内部統制ブーム　（RSAカンファレンス、2007年）

　2006年6月に成立した金融商品取引法（日本版SOX法）と2006年5月から施行に入った会社法によって、一種の内部統制ブームが起きている。ただし、これら2つの法律は対象と目標が異なっている。金融商品取引法の対象は上場企業であり、目標は財務報告の信頼性向上に置かれている。一方の会社法は大会社（資本金５億円以上又は負債総額200億円以上の株式会社）を対象としており、コンプライアンスを中心に、業務の有効性・効率性の向上、財務報告の信頼性向上を目的としている。

　また、会社法が、内部統制システム（取締役の職務執行が法令・定款に適合すること等，会社の業務の適正を確保するための体制）の構築の基本方針の決定を取締役会（あるいは取締役）に義務付けているのに対して、金融商品取引法は、経営者に内部統制の評価と監査およびその報告を求めているという違いもある。

　特に、上場企業にとって大きな悩みの種になっているのが、2008年4月以降に始まる事業年度から適用される金融商品取引法への対応である。世間では、内部統制の有効性を裏付けるためには、「3点セット」と呼ばれる業務記述書、業務フローチャート、リスク・コントロール・マトリクスの作成が必要だと言われており、こうした文書化作業が多くの上場企業にとって大きな負担になっている。

　法律上は、金融商品取引法の第24条の4の4に、上場企業の経営者は、「事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（以下「内部統制報告書」という。）を有価証券報告書と併せて内閣総理大臣に提出しなければならない。」（一部省略）と定められている。そして、この経営者による内部統制の評価・報告義務についての詳細は、2月15日に開催された企業会計審議会でようやく正式決定した実施基準（正式名称は「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の設定について」）に定められているのだが、不思議なことに、この実施基準の中には「文書化」という言葉はまったくない。また、報道によれば、この実施基準をまとめた内部統制部会の八田部会長は、「画一的な」文書化を求めているわけではなく、企業内に既にある文書や内部統制を棚卸ししてもらいたいと強調している。

　法律が求めていることは、まず、経営者に内部統制を整備・運用する役割と責任があることを内部統制報告書に明記することである。そして、財務報告に係る内部統制については、その有効性を経営者自らが評価し、その結果を外部に向け報告することである。評価の範囲は、財務諸表、財務報告の基礎となる取引、事業・業務、主要な業務プロセスであるが、米SOX法における批判（法令遵守のために膨大な費用が発生したことに対する批判）を踏まえ、評価の範囲は、財務報告の信頼性に及ぼす影響の重要性を考慮して合理的に決定してよいことになっている（ただし、経営者は、範囲の決定方法と根拠を示す必要がある）。手順としては、まず「全社的な内部統制」について評価を行い、その結果を踏まえて財務報告に係る重大な虚偽の表示につながるリスクに着眼して「業務プロセスにかかる内部統制」の評価を行うことになる。

　文書化は、こうした内部統制評価の一つの手段なのだから、それぞれの経営者が必要に応じてドキュメントを整えればよく、何も画一的なフォーマットで文書化を進める必要はない。もし、内部統制を評価するに十分なドキュメントがあるなら、あらためて文書化を行う必要はないだろう。しかし、多くの企業は「３点セット」を整えようとしている。

　上場企業が「３点セット」を整えようとする理由は、どこにあるのだろうか。おそらく一つの理由は、コンサルタントの指導にあると思われる。ただ、そのコンサルタントとて日本の金融商品取引法による内部統制の評価や監査に詳しいわけではない。なぜなら、この制度はこれから始まるものであって、まだ誰も経験者はいないからである。内部統制の評価に詳しいとすれば、それは米国のSOX法が要求するものだと想像される。米国では文書化の負担が大きかったと言われており、その反省に立って日本の制度が作られたのだが、米国のSOX法に詳しいコンサルタントがその配慮を台無しにしているのである。

　もう一つの理由は、経営者自身の考え方にある。他の企業と同じようにしておけば安心だという経営者の横並び意識が、画一的な文書化をすすめる原動力になっているのではないだろうか。そして、この原因の方が根深い問題である。

　文書化をすれば大丈夫というような認識では、企業の内部統制はすぐに形骸化するだろう。もちろん、何もしないよりは良いのだが、必要としたコストの大半は無駄遣いになってしまうに違いない。文書化は内部統制システムの構築と同等ではない。文書化は内部統制システム構築のための一つの手段にすぎないし、対象となっているのは個々の業務プロセスであり、内部統制の要素で言えば統制環境の整備やモニタリングはカバーしていない。しかし、多くの企業では文書化が内部統制システムの構築作業と同等のように扱われており、文書化自体が目的となってしまう可能性が高い。さらに、そうした企業では、内部統制システム構築のためのプロジェクトチームは、作業が終了すると解散してしまい、内部統制システムの構築が一過性の作業になってしまうという懸念がある。

　こうした内部統制の形骸化を防ぐ手段として最も重要なのが、経営者の自覚である。そもそも内部統制の目的は、財務報告の信頼性を確保することだけにあるのではない。業務効率の向上やコンプライアンスも内部統制の重要な目的である。同業他社と横並びでよいのだと考えず、自社にあった内部統制のあり方を考え、その実現を経営者がコミットすることが必要である。そして、従業員への普及啓発活動や不正を起こさない社風の育壌をすすめると同時に、内部統制システムの継続的維持改善を担当する部門を定め、PDCAサイクルのための仕組みを整えることが重要なのではないだろうか。