高速船クイーンビートルにおける内部統制、ガバナンスとリスク管理

二週間前に「内部統制、ガバナンスとリスク管理の関係」という記事を書いた。高速船クイーンビートルの事案で確認してみる。リスク管理は、運航の安全を重要と認識し、手厚いリスク対応を組み込むと決めることだ。内部統制は、リスク対応として、運航部門と営業部門の業務を分けて、安全優先と顧客満足優先の責任を分離し、難しい判断のときに経営者が気付くようにすることだ。ガバナンスは、この組織の責任分担を実現することだ。

IT業務処理統制評価の頻度は固定的にしない

J-SOX実施基準の2023年の改定で追加された事項の中で、IT業務処理統制評価の頻度は特定の年数を機械的に適用すべきではないことが明確にされた。以前は「一定の複数会計期間に一度の頻度で」とあったので、固定的に頻度を決めて失敗したケースがあったのかもしれない。前年度の評価結果の継続利用に何らかの懸念があれば、改めて評価をすべきなのだ。特にITがパッケージの場合は、ユーザが意図しないシステム変更があり得るから。

経営者が内部統制を無視する事態を防ぐために

J-SOX実施基準の2023年の改定で追加された事項の中に、経営者が内部統制を無視する事態をいかに防ぐか、という説明がある。具体策の一つが「内部監査人による取締役会及び監査役等への直接的な報告」である。経営者が内部統制を無視した事態に内部監査人が気付くこともあるし、内部監査人が報告した問題が経営者による内部統制無視の影響だと取締役・監査役が気付くこともある。ただし、内部監査人が独立的であることが前提だ。

評価範囲の監査人との協議は説明・説得の場

J-SOX実施基準の2023年の改定で追加された事項の中に、評価範囲を決める際の監査人との協議についての説明がある。「評価範囲の決定は経営者が行う」としたうえで、この協議は「監査人による指摘を含む指導的機能の一環」としている。この「経営者」は現実には内部監査人だが、決めた結果を監査人に示して指摘を待つのではなく、決めた根拠を監査人に説明・説得しなければならない。虚偽記載リスクの在り処は、監査人には分からない。

内部統制、ガバナンスとリスク管理の関係

J-SOＸ実施基準の2023年の改定で追加された事項の中に、内部統制とガバナンス、全組織的リスク管理の一体的整備・運用に関する説明がある。この三つは、同じ活動に見る角度により別の名称がついているようなものだ。経営者が主語のときはガバナンス、従業員が主語のときは内部統制で、いずれもパフォーマンスとコンプライアンスが目的だ。そして、丁寧に扱うところを重要事項に絞り込むリスク管理によりこの活動が実現可能になる。

三点セットを担当各部にチェックしてもらうときの前提

内部統制報告制度の実効性について考えている。三点セットを各部署に点検してもらうと、部署によって固有の修正が生じ、三点セットの種類が増える。そのとき、キーコントロールの手順を共通にしておかないと、運用状況評価の負担が重くなる。さらに、情報システムを共通にしておかないと、IT業務処理統制評価も重くなる。部署固有のアドオンをすると、評価を個別にしなければならなくなるので、よほどの理由がなければ避けるべきだ。

内部統制評価を業務担当部署の自分事にする

内部統制報告制度の実効性について考えている。内部統制評価が形骸化したケースがありそうだ。評価してはいるが、三点セット（業務フロー、業務記述書、RCM）は実態と一致しておらず、不備があっても指摘せず、というような。三点セットの維持管理には各業務の担当部署の協力が不可欠だ。毎年当事者が点検すれば、負担はそれほど大きくない。その部署にとっては、内部統制が自分事になる。不備は指摘して、期末までに改善すればよい。

「連結売上高の2/3」などを機械的に当てはめない

内部統制報告制度の実効性について考えている。内部統制評価範囲を決めるとき、実施基準にある「連結売上高の2/3」、「売上高・売掛金・棚卸資産につながる業務処理」を機械的に当てはめてはいけない。装置産業の製造業なら固定資産が大きな製造子会社の固定資産管理プロセスを、付加価値が大きい製造業なら原材料購買プロセスや在庫管理プロセスを追加する。その結果、売上高のカバー率は2/3をはるかに超えてしまうが、それでよい。

リスクのある事業があっても評価範囲に加えたくない理由

内部統制報告制度の実効性について考えている。子会社のある業務にリスクがあることに気付いても、内部統制評価の範囲に加えたくない理由がある。それを評価範囲に加えると、その業務を担う子会社の全社統制評価とIT統制評価が自動的に評価範囲に加わり、負担が大きく増えるのだ。それはなるべく抑えたいところだ。評価範囲に加える業務のリスクに応じて全社統制評価とIT統制評価を簡素化し、負担軽減を検討してみてはいかがか。

虚偽記載リスクを理解してもらう方法

内部統制報告制度の実効性について考えている。「全拠点の幹部に虚偽記載リスクを理解してもらう必要がある」と書いたが、実は単純な話だ。重要な虚偽記載リスクにつながる事項はたいてい予算化されている。予算管理上のごまかしや失敗の隠ぺい・先送りは、社内の人事評価等の問題ではなく、虚偽記載につながる。製造原価予算や積算予算も含む。生産量や在庫量のごまかしは、金額的な影響が直接見えないので、特に注意喚起したい。