内部統制報告制度の運用の実効性の確保について（その６－内部統制監査の留意事項）

【内部統制監査の課題】

最近の内部統制の重要な不備は不正の発覚を契機として訂正内部統制報告書で開示されるケースがとても多いため、「内部統制監査精度の信頼性が問われかねない」と厳しい指摘がされています。

さらに報告書は以下の課題（一部）を指摘しています。

１．全社的な内部統制の評価の検討

①取締役会の機能

取締役会は十分な資料にもとづき、適切にリスクを識別できる体制になっているかどうかのより実質的な検討

②役員及び従業員のコンプライアンス意識と内部通報制度の実効性

コンプライアンス規程や内部通報制度が適切に運用されているかの検討

③内部監査部門の機能

内部監査部門の人員配置や内部監査の結果・フォローアップの深度ある検証

④業績管理

業績目標の設定方法とその具体的な達成方法に対する経営者の理解や視線の確認、内部統制を無効化するリスクに対するモニタリング統制の理解

⑤経営者によるリスク評価

経営者のリスク評価の適切性に対する注意深い検討

業務プロセス、決算・財務報告プロセス、子会社についても課題が指摘されていますが、ここでは省略させていただきます。

【上記を踏まえた考察】

①取締役会の機能

取締役会は会社法で定められた会社の機関であり、定期的に開催することが求められている。しかし、多くの日本企業ではそれとは別の実質的な決議機関（経営会議など企業によってさまざまな名称のものが存在する）があったり、事前の根回しなどで重要なことはそちらで討議・決定されていることがあります。そのため、取締役会が形骸化し、経営者の業務執行を監督できなくなっていることを踏まえた課題と思われます。

ちなみに、コーポレートガバナンス・コード（東証）でも、原則４－１２で「取締役会における審議の活性化」が言われています。上記のような日本的な意思決定のあり方が外部（特に欧米の投資家）からはとても分かりにくく、しかも取締役会が果たすべき役割を果たせていないのではないかという懸念があるためでしょう。

取締役会の機能をはじめとする全社的な内部統制における不備は、業務プロセス・決算財務報告プロセスでの不備とともに見つかることが多く、それ単独で不備とするのは踏み込んだ手続とその結果に基づく相当な判断力が求められます。なぜなら形式的には内部統制が整備運用されていることは、どんな企業でも普通は確かめられてしまうからです。

監査では通常、議事録を閲覧するといった手続で取締役会の機能の評価をしますが、報告書の監査手続の例示にあるように、より経験のある監査人がより踏み込んだ手続をしないと、本当に機能しているかどうかの評価は難しいでしょう。

まずは単独でも全社的な内部統制の不備を指摘するという姿勢と覚悟をもつことが監査人に求められます。

②役員及び従業員のコンプライアンス意識と内部通報制度の実効性

上場企業においてコンプライアンス規程と内部通報制度をもたないところはないでしょう。したがって、これも形式的にだけ見て有効という判断を下しがちですが、実は従業員に周知されず、周知されていても本気で運用されないことがあります。特に内部通報制度は作られはしたものの、実際にはほとんど利用されていないケースが大半かと思われます。

不正がないためであればそれでいいのですが、不正があるにもかかわらず利用されていないのだとしたら問題です。とはいえ、どちらのケースであっても監査でそこまで評価するのは難しいですし、酷でしょう。実際、報告書が求めているのも、周知の程度を確かめるところまでとなっています。

③内部監査部門の機能

この課題は日本企業全体にとっての課題です。別の記事でも書きましたが、海外の企業では内部監査部門に若いエース級の人材を投入し、ルールがきちんと守られているかどうかを厳しくチェックしています。ところが、日本企業においてそのような人材は別の花形部門に配置されてしまい、内部監査部門は高齢化と人材不足に悩んでいるケースが多いのではないでしょうか。

これは監査の課題というより、会社側の課題の方が大きいのではないかというのが私の思いですが、監査側も内部監査部門の機能をしっかり評価し、問題があれば是正を求めていかなければなりません。

④業績管理

経営者が現場のことを考えずに目標だけを押し付けると、現場責任者がプレッシャーと責任感のあまり不正を犯してしまうことがあります。それを避けるには、まず会社において、経営サイドと現場サイドのコミュニケーションによる情報共有とそれにもとづく適切な目標設定、施策立案、進捗管理が求められます。

監査人には会社が適切に業績管理をしているかどうかの評価が求められますが、相当経験のある者でないと、正直難しいのではないでしょうか。

⑤経営者によるリスク評価

リスク評価を行うにはまずリスクに関する情報を網羅的に集めなければなりませんが、何をどこまで集めればよいかが問題になります。子会社での不正の発覚で不備を開示する会社が多いように、特に子会社のリスクとその対応状況を把握するのは容易ではありません。

報告書では監査人が行うべきこととしてて、経営者によるリスク評価が網羅的であるかどうか、深度があるかどうかの検討をあげていますが、ここは監査人が世界的なネットワークを活かして指導的機能も発揮した方がよいと思われます。