従来内部統制は財務会計の観点から論じられることが多いですが、近年になってビジネスコンブライアンスや、経営及び業務の有効性・効率化、リスクマネジメントの視点から取り上げられるようになりました。これは米国でのエンロン事件やワールド・コム事件での粉飾決算や破綻を受けて２００２年にサーベンス・オクスリー法（いわゆるＳＯＸ法）が成立し、内部統制システムの構築・運用が経営者の義務とされ、その監査及び監査意見表明を外部監査人の義務とされてからです。
こうした中、日本でも新会社法が成立し、大会社では内部統制システムの構築方針が義務づけられ、中小規模の会社では会計参与制度が取り入れられました。
また、金融庁が証券取引法を改正して、２００８年には全上場企業に業務遂行や内部管理状況などを文書で報告することを公認会計士にチェックさせる意向を示しています。このような折り、某大手化粧品会社の粉飾決算に加担したとして会計事務所も摘発を受けたことは記憶に新しいことです。今後ますます企業の社会的責任は重くなり、コーポレートガバナンスの確立が重要となります。
話を内部統制に戻しますと、米国でＳＯＸ法のもとになった考え方はＣＯＳＯ(注)の内部統制フレームワークと言われているものです。このＣＯＳＯフレームワークでは内部統制の構成要素として、
１．企業内全ての統制活動のベースになる「統制環境」、
２．リスクに対応する「リスク評価」、
３．経営者の指揮・命令が確実に実行されることを保証する「統制活動」、
４．必要名情報が組織や関係者に確実に伝達されることを確保する「情報と伝達」、
５．内部統制の有効性を継続的に監視・評価する「監視活動」
の５つが挙げられていますが、日本版のＳＯＸ法では、これに
６．内部統制が有効に機能するための情報システムの適性を保つ「IT利用(統制)」
を追加しています。これは今後の日本のビジネスがＩＴを抜きにして考えられないことを念頭に、ＩＴを利用したリスクに対処する重要性を強調したものと考えられます。そしてこの日本版は８月末でパブリックコメントの募集が終わり本格的な法制化に動き出すことになります。
この「ＩＴ統制」は、ハードウェアやソフトウェア、ネットワーク、適用業務アプリケーションなどのＩＴを使った業務処理の企画から開発・運用までがある一定のレベルの品質が確保されることを前提に、企業内の情報システムが外部報告される財務データを適切に処理するプロセスが確立していることを問う「全般統制」と、各業務領域においてデータ処理等が適切に処置されていることを問う
「業務処理統制」に分けられています。
このように今後ＩＴについて企画から開発・運用に至る各段階で情報システムの責任部署及び利用部門での業務全般にわたる公正且つ透明な手続きが必要となります。そのガイドとして『ＣＯＢＩＴ』(注)や『ＩＴＩＬ』(注)などがあります。
ＩＴＩＬに付きましては以前にこのコラムで紹介がありましたが、ＣＯＢＩＴはＩＴ部門の業務を４つの業務区分と３４のプロセス（業務単位）に分け、各管理目標の達成度を評価してＩＴガバナンスの成熟度を測定するものですが、各プロセスのあるべき姿を示しているわけではありません。これに対してＩＴＩＬは情報システムの運用のベストプラクティスを整理したもので、具体的な管理方法については示していません。この両者を相互補完に利用することによって問題の所在を明らかにし、新会社法による内部統制システム構築の義務化、あるいは東京証券取引所が求めている適時開示に係る宣誓書・有価証券報告書等の適正性に関する確認書などに対処する必要があります。
企業はコンプライアンスへの対応を今まで以上に厳しく求められていますが、ＩＴが経営のインフラとして重要な役割を担っている昨今、情報システムもまたコンプライアンスへの対応を避けることはできません。そのためには、ＩＴ責任部署は業務プロセスと責任の所在を明確にし、ＩＴガバンナンスの成熟度を今まで以上に高める必要があります。ネットワーク社会が身近になった現在、日本だけでなく海外との取引を考えればＩＴを利用した内部統制は大企業だけの問題ということでは済まされない問題でもあります。
注）
ＣＯＳＯ ：Committee of Sponsoring Organizations of the Treadway Commission
ＣＯＢＩＴ：Control Objectives for Information and related Technology
ＩＴＩＬ ：Information Technology Infrstracture Library
■執筆者プロフィール
大塚 邦雄
情報処理システム監査、ＩＴコーディネータ
２５年にわたるシステム経験をもとにＩＴ化を支援します。
e-mail:kunio920@mbox.kyoto-inet.or.jp
