内部統制（J-SOX）は、どこまで作れば足りるのか

財務報告に係る内部統制は、会社が自ら構築し、自ら評価し、その結果を監査人に監査してもらう制度です。作るのも評価するのも会社の側であり、監査人は出来上がったものを外から検証する。二重責任の原則と呼ばれる建て付けです。

この建て付けゆえに、どこまでやれば足りるのかを決めるのは、会社自身ということになります。そして、これが実務で最も難しい判断です。

統制を増やせば、そのぶん評価の手数が増えます。証跡を集め、サンプルを抽出し、調書を作る作業が積み上がっていく。上限は示されていませんから、真面目に考える会社ほど際限がなくなります。担当者が潰れる現場を、私は何度も見てきました。この仕事は、外から思われているより難易度が高い。

真面目な会社が陥る場所

典型的なのは、車輪の再発明です。

対応すべきリスクを認識し、それを潰すための統制を、社内で一から考える。時間をかけ、部門間で調整し、ようやく形にする。ところが監査人に示すと、これではリスクを打ち取れていないと指摘される。Big4の熟練した会計士から見れば、詰めが甘いということです。そして別の統制を提案される。

ここで会社側に生まれるのは、否定されたという感情です。社内で真剣に検討したものを、外から一言で覆された。そう受け取られてしまう。

さらに厄介なのが、過年度の自分を否定できないという問題です。その統制を何年も運用してきた場合、変えることは、これまでのやり方が不十分だったと認めることになります。当時の判断をした担当者が今もいれば、なおさらです。結果として、変えた方がよいと分かっていても動けない。そういうクリンチの状態に入り込んでいる会社を、いくつも見てきました。

この局面については、率直に申し上げて、早い段階で監査人に聞いてしまうべきです。自分たちで練り上げてから否定される方が、ダメージが大きい。

ただし、丸腰で聞いてはいけない

とはいえ、無防備に「どこまでやればいいですか」と尋ねるのは、最悪の聞き方です。ほぼ確実に、幅広くやってくださいという答えが返ってきます。

たとえば、サイバーセキュリティ対応として脆弱性診断をどこまで実施するか、という論点があります。近年のIT統制で頻繁に議論になる領域です。ここで会社側が、自社のシステム構成も、扱っている情報の重要性も、想定される脅威も整理しないまま質問したとします。監査人の立場で考えてみてください。判断材料がないのですから、安全側に倒すほかありません。広く、深く、やってくださいとしか言いようがない。

監査人が過大な要求をしているのではありません。会社がリスクを語れないから、監査人が代わりに最大限を想定するしかなくなる。鉄槌が下されたように見える場面の多くは、この構造で起きています。

だから、リスク評価までは、何としても会社側でやり切る必要があります。どの業務のどこに、どういう誤りや不正が起こりうるのか。それが財務報告にどう響くのか。ここを言葉にできていれば、議論の土俵が変わります。

素案を持って、相談する

お勧めしているのは、次の順序です。基準を理解したうえで、自社のリスクを評価し、会社としての素案を持つ。そのうえで監査人と協議し、落としどころを探る。

二重責任の原則があるため、監査人に統制を設計してもらうことはできません。それはコンサルティングであり、自らが作ったものを自ら監査することになってしまう。この線は守られなければなりません。

一方で、監査には指導的機能があるとされてきました。これは監査の世界で正式に語られてきた概念です。指導的機能の範囲でご意見を伺いたい、と申し出ることは、何もおかしなことではありません。監査人の側も、その言い方をされて悪い気はしないはずです。この言葉を知っているかどうかで、協議の入り方がずいぶん変わります。

素案があれば、監査人は「この点は足りていない」「ここは代替手続で説明できる」と、具体的に応じることができます。判断の主体は会社のまま、監査人の知見だけを取り込める。これが、二重責任を崩さずに済む唯一の道筋だと考えています。

監査人の提案には、意味がある

もうひとつ、理解しておくとよいことがあります。監査人が推してくる統制には、一定の合理性があるという点です。

監査人にとって、自分が監査した領域から財務報告の失敗が出ることは、職業人として最も避けたい事態です。これは規則で縛られているというより、職人としての矜持に近い。だから彼らは、形式的に要件を満たすだけの統制では納得しません。本当にリスクを打ち取れるかどうかを見ています。

その背景には、事務所ごとに積み上げられた内部の基準があります。実感として、日本の基準が求める水準より、いくらか厳しい。多くの会社を見てきた経験から言えば、そこに照らして見てもらえること自体が、大手監査法人に相応の報酬を払う意味のひとつだと思います。

提案を受けたときに、否定されたと受け取るか、自社では持ち得なかった相場観を得たと受け取るか。実務の負荷は、この受け取り方で大きく変わります。

線は、自分で引く

結論として、どこまでやるかを決めるのは会社です。制度がそうなっている以上、この責任を他人に渡すことはできません。

ただし、一人で引く必要はない。基準を読み、自社のリスクを評価し、素案を持ち、監査人の指導的機能を使って検証する。その順序を守れば、際限なく広げることも、必要な統制を落とすことも避けられます。