内部統制の6つの基本的要素
- 4月3日
- 読了時間: 9分
はじめに
前回の記事では、内部統制の4つの目的である「業務の有効性及び効率性」「報告の信頼性」「事業活動に関わる法令等の遵守」「資産の保全」について解説しました。
内部統制は、これら4つの目的を達成するための仕組みです。ただし、内部統制は、単に承認手続やチェックリストを整備すればよいというものではありません。
内部統制が有効に機能するためには、会社全体の風土や経営者の姿勢、リスクを把握する仕組み、具体的な統制活動、情報伝達、モニタリング、ITへの対応が一体となって機能する必要があります。
内部統制は、次の6つの基本的要素から構成されます。
統制環境
リスクの評価と対応
統制活動
情報と伝達
モニタリング
ITへの対応
本記事では、この6つの基本的要素について、上場会社の実務担当者向けにわかりやすく整理します。
1. 統制環境
1つ目は、統制環境です。
統制環境とは、組織の気風を決定し、組織内のすべての者の内部統制に対する意識に影響を与える基盤です。
具体的には、次のような事項が関係します。
誠実性及び倫理観
経営者の意向及び姿勢
経営方針及び経営戦略
取締役会及び監査役等の機能
組織構造及び慣行
権限及び職責
人的資源に対する方針と管理
内部統制というと、現場で行う承認や照合などのチェックに目が向きがちです。しかし、それらの統制活動が有効に機能するかどうかは、会社全体の姿勢に大きく左右されます。
たとえば、経営者が短期的な業績達成を過度に重視し、コンプライアンスや財務報告の信頼性を軽視する姿勢を示している場合、現場の統制活動は形式的なものになりやすくなります。
一方で、経営者が誠実性や倫理観を重視し、取締役会や監査役等が適切に監督し、権限と責任が明確に定められている会社では、内部統制は実効性を持ちやすくなります。
統制環境は、内部統制全体の土台です。6つの基本的要素の中でも、他の要素に大きな影響を与える重要な要素といえます。
2. リスクの評価と対応
2つ目は、リスクの評価と対応です。
リスクの評価と対応とは、会社の目標達成を阻害する要因をリスクとして識別し、分析・評価し、そのリスクに対して適切な対応を行うプロセスです。
内部統制は、すべてのリスクをゼロにするものではありません。重要なのは、会社にとって重要なリスクを把握し、そのリスクに応じて必要な対応を行うことです。
たとえば、上場会社では次のようなリスクが考えられます。
売上の架空計上や期間帰属誤り
仕入・外注費の計上漏れ
在庫評価の誤り
固定資産の減損判断の誤り
引当金や税効果会計など見積り項目の誤り
子会社や海外拠点の管理不足
システム変更に伴うデータ処理誤り
法令違反やコンプライアンス違反
リスクを評価する際には、発生可能性や影響度を考慮します。そのうえで、リスクを回避するのか、低減するのか、移転するのか、受容するのかを検討します。
たとえば、売上の架空計上リスクがある場合には、契約書、出荷記録、検収書、請求書などを照合し、売上計上の妥当性を確認する統制が考えられます。
リスクの評価と対応は、内部統制を形式的なチェックリストにしないために重要です。「何を防ぐための統制なのか」を明確にすることで、実効性のある内部統制につながります。
3. 統制活動
3つ目は、統制活動です。
統制活動とは、経営者の方針や指示が適切に実行されるようにするための方針や手続です。
具体的には、次のような活動が含まれます。
承認
照合
職務分掌
証憑確認
上長レビュー
実地棚卸
アクセス権限管理
例外処理の確認
実務上、内部統制と聞いて最もイメージしやすいのが、この統制活動です。
たとえば、一定金額以上の支出について上長承認を得ること、請求書と発注書・納品書を照合すること、決算仕訳を作成者とは別の責任者がレビューすることなどが該当します。
ただし、統制活動は、単に「承認印を押す」「チェック欄を埋める」という形式的な作業ではありません。
重要なのは、次の点です。
どのリスクに対応するための統制なのか
誰が実施するのか
いつ実施するのか
何を確認するのか
どのような証跡を残すのか
統制活動が形骸化すると、内部統制は有効に機能しません。チェックを行う目的を明確にし、実際にリスクを低減できる手続になっているかを確認することが重要です。
4. 情報と伝達
4つ目は、情報と伝達です。
情報と伝達とは、必要な情報が適時かつ適切に把握され、関係者に正しく伝えられることを確保する仕組みです。
内部統制は、情報が適切に流れなければ機能しません。
たとえば、次のような情報伝達が重要になります。
経営方針や社内規程の周知
会計方針や決算スケジュールの共有
重要な取引や例外処理の報告
内部監査結果の報告
内部統制上の不備の報告
取締役会・監査役等への報告
監査法人との協議・情報共有
内部統制上の問題が現場で発見されても、必要な責任者に伝わらなければ改善につながりません。
また、上場会社では、社内の情報伝達だけでなく、投資者や市場に対する外部報告も重要です。開示情報を適時・適切に作成し、必要な承認やレビューを経て公表する仕組みも、内部統制の一部といえます。
情報と伝達は、統制環境、リスクの評価と対応、統制活動、モニタリングなど、他の基本的要素を結びつける役割を持ちます。
5. モニタリング
5つ目は、モニタリングです。
モニタリングとは、内部統制が有効に機能しているかを継続的に評価するプロセスです。
内部統制は、一度整備すれば終わりではありません。組織変更、新規事業、システム変更、法令改正、担当者の異動などにより、リスクや業務プロセスは変化します。
そのため、内部統制が現在も有効に機能しているかを継続的に確認し、必要に応じて改善することが重要です。
モニタリングには、大きく分けて次の2つがあります。
日常的モニタリング
独立的評価
日常的モニタリングとは、日常業務の中で行われる確認活動です。たとえば、上長による承認、帳票の照合、異常値の確認、業務報告、自己点検などが該当します。
独立的評価とは、通常の業務から独立した立場で行われる評価です。たとえば、内部監査部門による監査、J-SOX評価、監査役等による確認などが考えられます。
モニタリングによって内部統制上の問題が発見された場合には、その内容や重要性に応じて、経営者、取締役会、監査役等へ適切に報告し、改善につなげることが必要です。
6. ITへの対応
6つ目は、ITへの対応です。
現在の企業活動では、ITを利用しない業務はほとんどありません。
上場会社では、会計システム、販売管理システム、購買管理システム、在庫管理システム、ワークフロー、給与システム、連結システム、クラウドサービスなど、さまざまなITが業務や財務報告を支えています。
そのため、ITへの対応は、内部統制を考えるうえで不可欠な要素です。
たとえば、次のような点が重要になります。
システムへのアクセス権限が適切に設定されているか
退職者や異動者の権限が適時に削除・変更されているか
システム変更が承認・テストを経て実施されているか
データが正確かつ網羅的に処理されているか
バックアップや障害対応の体制が整備されているか
外部委託先やクラウドサービスの管理が適切か
ITへの対応には、IT環境への対応と、ITの利用及び統制という視点があります。
また、実務上は、IT全般統制とIT業務処理統制という考え方も重要になります。IT全般統制は、システムが有効に機能する環境を支える統制です。たとえば、システム開発・変更管理、運用管理、アクセス管理、外部委託管理などが含まれます。
IT業務処理統制は、業務プロセスの中でシステムに組み込まれた統制です。たとえば、入力チェック、自動計算、マスタ制御、エラーリストの出力などが該当します。
近年は、クラウドサービス、外部委託、生成AIなどの利用も広がっており、ITへの対応はますます重要になっています。
6つの基本的要素は相互に関連している
内部統制の6つの基本的要素は、それぞれ独立して存在するものではありません。実務上は、互いに関連しながら機能します。
たとえば、経営者が財務報告の信頼性を重視する姿勢を示していることは、統制環境に関係します。その姿勢を踏まえて、会社は売上計上や在庫評価などのリスクを識別します。これはリスクの評価と対応です。
識別されたリスクに対して、承認、照合、レビューなどの統制活動を設計します。その統制活動を実施するためには、必要な情報が関係者に伝達される必要があります。
さらに、統制活動が実際に機能しているかをモニタリングし、システムを利用している場合にはITへの対応も必要になります。
このように、6つの基本的要素は一体として機能することで、内部統制の有効性を支えています。
上場会社の実務で意識したいポイント
上場会社の内部統制実務では、内部統制の6つの基本的要素を、単なる知識として覚えるだけでは十分ではありません。
実務では、次のような視点で確認することが重要です。
経営者や取締役会は内部統制を重視しているか
重要なリスクが適切に識別されているか
リスクに対応する統制活動が設計されているか
必要な情報が関係者に伝達されているか
統制が継続的に評価・改善されているか
ITシステムやクラウドサービスの利用に対応できているか
特に、内部統制が形だけのものになっている場合、承認やチェックは行われていても、実際にはリスクを低減できていないことがあります。
内部統制を有効に機能させるためには、6つの基本的要素を会社の実情に合わせて整備し、継続的に見直していくことが必要です。
まとめ
内部統制は、次の6つの基本的要素から構成されます。
統制環境
リスクの評価と対応
統制活動
情報と伝達
モニタリング
ITへの対応
統制環境は、内部統制全体の土台です。リスクの評価と対応は、会社にとって重要なリスクを把握し、適切に対応するプロセスです。統制活動は、リスクに対応する具体的な手続です。情報と伝達は、必要な情報を適切な相手に伝える仕組みです。モニタリングは、内部統制が有効に機能しているかを継続的に評価する活動です。ITへの対応は、ITを利用する現代の企業活動において不可欠な要素です。
上場会社の内部統制担当者にとって重要なのは、6つの要素を個別に理解するだけでなく、それらが相互に関連しながら会社全体の内部統制を支えていることを理解することです。
次回は、日本における内部統制制度がどのように始まり、会社法、J-SOX、内部統制報告制度がどのように発展してきたのかを解説します。
コメント