内部統制の道のり

当社では、内部統制システムの構築に向けて2年ほど前に準備を開始し、この1年の間に構築から運用の段階へと移行しつつあります。

経営監査室は、内部統制システムの整備状況および運用状況を評価するという役割を担当していますが、整備の進捗を追うという形で、構築段階から内部監査を行なっています。その中で見てきたこと、感じたことについて、話してみたいと思います。

初めて企業会計審議会の実施基準^注1の公開草案を読んだとき、枠組みとしては、リスク評価からコントロールを策定するところなど、当社ですでに取得しているISO14001やISO27001のマネジメントシステム規格に似ていると感じました。8年前のISO9001取得を皮切りに、7つのマネジメントシステムを構築・運用してきた当社にあっては、内部統制システムの構築もそう難しいものではないのかなというのが最初の印象でした。

しかし、結果として構築にはかなりの時間がかかりました。一番の理由としては、テーマのなじみにくさが挙げられると思います。例えば、ISO9001なら品質、ISO14001は環境、ISO27001は情報セキュリティというように、これらはテーマの定義・重要性がスタッフ全員にとって明解です。一方、内部統制については、そもそも言葉のイメージが漠然としており、会社法と金融商品取引法とでニュアンスが違ったり、実施基準の定義も1つでなく4つの目的^注2の達成だったりと混乱する要因がいくつもあります。

また、現場においては、内部統制の4つの目的の中でも、法令等の遵守や業務の有効性・効率性などは比較的受け入れやすいのですが、中核となるべき“財務報告の信頼性”になかなか焦点が合いません。“信頼性のある財務報告の作成”は経理部署が気をつければすむ話なのではないか、経理以外の部署に何の関係があるのかという先入観があり、フローやシステムの変更は何のためなのか、当初はなかなか理解が得られませんでした。納得しようがしまいが、決まりは決まりというのは、当社の社風に合いません。

財務報告の信頼性について、どのようなリスクがあり、どのような統制が必要かということは、いうまでもなく監査人の専門とするところであり、どんなに自力で知識を得たところで、生の事例を数多く見てきている彼ら、彼女らの経験にはおよびません。また、上場している場合、監査人が最終的に内部統制についてOKを出す立場にあるとなれば、構築にあたって、監査人主導となるのはある意味、効率的であるともいえます。しかしながらそうすると、こちら側の知識・経験が少ない分、受け身になりがちで、自分たちが主体的に内部統制を構築・運用しているという意識からは程遠い感じになってしまいます。また、方法論に終始し、何のためにやっているのか本質を見失ってしまう危険性や、事業の特性や企業文化などが反映しにくいという問題点もあります。

また、内部統制については、今年に入って金融庁からいわゆる11の誤解^注3や追加Q&A^注4が発表されるなど、世の中的にもまだ基準の置き方について揺れ動いているといった印象です。昨日までやらなければならないと言われていたものが、今日はやらなくてよくなったというような極端なこともあります。このことは、現場の混乱を招く原因となっています。

こうしたいくつもの困難を抱え、行きつ戻りつしながら、少しずつ内部統制の構築を進めてきたわけですが、“財務報告の信頼性”の重要性や、それにひもづくフローへの理解が進むにつれ、フローは担当者自身のものになり、あたりまえのことになってきています。そこは、7つのマネジメントシステムの運用により、プロセス遵守に慣れている当社の強みだといえます。

マネジメントシステム経験のもうひとつの功績としては、継続的改善という考え方が当社に根付いていることです。実施基準の中に「内部統制は一旦構築されればそれで完成するというものではなく、変化する組織それ自体及び組織を取り巻く環境に対応して運用されていく中で、常に変動し、見直される。」とあります。このことは、形がい化を防ぎ、生きた内部統制を維持するために、とても重要なことではないかと思います。

4つの目的が相互に関連を有した内部統制とは、結果的に会社がつぶれないための仕組みだと考えます。その仕組みを定期的に見直しながら、少しずつ、より良いものへと継続的に改善していくことは、会社にとって非常に有益なことではないかと思います。