金融庁からいきなり 「内部統制報告制度に関する11の誤解」 なるものが公表されました。
http://www.fsa.go.jp/news/19/syouken/20080311-1.html
実務の現場では、一部に過度に保守的な対応が行われていることへの対応だそうです。（本当に「一部」といえるのかどうかは疑問ですが）
ここに書かれていることは、１年前なら「誤解」といえたかもしれませんが、いまの段階にいたってまだ誤解をしている会社がどれほどあるのでしょうか？会社自身は誤解はしていないが、現実問題監査人からの要請がある以上、適正意見をもらうためにはやむをえないというケースが多いのではないか。
ということで、私が会社の担当者だったらこんな愚痴を言いたくなるというのを書いてみました。
１．米国SOX法と同じか
これについて、違うことは誰でもわかっていますが、では実務上どのように対応が異なるのかという点については、事業拠点の選定以外は実はあまり変わらないのではないか。という感覚の方も少なくないのでは。また、監査法人も、US SoXのノウハウやツールをJ-SoXに移植している場合もあり、日本とのガバナンスの違いなどはあまり考慮されていないケースにまじめな会社が戸惑うケースはないのか。
２．特別な文書化が必要か
企業の作成・使用している記録等を適宜、利用。といっても、現実には使えるものがほとんどなく、まして財務報告の虚偽記載リスクを評価した文書や統制について記述したものなどは皆無。であれば、最初から３点セットの形でつくってしまったほうが楽なのではないか。ただ、何せ慣れないので大変ですし、監査人からは書き方まで厳しく指導されるので、完璧を求められると現実問題かなりつらい。
３．すべての業務に内部統制が必要か
「どんなに小さな業務（プロセス）でも内部統制を整備・評価しなければならない。」ということよりも、「どんな小さなリスクでもすべて洗い出して、しかもすべてに対して低減策を講じなければならない」という方がつらいのではないか。RCMを作るとどうしてもそういうことになりがち。すべてのリスクを洗い出さなければそれが重要性があるかどうかはわからないのではないかといわれればごもっともではあるが、細かいリスクを上げだせばきりがないし、「木を見て森を見ず」にもなりがち。それに、長年やっていれば、どのあたりに財務報告に重要な影響のあるような誤謬や不正が生じるかはだいたいわかっているので、そこを重点的に整備したい。リスクの高いところに重点的に資源を配分するというのが、リスクアプローチの本来の考え方ではないのか。監査人は十分に理解しているはずではありますが・・・。
４．中小企業でも大がかりな対応が必要か
上場会社を中小企業と呼ぶべきかどうかはともかく、中小規模の会社でやたらと規程やマニュアルの整備を要求したり、職務の分離を形式的に要求したりということは十分にありうることだと思います。しかし、ではどういう統制であればよいのか、ということについて、監査人（といおうか、経験の浅い若手会計士）が必ずしも十分な知識やノウハウをもっていないケースもまったくないとはいえず、自信をもってこの程度であれば大丈夫だろうという見極めが難しい場面もあるのではないか。だからつい形式的、教科書的な指摘になってしまいがち。コンサルも同様。そして会社自体も、自社においてこのような統制で十分にリスクを低減できているのかどうかについてよく考えていないので、コンサルや監査人のいいなりになりがち。よく考えれば十分という場合もあるにもかかわらず・・・。または、監査人への説明不足があったり。コミュニケーションの問題もありますね。
５．問題があると罰則等の対象になるのか
「内部統制報告書の評価結果に問題がある場合、上場廃止になったり、罰則の対象と
なる。」という誤解があるとのことですが、経営者は上場廃止などというレベルで経営しているのではなく、仮に内部統制に重要な欠陥があり、有効ではないという報告書を提出した場合のその他もろもろのインパクト、リスクを考えて経営しているはず。風評リスクや株価への影響も気になるし、会社法内部統制に関連して株主からの責任追及も怖い。買収リスクなども考えなければならない。日本の風土を考えると、経営者が「有効ではない」報告書を公表することについてはかなり心理的に抵抗があると思われますし、だからこそ何とか内部統制を改善しようという気にもなっているところなので、「上場廃止にならないから、罰則の対象にならないからいいんだ」ということではないでしょう。「初年度は有効でなくてもいい」といわれても、経営者はそうは簡単には割り切れないでしょう。
６．監査人等の指摘には必ず従うべきか
監査人からの指摘に従わなければ、不適正意見が出て、虚偽記載扱いで上場廃止や罰則となれば、従わざるを得ないという気持ちはわかります。それと同時に、従っていた方が楽、という心理もあります。「自社のリスクを最も把握している経営者が、主体的に判断。」とはいっても、経営者は内部統制の専門家ではないですし、まして、「大丈夫だという証拠を見せろ、客観的に証明せよ」と監査人からいわれれば、なかなか苦しい。やはり心のどこかで社員を信じて経営者自身がリスクを負っている（受容している）ところがあるので、そこをつつかれると反論できない。しかし、信頼関係がないことを前提には経営はできない。そんなことを議論している暇があったら、少々不満でも監査人のいうことを聞いて、ほかのことをやったほうがいい、と割り切る経営者や担当者もいるでしょう。
「だって先生、実際にうちでは大きな間違いや不正が起きていないでしょう？内部統制がいまのままで十分な証拠ですよ」で済めば苦労はしないのですが・・・。まして、監査人から小さい金額ながらも頻繁に間違いを指摘されたり不正が発見されたりという「実績」があると、何を説明してもどうにも説得力がないのが・・・。監査人からの指摘事項を、その都度、確実につぶして再発防止策を講じているとだいぶ心証が違うのではありますが。
また、「監査法人やコンサルティング会社の開発したマニュアル（内部統制ツールなど） 、システムを使用しなければならないということはない。」とはいっても、では自分たちで考えろといわれても。統制上の要点を選定する根拠または整備状況が有効であることの根拠として「統制の粒度」「予防的統制か発見的統制か」「手作業か自動化か」「統制の頻度は」などということのRCM上の記述を求められると、実施基準の例示では到底対応できず、結局、監査法人のフォームに限りなく近づかざるを得なくなる。
「統制上の要点」の選定基準というのは、実施基準上も極めてあいまいで、会計士協会においても統一的な見解はない。しかし、統制上の要点の選定理由の説明を監査人から求められる。であれば、あとからRCMを作り直すよりは、最初から大変でも監査人のフォームを使ったほうが楽という判断になる。または、監査人のツールを使えば、監査担当者も自分でリスクを負って判断する余地が小さくなるので、細かいことをあとからいわれずに監査も通りやすくなる（はず）。
従ったほうが楽なこともある。これが経営者や担当者の本音でしょう。
Q&Aの改訂版では、是非統制上の要点の選定根拠の示し方などについても触れていただければと思います。
７．監査コストは倍増するのか
これは必ずしも誤解ともいえないのでは。あくまで個々の会社の状況によって異なりますし、監査人の姿勢によっても異なるでしょう。金融庁が監査報酬の抑制を暗に会計士業界に要求しているというのであれば別ですが。
８．非上場の取引先も内部統制の整備が必要か
これはそれなりに誤解もあるかもしれません。特に最初の頃にIT業界があおった面も無きにしも非ず。そしてあくまでも財務報告に係る内部統制に限定した話であり、それ以外のことは関係ない。
９．プロジェクトチーム等がないと問題か
プロジェクトチームがないと現実問題動かないということは、各社とも異論はないと思います。特に初年度については、片手間でできるような仕事でもない。評価については、内部監査部門がやるということであまり異論はない。プロジェクトチーム云々以前に「人手が足りない」「スキル・ノウハウがない」というのが本当の悩み。
２年目以降に財務報告の虚偽記載リスクをどこの部署が取りまとめて対応するか（リスクの評価と対応の主体）というのは、各社ともそろそろ悩み始めているかもしれません。プロジェクトチームは時限的のつもりなので、３点セットは各部署で、取りまとめはどこかの部署で、ということになりますが、どの部署も既存の業務で手一杯。いずれにしても、仕事はいまより間違いなく増えるのです！
１０．適用日までに準備を完了する必要があるのか
「もう間に合わない。」と思っていたとしても、それでは「有効でない」という報告を出す、または内部統制報告書を提出するのをあきらめて上場廃止への道を選ぶか、というとそこまでの覚悟もない。やはり何とかしなければならないがどうしていいかわからない、というのが出遅れ会社の悩みでは。「あきらめないでがんばれ！」というメッセージとしてとらえるのであればいいのですが。。。
ただ、問題は、監査人の監査の都合上、評価作業、特に全社的統制の評価作業がある時期までに終わっていないと監査ができないという問題も現実にはあります。おそらく監査人は、四半期レビューの合間を縫って内部統制監査を実施するはずですが、あまり期末ぎりぎりになってあわてて監査手続を実施するのは避けたい。あまり期末近くまで内部統制が固まらないとなると、会社自体の内部統制評価も実施できず、監査手続の実施を先送りせざるを得ない。ここはなかなか悩ましい問題です。最悪のケースは、会社自体が内部統制評価をできそうになく、従って内部統制監査も実施できない可能性があるといった場合に、監査人として監査契約を締結できるかというレベルです。評価範囲の一部除外というレベルで済めばよいですが。
１１．期末のシステム変更等は延期が必要か
ここは確かに誤解があるかもしれません。ただし、「やむを得ない事情」というのはあくまで個別判断なので、事前に監査人と協議が必要でしょう。また、万が一システム変更に失敗した場合のリスクをどう低減させるかということも考えておく必要があります。
以上のことは、どちらかといえば中堅以下の上場会社のケースを想定しているので、巨大グローバル企業には当てはまらないかもしれませんが、数としては中堅以下のほうがはるかに多いので、金融庁も経団連の役員になっているような企業だけでなく、中堅以下の企業の状況にも目を向けていただきたいと思います。
また、円滑な実施に向けた行政の対応も公表され、会社・監査人へのヒアリング、追加Q&Aの公表、相談窓口の設置、指導中心の行政対応などといったことが書かれています。
しかし、そもそも保守的な対応が行われる背景がどこにあるのかをよく考えないと、あまり実効性のない対応になってしまいます。監査人の責任の大幅軽減（民事訴訟への対応を含む）、監査法人への検査における形式重視から実質重視への転換など、金融庁自体が監査法人への締め付けをゆるめればある程度解決するような問題もあれば、監査人の不勉強による混乱が原因のものもある。一方、会社側の不勉強や監査人の言いなりになったふりをして何かあったときの責任を監査人に押し付けようという風潮が原因になっている場合もある。監査法人における海外の提携先からの圧力のように国内だけではどうしようもない問題もある。とにかくよく分析して適切に対応してもらいたいとおもいます。
とまぁ、追い詰められたJ-SoX担当者にとってはほとんど慰めにもならない「１１の誤解」ではありますが、「まだ間に合う。がんばれ！」という応援メッセージだと思って、あきらめずに一つずつ課題を解決していきましょう。
最近のコメント