" 発生事実（不祥事／不正行為） " が発生しない上場会社の内部監査 Part. 13 - フォローアップ -

　上場会社での発生事実（不祥事／不正行為）が跡を絶たない昨今、内部監査はその責務を果たすため、どのようにしたら良いでしょうか。
　直近事例を内部監査の目線でみていきます。 

　今回ご紹介する直近事例は、１年以上前に発生した不祥事（不適切な会計処理）が原因で東京証券取引所から特別注意銘柄の指定を受けそのまま継続中である事例を取り上げます。この事例から、内部監査が行うフォローアップ監査（以下「フォローアップ」といいます）について考えてみたいと思います。
　今回の直近事例のポイントは、次のとおりです。

• 不祥事の根本原因であるリスクを把握しているか。

• そのリスクは部分的ではなく全社的なものかどうかを確認しているか。

• フォローアップまでの手順・スケジュールを全社・内部監査が把握しているか。

　これらを内部監査の目線でみてみましょう。

直近事例から - 概要説明 -

【事案の概要】

　当該会社は2023年に東京証券取引所から特別注意銘柄に指定されているが、2024年05月にその指定を継続する旨の通知があった。
　指定の継続理由は次のとおり。

　　・稟議機能の運用の不徹底が認められること
　　・改善計画に基づく対応に不備が認められること
　　・各種規程の改定の運用状況を十分に確認するための期間が確保されていないこと
　　・別の不祥事に関する再発防止策が完了していないこと

　当該会社は今後の対応策として、現在取り組んでいる改善計画・再発防止策の実施スケジュール等を改めて見直し、速やかに今後の具体的な対応策を策定し、内容が確定次第開示するとしている。

（出典：TDNETに掲載の某社リリースより要約）

　この事案の概要で、内部監査の皆さんはお気付きかと思います。それは、概要にある「指定の継続理由」の４点について、内部監査でフォローアップを行なっていると思われるが・・・ということです。内部監査が行うフォローアップでわざわざ不徹底や不備であることを監査の結論として出すことは考えにくいのですが、東証が不徹底や不備があることで特別注意銘柄を継続するには何かしらの理由があるものと推察します。

　それでは、内部監査がフォローアップを行う際に何に気をつけたら良いでしょうか。今回はポイントを３点挙げてみます。

【ポイント１】根本原因を特定して把握する

　内部監査が業務監査で不備・不適合・指摘すべき点を検出したとき、代表取締役社長の名義で改善指示書を作成して被監査部門に交付してその改善を求めることとなります。その改善指示の理由ですが、どのような理由を記載しますか？例えば、特定の業務が業務マニュアルに沿っていない、会社の規程・法令に違反しているなどの理由を挙げていると思います。それでは今回の「稟議機能の運用の不徹底」の場合は、いかがでしょうか。内部監査の皆さんは、おそらくこの運用の不徹底の状況や不徹底の原因をあらかじめ把握したうえでなければ業務改善の理由を記述することが難しいのではないでしょうか。今回の直近事例でご紹介した当該会社のリリースを拝見しましたが、以下の点については明確にはわかりませんでした。

• なぜ「運用の不徹底」なのか。

• 何を根拠に「運用の不徹底」と判断するのか。

• そもそもその運用は何を目的に遂行するものと決めて遂行しているものなのか。

　今回のような稟議機能の運用にフォーカスする場合でも、例えば①何の決裁を仰ぐための稟議なのか？（与信・反社チェック、取引開始、契約締結など）、②決裁権限基準は決裁者の権限に応じた基準なのか？（過大な／過小な権限を決裁者に付与していないか）などその会社の稟議制度・機能の目的を把握したうえで、なぜその稟議機能が不徹底なのか、何が稟議機能を不徹底にさせているのかという「根本原因」を内部監査があらかじめ特定しているのかどうかが重要なポイントになると思います。当該会社のリリースには「決裁権限基準に沿わない承認者による稟議承認や、起案者と承認者が同一の稟議が複数存在するなど、稟議機能の運用の不徹底が認められること」の記述がありますが、この場合ですと、単に決裁権限基準どおりの運用を徹底させたら良いというような単純な改善では済まない可能性があります。このような場合の根本原因は、ルールが定着しない社風と考えられます。稟議制度の再構築より、まずはルールを定着させることができる社風作りから取り掛からなければならないかもしれません。

　不備・不適合・指摘事項の根本原因を特定し、把握することがフォローアップの第一歩です。不備・不適合・指摘事項にあたる事象がなぜ発生したかではなく、不備・不適合・指摘事項に当たる事象がなぜ発生しうる状況（ルール、業務環境、社風等）にあるのかを考えるところから始めることをお勧めします。

【ポイント２】不祥事の範囲を測定する

　今回の直近事例にある不祥事は、当初はごく一部の不祥事の検出から始まりました。ところがその不祥事に関する調査を進めていくうちに別の不祥事を検出し、さらに内部管理体制自体も十分に機能していないことが判明したという経緯になっています。こうしてみると、まずは何から手をつけていくのかわからなくなってしまいそうです。
　今回のケースでは、当該会社の内部管理体制・業務管理（統制）体制が原因と見受けられますが、そもそも内部管理体制や業務管理体制は経営方針や社風等その会社の根幹となる方向性や意志が大きく影響しているものですので、先にご紹介した【ポイント１】を踏まえると根本原因は経営方針や社風ではないかと想像します。もしこの想像から、その会社の不祥事の範囲を測ってみると全社がその範囲に入ることと考えられます。つまり、今回の直近事例では一部と思われていた不祥事が芋づる式に他の不祥事を引き出している状況は、全社的に行われているものと想像できるというものです。ただし、不祥事が発生した会社すべてが全社的に問題のあるわけではありませんので、誤解無きようにお願いします。

　不祥事の範囲を測定するのは、かなり難しいですし時間もかかります。これを内部監査の皆さんだけで行うのは大変なことですので、例えば会社のリスク・コンプライアンス管理部門又は委員会と連携して行う方法もあります。この不祥事について、あらかじめその会社のリスク・コンプライアンス管理部門・委員会が不祥事発生のリスクの一つとして洗い出していることも考えられますし、そのリスクの洗い出しで漏れていたとしても今後のリスク対応の一つとして対応しなければなりませんので、そのためにも内部監査とリスク・コンプライアンス管理部門・委員会が連携して不祥事の範囲を測定することをお勧めします。この連携は、会社のリスクに対応する・監査するというそれぞれの立場の認識合わせの意味でも効果的です。

【ポイント３】フォローアップの手順とスケジュール

　フォローアップの手順とスケジュールはとても重要です。その手順とスケジュールの組み方は別の機会にご紹介するとして、今回は手順とスケジュールを社内のどの程度の範囲に周知するのかをご紹介します。
　結論としては、今回のような公になってしまっている不祥事のケースでは、フォローアップの手順とスケジュールはできる限り全社（役職者、従業員全員）に周知することをお勧めします。ただし、あくまで不祥事発生に対する原因究明と全社的に再発防止を促進するためですので、会社の説明責任とか情報公開等の意味ではないことをご理解ください。

　内部監査が行うフォローアップの最大目的は、再発防止です。今回の直近事例のような大きな出来事となれば、不祥事の状況や原因究明は調査委員会の範囲となります。その範囲は調査委員会にお任せするとして、内部監査が行うことは、再発防止に向けた施策の内容や再発防止の内部管理体制の構築状況及び進捗状況、再発防止に向けた全社的な理解の浸透状況などを調査すること専念することをお勧めします。そしてこのフォローアップの手順とスケジュールを検討して作成した後に、全社に周知してフォローアップを行います。このように行うことで、不祥事が発生した部門・業務の改善促進と同時に、その不祥事に関係の無い部門・業務においても不祥事の未然防止の意識が生まれます。
　また、この不祥事の再発防止・未然防止の意識は、次第に薄れてしまいがちです。そのため、フォローアップは定期的に数年間行うことをお勧めします。