められている。

内部統制は企業目的を達成するために欠かせない一連のプロセスであり、また仕組みであり、それがゆえに、経営者には内部統制を構築するとともにその有効性と効率性を維持する責任があるという。

COSOレポートでは統制目的として、次の3つを掲げる。

1. 事業経営の有効性・効率性を高め、
2. 企業の財務報告の信頼性を確保し、
3. 事業経営に関わる法規の遵守を促す。

そしてCOSOレポートは、この内部統制を構成する要素として「統制環境」「リスクの評価」「統制活動」「情報と伝達（コミュニケーション）」「モニタリング（監視活動）」の5つを設け、内部統制を評価する際の基準としている。

筆者自身はこのCOSOの5つの構成要素を、マネジメントサイクルである『P-D-C-A』に近い形で使っている。そうすると、これらの5つの要素を並列的に考えるよりはイメージしやすくなる利点がある。

それでは、これらがどのような意味なのかポイントを見てみよう。

統制環境

経営者・トップの方々の意識や倫理観から始まって、経営理念や基本的経営方針、取締役会や監査役などの監視機能、組織構造、グループ方針、企業風土や組織文化、慣行・慣習などからなる。
これらはルールを決めても守ろうという意識がなければ無意味になる。そういう意味では、統制環境は内部統制の根底をなす。特に、内部統制の有効性を確保するためには、経営者、トップの経営哲学や倫理観、誠実性といったものが重要となる。

リスク評価

様々な内部統制を設けようとしたときには、何らかの違法行為や不正やミスなどを防ごうという意図があったはずである。このように何らかの間違いが起きるかもしれない、と考えたこと自体が、COSOレポートにいう「リスクの評価」にあたる。それゆえ、明示的にリスクと呼んでいようといまいと、リスク評価の要素が存在する。
その意味でも、企業目的の達成に影響を与えるすべての経営リスクを認識し、その性質を分類し、発生の頻度や影響を評価することにより、そのリスクに対応する方針を決定することが重要となってくる。

統制活動

トップ、経営者や部門責任者などの命令・指示が適切に実行されるための方針・手続をいう。統制活動には、承認、権限付与、査閲、業績評価や職務分掌などの広範な方針・手続が含まれる。
いわば、統制活動は各業務フローの中に埋め込まれた統制といえる。
たとえば、経理・財務部門の担当者が様々な書類を作成し、そして作成者以外の人間がチェックし、最終的に権限のある上席者が承認しているような統制は、財務管理、資金管理等という業務の中に、この統制活動埋め込まれているといえよう。

情報と伝達（コミュニケーション）

上記のこれらの要素を支えるために、企業には様々な「情報と伝達」の仕組みが設けられている。必要な情報が関係する組織や責任者に、適宜、適切に伝えられることを確保する情報・伝達の仕組みが不可欠である。

モニタリング（監視活動）

前期のすべての要素がうまくいっているかどうかを誰かが確認している、というのがモニタリング（監視活動）である。つまりモニタリング（監視活動）とは、内部統制の有効性・効率性を継続的に監視・評価するプロセスであり、その評価にもとづく是正機能も含まれる活動である。

ただ、内部統制を遂行するのは人間であるから、間違いもあれば不正を働こうということもある。

そういう意味でも、内部統制を実施する上で、ITによって構築された情報システムは大きな助けとなる。従来的な内部統制ではある担当者の作業を別の担当者によってチェックするといった「人を通じた相互牽制」が前提となっていたが、ERP、BPMやワークフローなどのビジネスプロセス系のツールを使えば、情報システムへの入力（あるいは情報システムを通じての権限者の承認）なしに業務を進めることができないようにすることができ、さらに業務遂行の記録を残すことにつながることになる。

同時に、このようなITそのものも、システムダウンや不正侵入などのリスクがあり、上記の「業務の有効性・効率性」「財務諸表の信頼性」「関連法規遵守」を確保するためには、内部統制の対象として考える必要がある。これは「IT統制」などとも呼ばれる。

他方、金融庁が主導して、証券取引法の抜本改正となる金融商品取引法（日本版SOX法）が2006年6月に成立し、2009年3月期の決算から、上場企業に内部統制報告書の提出・公認会計士によるチェックが義務付けられるようにもなった。

このような動向を、中小企業は、大企業や上場企業のこととしてなおざりにしておいてよいのだろうか。決して対岸の火事ではない。近い将来、中小企業にも何らかの形で押し寄せてこよう。

だとすれば、その前に先手を打って、内部統制を今から徐々に準備していくことが経営・マネジメントとして重要ではないだろうか。

何事も先手必勝である。内部統制の発想とITを駆使しながら、中小企業においても的確な内部統制システムと、そして素晴しいコンプライアンスを成功させて、企業をより強く大きく成長させて頂きたいと考える次第である。

以上

---

関連記事

• 企業コンプライアンスを支えるSystemwalker V13.1
• 富士通ジャーナル 2006年7月・8月合併号
  Top Story(1) 企業の持続的発展に向けて 企業価値向上のための統合リスクマネジメント

• 第3回 「身近なところから始めよう」
• 第4回 「コンプライアンスと内部統制」

記事についてのご質問・ご意見ご要望など、お気軽にお問い合わせください。