IT統制とメール管理

最近の金融商品取引法における内部統制報告制度（いわゆるＪ－ＳＯＸと呼称されるところ）に関する解説本などでは、ＣＯＢＩＴ　ｆｏｒ　ＳＯＸ（２nd　Ｅｄｉｔｉｏｎ）など、ＩＴ統制に関する文書化の要点などが紹介されているようで、システム監査に精通されていらっしゃる方のお話などをお聞きするなかで、実務レベルでの対処については半分くらいは理解できそうな感じがいたします。ただ、ずいぶんと前の話になりますが、財務報告の信頼性確保のためのＩＴ統制のお話といえば、「メール管理」といったことが論点のひとつだったと思います。最新号の「旬刊経理情報」は「実施基準完全対応！ＩＴ統制の文書化はこうする」といった特集でして、丸山先生はじめ、システム監査に造詣の深い先生方が、あらゆる角度からＩＴ統制の文書化について解説をされているのでありますが、そこには「メール管理」のことがまったく触れられておりません。

ひょっとすると、実施基準とメール管理は無関係なのか・・・とも考えたのでありますが、Ｊ－ＳＯＸ導入のきっかけとなったライブドア事件や、先日の日興コーデの不正会計問題の際も、事実解明のためにメールが果たした役割というのが最も大きなものだったことは間違いありませんし、財務報告の信頼性確保のための内部統制と無関係なわけはないと思われます。社内メールと社外メールの効果的管理方法、メールの管理保存方法、他人のメールへのアクセス制限、修正履歴や削除履歴などの記録方法、そしてなによりも、メール送信に関する人的教育研修など、どれをとっても不正会計防止のためには全社的なＩＴ統制と関係するでしょうし、経営者として関与しなければならない「第一歩」ではないかと考えておりますが、なぜ一切の解説がないのでしょうか？（ちょっと不安になりましたので、実施基準を確認しましたが、（ＩＴの利用）の最初のところで「統制環境の有効性を確保するためのＩＴの利用」として電子メールの重要性についてきちんと書かれてあります）そもそも、メール管理につきましては、内部統制報告制度の実施を待つまでもなく、早急に各社で対応しなければならないわけですから、構築するのは当たり前なのかもしれませんが、それでも制度実施後は経営者評価やＩＴ統制監査などの対象となるはずですから、どういったレベルまでのメール管理をすれば内部統制報告制度上のＩＴ統制としては合格基準なのか、ある程度感覚として知っておきたいところであります。

もうひとつ、最近の内部統制システムの文書化作業のなかで、気になりますのが、内部統制リスクとしての「文書化と開示リスク」であります。私自身、ある企業におきまして、リスクマネジメント委員会委員として、リスク評価や対応方法の検討作業に携わっておりますが、その委員会議事録はどこまでのことを記載すべきなんでしょうかね？（これ、委員会開催のたびに、法律家委員の方より疑問が呈されまして、大問題になっております）リスクマネジメント委員会には、オブザーバーとして社長も出席しておりますので、先日の全日空の発券トラブルではありませんが、ＩＴ関連事故で会社に損害が発生した場合に、株主から代表訴訟を提起された場合に、取締役の事故予見可能性（役員は事故発生のリスクをどこまで事前に把握していたか）を立証するためには、株主の方から委員会議事録につき文書提出命令を申立られる可能性がありますよね。委員である私が何を話したのか、そのリスクは最終的な決算財務プロセスにどのような影響を与えるのか、そのリスクについて会社はどこまで対応方法を検討していたのか、委員会としてはどういった提案を役員会に提示したのか、など、議事録に詳細に記載しておかねばならないのでしょうか。あまり書きたくないような気もいたしますが、文書化しておかないと、あとで委員会活動をきちんとやっていたことの証拠が残らないことにもなりますし、これはかなり難問であります。役員の最終的な責任については経営判断の裁量が広いところで救われることも多いかと思いますが「リスクを知ってて何も対応していなかった」と社会的非難を受ける可能性は高いわけでありますので、「一生懸命内部統制システムの整備運用に努めていればいるほど、開示リスクは増える」という結果にはなってしまうのでは・・・・・との不安がよぎります。もちろん開示義務が発生するような文書を隠蔽することはもってのほかであります。しかしながら民事訴訟法上の文書開示を拒絶できる事由、たとえばもっぱら内部専用文書の体裁を整えるとか、外部専門家を交えての意思形成文書と評価できる体裁にするとか、内部統制構築そのものが「営業秘密」に属すると考えるとか、他人の著作権（知的創造物）やプライバシー権侵害のおそれがあるとか、いろいろと文書化にあたっては、その開示リスクを低減するための要素はあろうかと思いますので、業務記述書にせよ、マトリックスにせよ、評価書にせよ、議事録にせよ、財務報告の信頼性確保のための内部統制システム整備運用プロセスに関わる文書化にあたりましては、（将来的に発生するであろう）文書化リスクにつきましても細心の注意が必要なのではないでしょうか。（そういえば議事録は作成せずに、外部専門家作成にかかる会議メモだけ残しておき、外部専門家事務所にて、内部監査や会計士監査の資料用として保管する・・という案も出ておりましたことを付言いたします）