2-1内部統制を支える4つの柱
月末の夜、閉店後のレジ横で、ミナトはネット通販の返金伝票と店の口座の通帳を並べていました。今月の返金は、伝票を足すと18,400円です。ところが、口座から返金として出ていったお金は21,400円で、3,000円多くなっています。1件ずつ照らしていくと、ある返金で「300円」と打つところを「3,300円」と打っていました。返金の受け付けも、口座からの振り込みも、帳簿への記録も、ミナトが1人でこなしていたので、打ち間違いに気づく人がいなかったのです。電卓をのぞき込んでいた店長が言いました。「今回はただの打ち間違いだったけど、1人で全部できる仕組みだと、わざとやっても誰も気づけないね」。ミナトは相棒に打ち込みます。「もう間違えないようにするには、どうしたらいい？」
相棒の返事は、問いの向きを変えるものでした。「人が間違えないようにするのは難しい。間違いが1人の中で閉じないように、仕事の組み方を変えてみよう」。気をつける人を増やすのではなく、気をつけ損ねても誰かが気づける形にする、という提案です。
この考え方を組織全体に広げたものが内部統制です。内部統制は、組織が健全かつ効率的に運営されるように、外から押しつけられるのではなく組織自身が作り、動かし続ける仕組みを指します。その実現には、4つのことが要るとされています。仕事の流れを明らかにすること、仕事を分けること、ルールを決めること、確かめる体制を作ることです。
1つめは業務プロセスの明確化で、誰が、何を、どの順で行うかを書き出して明らかにすることです。こむぎ堂の返金なら「お客さんから返金の依頼を受ける→注文と照らして返金額を決める→返金してよいと認める→口座から振り込む→帳簿に記録する」の5段階になります。書き出してみると、5段階のどこにも、ミナト以外の人が出てこないことが分かりました。流れが見えていなければ、どこが危ないのかも見えません。
2つめが、仕事と権限を担当ごとに割り当て、1人に集中させない職務分掌です。中でも、承認と実行のように、同じ人が持つと不正や誤りを隠せてしまう仕事を別々の人に分けることを職務分離（職務の分離）と呼びます。職務分掌の中心にある考え方です。こむぎ堂では、返金の申請はミナト、承認は店長が持ち、帳簿への記録は通販システムが振り込みのデータから自動で付けるように分けることにしました。
仕事を分けると、担当どうしが自然に互いの仕事を確かめ合う形になります。店長はミナトの申請を見てから承認し、ミナトは振り込みの結果が申請どおりかを見ます。このように、複数の人や部署が互いの仕事をチェックし合うことで不正や誤りを防ぐ働きをけん制（相互牽制）といいます。1人では隠せたはずの3,300円の打ち間違いも、承認する店長の目を通れば、注文の金額と合わないことに気づけます。
3つめの実施ルールの設定は、仕事をするときに従う具体的な手順や決まりを定めることです。こむぎ堂では「返金は1件ごとに伝票を作る」「伝票には注文番号を必ず書く」「承認のない返金は振り込まない」と決めました。ルールがあると、決まりどおりに行われたかどうかを、あとから誰でも同じ物差しで確かめられます。
4つめのチェック体制の確立は、仕事をした人とは別の人が、その中身を確かめられる体制を整えることです。こむぎ堂では、月末に店長が返金伝票の合計と口座の出金を照らし合わせる役を持つことにしました。ルールを決めても、守られているかを見る人がいなければ、決まりはやがて形だけになります。
2-2内部統制の枠組みと制度
商店街の会合から戻った店長が、少し驚いた顔で話し始めました。会合で隣に座った人は上場している食品会社に勤めていて、その会社では毎年、内部統制がうまく働いているかを社長が自分で評価し、報告書にして公表しているそうです。「うちが返金の担当を分けた話をしたら、それも内部統制だって言われたよ。大きな会社は、それを国に報告しているんだって」
こむぎ堂が自分の判断で始めたことを、上場企業は制度として求められています。上場企業の経営者が、財務報告に関わる内部統制が有効に働いているかを自ら評価し、その結果を内部統制報告書として開示する制度を内部統制報告制度といいます。報告書は公認会計士や監査法人の監査を受けます。米国の企業改革法（SOX法）にならって作られたため、J-SOXとも呼ばれます。2008年4月1日以後に始まる事業年度から適用されています。
財務報告に絞っているのは、株を買う人が決算の数字を頼りに判断するからです。売上や利益の数字が誤りや不正でゆがんでいれば、投資する人がそれを信じて損をします。そこで、数字そのものだけでなく、数字を作る仕組みが確かかどうかまで、経営者に説明させるのです。
評価するには、仕組みが動き続けているかを見ている必要があります。内部統制が有効に働いているかを継続的に見て評価する活動をモニタリングといいます。モニタリングには、ふだんの業務の中に組み込まれた日常的モニタリングと、業務から独立した立場で定期的または随時に行う独立的評価があります。月末に店長が伝票と通帳を照らすのは、日常的モニタリングの例です。
ここから基本情報！内部統制の枠組み
内部統制を「何を目指し、どんな要素でできているか」で整理した代表的な枠組みがCOSOフレームワークです。COSOは米国のトレッドウェイ委員会支援組織委員会（Committee of Sponsoring Organizations of the Treadway Commission）の略で、1992年に内部統制の枠組みを公表し、2013年に改訂しました。日本の内部統制報告制度の基準（金融庁の企業会計審議会が定めた「財務報告に係る内部統制の評価及び監査の基準」）も、この枠組みをもとに、目的と要素を1つずつ足しています。
| 項目 | COSOの枠組み | 日本の基準 |
|---|---|---|
| 目的 | 業務、報告、コンプライアンスの3つ | 業務の有効性と効率性、報告の信頼性、事業活動に関わる法令などの遵守、資産の保全の4つ |
| 構成要素 | 統制環境、リスク評価、統制活動、情報と伝達、モニタリング活動の5つ | 統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、IT（情報技術）への対応の6つ |
日本の基準が足したのは、目的の「資産の保全」と、要素の「ITへの対応」です。資産の取得や使用、処分が正しい手続と承認のもとで行われるようにすることが資産の保全にあたります。ITへの対応は、次の節で扱います。
基本情報の範囲ここまで
ここから基本情報！どれほど整えても残る弱さ
返金の担当を分けても、申請するミナトと承認する店長が口裏を合わせたら、どうなるでしょうか。この不正は、担当を分けただけでは防げません。内部統制は、目的を達成できるという絶対の保証ではなく、合理的な範囲での保証を与えるものにとどまります。この性質を内部統制の限界といいます。日本の基準は、限界として次の4つを挙げています。
- 判断の誤り、不注意、複数の担当者による共謀によって、働かなくなることがある（2人が示し合わせれば、職務分掌はすり抜けられます）
- 想定していなかった環境の変化や、いつもと違う取引には対応できないことがある
- 整備と運用には、費用と効果のつり合いを考えることが求められる（1件100円の返金にまで3人の確認を付けるのは、割に合いません）
- 経営者が不当な目的で、内部統制を無視したり無効にしたりすることがある
最後の1つは、仕組みを作る側の人が仕組みを壊せる、という意味で特に重く見られています。店長が「急ぎだから」と承認の手順を飛ばして自分で振り込めば、どれだけ担当を分けても止められません。
基本情報の範囲ここまで
2-3ITへの対応
返金の承認を店長が持つことに決めた翌日、ミナトは通販システムの管理画面を開いて手を止めました。管理画面に入るIDは1つしかなく、店長もミナトも同じIDとパスワードを使っています。このIDなら、返金の申請も承認も振り込みも、全部できてしまいます。「紙の上で担当を分けても、システムの中では1人で全部できるままだ」
こむぎ堂の返金は、伝票こそ紙ですが、振り込みも記録も通販システムの中で行われます。仕事の多くがシステムの上で動いている以上、内部統制もシステムの外だけでは完結しません。担当を分けるルールは、システムの中でも同じように分かれていなければ働かず、反対に、システムが金額を自動で照らしてくれれば、人の確認よりも確実に打ち間違いを止められます。システムは内部統制を支える手段であり、同時に、内部統制で守るべき対象でもあります。
ここから基本情報！内部統制の6つめの要素
日本の内部統制の基準は、こうしたITとの関わりを独立した要素として立てています。組織の目標を達成するために、あらかじめ方針と手続を決め、それを踏まえて組織の内外のITに適時かつ適切に対応することをITへの対応といいます。ITへの対応は、IT環境への対応と、「ITの利用及び統制」の2つからなります。
組織が活動するうえで必ず関わる、内外のITの状況に合わせることがIT環境への対応です。ここでいうIT環境には、社会や市場にITがどれだけ広まっているか、取引でITがどう使われているか、組織がどの情報システムに頼っているかが含まれます。こむぎ堂なら、お客さんの多くがスマートフォンで注文すること、カード決済を外部の決済サービスに任せていること、予約システムを業者に作ってもらったことが、店のIT環境にあたります。
もう一方のITの利用は、内部統制のほかの要素がよく働くように、ITを有効かつ効率的に使うことです。返金の金額を注文の金額と自動で照らす、承認のない振り込みをシステムが受け付けない、といった使い方がこれにあたります。基準ではITの利用と、業務に組み込まれたITそのものを統制することを合わせて「ITの利用及び統制」と呼びます。
ITが内部統制の手段であると同時に、統制される対象でもあるという2つの面から考えると、シラバスにあるITが内部統制に果たす役割を整理しやすくなります。人の手作業による確認は、疲れや思い込みで見落としが出ます。一度正しく組み込んだシステムの確認は、手を加えない限り同じように働き続けます。ただし、その「手を加えない限り」を保証する仕組みが別に要ります。
基本情報の範囲ここまで
こむぎ堂が最初に手を付けたのは、共用のIDをやめることでした。店長とミナトにそれぞれ別のIDを作り、ミナトのIDでは返金の申請だけ、店長のIDでは承認だけができるようにします。誰のIDで何をしたかが記録に残るので、あとから操作をたどることもできます。
ここから基本情報！全般統制と業務処理統制
システムに関わる統制は、範囲の広さで2つに分けられます。個々の業務ではなく、システムの開発や保守、運用、アクセスの管理など、システムの基盤全体を正しく保つ統制がITに係る全般統制（IT全般統制）です。これに対し、個々の業務のシステムの中で、承認された取引がすべて正確に処理され、記録されるようにする統制がITに係る業務処理統制（IT業務処理統制）です。
| 項目 | IT全般統制 | IT業務処理統制 |
|---|---|---|
| 守るもの | システムの基盤（機器、ソフトウェア、ネットワークなど） | 個々の業務の入力・処理・出力 |
| 基準が挙げる例 | 開発と保守の管理、運用と管理、内外からのアクセスの管理、外部委託の契約の管理 | 入力が完全・正確・正当かの確認、エラーの修正と再処理、マスタデータの管理、利用者の認証と操作の範囲の限定 |
| こむぎ堂の例 | 予約システムを直すときは業者の作業記録を残す。管理画面に入れる人を絞る | 返金額が注文額を超えたら受け付けない。承認のない返金は振り込まない |
2つは上下の関係にあります。返金の画面に正しい確認を組み込んでも、誰かがプログラムを勝手に書き換えられるなら、その確認はいつでも外せます。全般統制は、業務処理統制が働き続ける環境を保証する役目を持っています。
全般統制のアクセス管理で特に気を配るのが、特権アカウント（管理者アカウント）です。システムの設定を変える、ほかの人のIDを作る、マスタデータを書き換えるなど、ふつうの利用者より強い権限を持つアカウントを指します。こむぎ堂の共用IDは、まさにこれでした。特権アカウントは持つ人を最小限に絞り、共用せず、使った記録を残して定期的に点検します。
基本情報の範囲ここまで
2-4統制の種類
IDを分けた晩、店長がミナトに2つ頼みました。「打ち間違いは、打った時点で止められないかな」。少し考えて、もう1つ足します。「止められなかったときは、せめて月末より前に気づきたい」
店長の2つの頼みは、それぞれ別のリスクに別の手を当てようとしています。返金には「金額を打ち間違える」「承認なしに振り込まれる」「同じ返金を二重に振り込む」など、起こりうる困りごとが複数あります。1つの手ですべてを防ぐことはできないので、リスクごとに、どの統制で抑えるかを決めていきます。
業務のリスクと、それに対応する統制を一覧にして対応づけた表をリスクコントロールマトリクス（RCM）といいます。リスクに対して統制が抜けていないか、統制が実際に働いているかを評価するときに使います。こむぎ堂の返金について作ると、次のようになります。
| リスク | 統制 | 担当 | 頻度 |
|---|---|---|---|
| 返金額を打ち間違える | 返金額が注文額を超えたら、システムが受け付けない | 通販システム | 返金のたび |
| 承認なしに振り込まれる | 店長のIDで承認しないと振り込めない | 店長 | 返金のたび |
| 同じ返金を二重に振り込む | 操作の記録を見て、同じ注文番号の返金が2件ないか確かめる | 店長 | 週1回 |
| 伝票と出金が食い違う | 伝票の合計と口座の出金を照らし合わせる | 店長 | 月末 |
表にしてみると、上の2行と下の2行で、統制の働く時点が違うことが分かります。上の2行は、誤りが起きる前に止めます。下の2行は、起きてしまった誤りに後から気づきます。店長の1つめの頼みは前者、2つめの頼みは後者でした。
ここから基本情報！止める統制と気づく統制
情報セキュリティを保つための対策（管理策）はセキュリティコントロールと呼ばれ、どの時点で働くかによって、予防、発見（検知）、是正（復旧）などに分けて考えます。内部統制でも同じ分け方を使います。
誤りや不正が起きること自体を前もって防ぐ統制が予防統制です。入力のときに金額を確かめる、承認がないと処理を進めない、権限のない人をシステムに入れない、といった統制がこれにあたります。起きてしまった誤りや不正を、後から見つけ出す統制が発見統制です。操作の記録（ログ）の点検や、伝票と口座の照合がこれにあたります。
予防統制だけでは足りないのは、どれほど柵を立てても、想定していない誤りは柵をすり抜けるからです。3,500円の注文の一部を返す場合、300円を3,000円と打ち間違えても、注文額は超えないので入力のチェックは通ってしまいます。そこで、すり抜けた誤りに気づく発見統制を後ろに重ねます。
基本情報の範囲ここまで
2-5ITガバナンス
返金の仕組みが整ったころ、ミナトは店長に相談しました。「来年、予約システムを新しくするかどうか、決めてほしいんです」。店長は困った顔をします。「ITのことはミナトに任せてきたからなあ」。そう言いかけて、店長は自分で首を振りました。「いや、店のお金をどこに使うかを決めるのは、私の仕事だね」
店長が気づいたのは、ITの使い道を決める責任が、ITに詳しい人ではなく経営する人にある、ということです。まず、会社の経営そのものについて同じ考え方があります。株主をはじめとする利害関係者の立場から、経営が適正に、健全に行われるように監視し、規律づける仕組みをコーポレートガバナンス（企業統治）といいます。社外取締役を置く、経営の情報を開示する、といった取り組みがこれを支えます。
コーポレートガバナンスのうち、ITの使い方に関わる部分がITガバナンスです。取締役会などの経営層が、利害関係者のニーズに基づいて、組織の価値と信頼を高めるために、ITをどう使うべきかを示すIT戦略と方針を決め、その実現を進める活動を指します。ITガバナンスの国際規格を日本語にしたものがJIS Q 38500で、2015年版では、経営層の役割を、ITの使い方を評価し、方針を指示し、その結果をモニタする、という3つで示しています。この規格は2026年に改正されています。
経営層が方向を決めても、それを実際に動かす人が要ります。経営方針とITガバナンスの方針から立てたIT戦略の目標を達成するために、ITの利活用を管理・実行し、その結果を経営者に報告する体制を整え、運用する活動がITマネジメントです。こむぎ堂なら、新しい予約システムに予算を出すか決め、半年後に予約が増えたかを確かめるのが店長のITガバナンス、業者と打ち合わせて導入を進め、結果を店長に報告するのがミナトのITマネジメントです。
大きな会社では、ITの戦略と投資に責任と権限を持つ人を経営層に置きます。それがCIO（Chief Information Officer：最高情報責任者）です。CIOは、ITを経営の目標に合わせて使うための計画を立て、全社の情報システムを見渡す立場にあります。
ここから基本情報！ITガバナンスを支える役割と取組
ITガバナンスは、内部統制とつながっています。内部統制のうち、情報システムの開発・運用・利用に関わる部分をIT統制と呼び、全般統制と業務処理統制に大きく分かれます。経営層が決めたITの方針が守られているかを確かめる手段の1つが、IT統制です。
CIOと並んで、情報セキュリティの方針を決めて進めることに責任と権限を持つ役職をCISO（Chief Information Security Officer：最高情報セキュリティ責任者）といいます。CIOがITを「どう使うか」を受け持つのに対し、CISOは情報を「どう守るか」を受け持ちます。
シラバスは、ITガバナンスを実現する取組として、システム監査、情報セキュリティ監査、ソフトウェア資産管理（SAM：Software Asset Management）を挙げています。ソフトウェア資産管理は、組織の中で使っているソフトウェアの種類、導入した台数、持っているライセンスの数を把握し、正しく管理することです。こむぎ堂でも、2台のパソコンに入っている画像編集ソフトを調べたところ、ライセンスは1台分しか買っていませんでした。
基本情報の範囲ここまで
2-6法令遵守の評価と改善
店のパソコン2台に入っている画像編集ソフトは、ライセンスを1台分しか買っていませんでした。チラシを作るのに便利だからと、前のアルバイトが2台目にも入れていたのです。店長はすぐに2台目から消すよう頼み、それから少し考え込みました。「知らないうちに決まりを破っていることが、ほかにもあるかもしれないね」
法律や規則、さらに社会の決まりごとや企業としての倫理を守って事業を行うことをコンプライアンス（法令遵守）といいます。日本語では法令遵守と訳されますが、守る対象は法令だけではありません。法律には触れなくても、お客さんの信頼を裏切る行いは、コンプライアンスの問題として扱われます。
決まりを破ったときの損失は、罰金や賠償だけで終わりません。「あの店はライセンスを守らない」とうわさが立てば、お客さんも取引先も離れていきます。このように、評判や信用が下がることで損失が生じるおそれをレピュテーションリスクといいます。こむぎ堂のような小さな店ほど、評判の傷は売上に直接響きます。
上場企業の内部統制に深く関わる法律が金融商品取引法です。株式や債券、投資信託などの金融商品の取引について、投資する人を保護し、市場を公正にするための決まりを定めています。企業に決算などの情報を開示させるのもこの法律で、2節で見た内部統制報告制度は、この法律に基づいています。
ここから基本情報！内部統制を求める2つの法律と自己評価
内部統制を求める法律は、もう1つあります。会社の設立や組織、運営の決まりを定めた基本の法律が会社法です。会社法は、大会社（資本金5億円以上、または負債の合計200億円以上の株式会社）である取締役会設置会社などに、業務の適正を確保するための体制、いわゆる内部統制システムの整備について、取締役会で決めることを求めています。
| 項目 | 会社法 | 金融商品取引法 |
|---|---|---|
| 主な対象 | 大会社など | 上場企業など |
| 求めること | 業務全体の適正を確保する体制の整備を決める | 財務報告に係る内部統制を経営者が評価し、報告書を出して監査を受ける |
法令が守られているかは、一度確かめれば済むものではありません。仕事のやり方も法令も変わるので、ふさわしい時期と方法で守られているかを評価し、改善を続けます。その方法の1つがCSA（Control Self Assessment：統制自己評価）で、監査人ではなく、業務を担当している人たち自身が、自分たちの内部統制が有効に働いているかを点検し、評価します。現場をいちばんよく知る人が評価するので、外からは見えにくい問題に気づきやすくなります。こむぎ堂でも、月に1回、店長とミナトがチェック表で返金とソフトウェアの管理を自己点検することにしました。
基本情報の範囲ここまで
翌月の月末、閉店後のレジ横で、ミナトはまた返金伝票と通帳を並べました。返金はミナトが申請し、店長が自分のIDで承認しています。通販システムは注文額を超える金額を受け付けず、店長は毎週月曜に操作の記録を見て、同じ注文番号の返金が2件ないかを確かめてきました。伝票の合計は24,600円、口座の出金も24,600円で、今度は1円も違いません。店長は電卓を置いて言いました。「次は、この仕組みがちゃんと動いているかを、身内じゃない人に見てもらいたいね」