法規制とIT

2020年8月4日 14:09

法規制とIT

　これから法規制の対応というテーマで話しを進めていきたいと思います。経営層がＩＴに対して知識や興味がなかったとしても、経営のリスクという点においては必ず興味をもっているはずです。だから経営者にＩＴに関係するリスクをわかりやすく説明し、理解してもらうことが肝要です。

　ただし、“当社では情報漏えいの危険性があるので、新しいルータを購入し、ネットワークセキュリティを強化しなければなりません。”

などと言ってはだめです。経営者の気持ちが動くのはＩＴ技術の側面ではなく、あくまで経営リスクです。ルータの話しではなく、法的な側面での未整備事項やリスクを（できれば他社の整備状況と比較して）説明して、リスクを回避する方策と同時にＩＴ化の促進を実行するといいでしょう。

ではどのように経営層にＩＴに関連する経営リスクを説明するか

　そのキーワードが内部統制です。

　ＪＳＯＸ法は上場企業を対象とした内部統制に関する法律で、３月期決算の企業はまさに４月から対象企業として法律が施行されます。このコラムでは法律の詳細に触れるのは主旨ではありませんが、全く知らないと話しが進みませんので内部統制について簡単に触れます。

内部統制とは

　“企業の財務報告の信頼性を確保し、事業経営の有効性と効率性を高め、かつ事業経営に関わる法規の遵守を促すことを目的として企業内部に設けられ、運用される仕組み”のことです。米国ＳＯＸ法は、

①統制環境
②リスク評価
③統制活動
④情報と伝達
⑤監視活動

の５つの構成要素から成り立っています。日本版ＳＯＸ法では上記に加え、ＩＴ統制というものが付加されています。上場企業における会計・販売・物流等の業務はシステム化されているため、そのデータの整合性や信頼性を担保するにはＩＴ統制は不可欠なものと日本では考えました。

　企業がＪＳＯＸ法に対応するために具体的に準備を進めているのがいわゆる内部統制３点セットの整備です。３点セットとは、

①業務フロー
②業務記述書
③リスクコントロールマトリックス

の３つを指し、最低限必要なドキュメントです。以上が内部統制・ＪＳＯＸの概要になります。

施行を目前に控えた、今の一番の問題は何でしょうか

　それは経営者の中には３点セットさえ揃えておけばいいと思っている方も少なくなく、特にＩＴ統制に関しては程度の差はあれ整備が遅れている企業が多いということです。そして一番のリスクは上記のことをリスクと思っていない意識にあります。３点セットのようにドキュメントの整備は必要ですし、ＩＴに対する規程を整備することも重要です。

　ただし内部統制の最大のポイントはドキュメントに書かれたとおりの業務になっているか、規定どおりＩＴが整備されているかどうかです。内部統制監査ではドキュメントの存在の有無は当然確認しますが、何よりも書類に書かれていることが実際に業務として実行されているか、リスクをコントロールしているかが見られます。

　一部の上場企業で見られたような公認会計士との癒着構造の中で粉飾決算を見逃してきた時代ではなく、ある意味、監査人も世間から監査されるわけですから内部統制監査については慎重に作業を進める先生も多いと思います。

　上場企業において監査人のサインが入らなかった場合どうなるか、皆さんはご存知のとおりですね。最悪のケースでは上場が廃止され、市場から資金が調達できなくなるということです。

個人情報保護法と内部統制

　まだドキュメントだけ揃えて、ＩＴや業務が未整備の企業の担当者各位は勇気を持って現状を経営層に報告し、リスクを十分に説明してＪＳＯＸに対応していただきたいと思います。

　特にＩＴ関連の整備について今一度状況の点検をおすすめいたします。本コラムでは触れませんでしたが個人情報保護法についても内部統制と同じです。個人情報のほとんどはＩＴを使って管理しているものだと思いますが、その取扱いが不適切な場合は当局から指導を受け、従わない場合は６ヶ月以下の懲役又は３０万円以下の罰金が課せられます。

　もし個人情報が漏えいしたら、社会的信頼が失墜するばかりでなく、流出した情報の質と量によっては数百億円の損害を被るリスクがあることを経営者に正確に理解をさせることが重要です。そして経営者の理解をリスクという視点で深めることに成功したら、今までとりきれなかったＩＴ経営の一環としてＪＳＯＸ法におけるＩＴ統制を実行するといいでしょう。

　ここまで読んでいただいた読者の中には、当社は上場企業でないから関係ないな、と思われている方もいるかも知れません。それは違います。ＪＳＯＸ法はたしかに上場企業に義務付けられた法律ですが、内部統制はどんな企業でやらなければならないＣＳＲつまり企業の社会的責任なのです。そのことも経営層の方にしっかりと認識をしたいただくことが必要です。