内部統制報告制度における内部監査人の役割

イソライト工業さんが、連結子会社（イソライト建材）の不適切な会計処理に関して改善状況報告書（大阪証券取引所宛）を提出しておられます。不適切な処理の原因事実や、それに対応する改善方法、および会計士の資格を有しておられる内部監査人による改善状況など、いろいろと参考になりますね。子会社の内部監査や実際の棚卸し資産の監査にあたっては、会計士の先生が内部監査人となってチェックされているんですね。

さて、本日（９月１１日）は朝から、来年新規公開を予定している某会社のリスク管理委員会に出席してきましたが、ここでもやはり「内部監査人をどうするか？」議論になっておりました。とくに不適切な会計処理があったからではなく、監査法人さんからの指摘で、いわゆる「財務報告に係る内部統制」を整備する一環としての内部監査人の選定に関するものであります。このブログにおきましても、過去に内部監査人と内部統制の関係とか、内部統制の重要な欠陥と人材流動化リスク　などのエントリーで内部監査人の立ち位置（ポジション）について議論してきましたし、たいへん有益なコメントも頂戴してまいりましたが、財務報告に係る内部統制における内部監査人の役割といった問題は、けっこうホットな話題になってきているのではないでしょうか。

旬刊経理情報１１５９号の特集記事「内部統制の評価はこうする」や、内部統制実務書の新刊である「内部統制の実務Ｑ＆Ａ（新日本監査法人　編）」（東洋経済新報社）における「内部統制の評価体制の検討事項」などを読みますと、「経営者による有効性評価」の実際の担い手は内部監査人であることが原則のようであります。私の理解では、経理財務部門の担当者が有効性評価をして、その評価内容をあらためて精査するのが内部監査人と認識していたのでありますが、（それも間違いではないようですが）原則的には内部監査人自身が経営者評価の主体とみるのが主流的見解のようですね。（ちなみに、以前ご紹介いたしました「ＣＯＳＯ簡易版ガイドライン」の和訳本によりますと、専任の内部監査人を選定できないような規模の小さな上場会社であれば、たとえば別のラインを担当している経理担当者どうしが、相互に普段業務プロセスに関与していないラインについて客観的に監査し合う、ということで独立性を担保する方法も紹介されております。）

しかしながら、上記のように内部監査人が内部統制テストを責任をもって実施する体制をとる場合、この内部監査人が適正に有効性を評価できるだけの能力を有していることは、いったい誰が評価するのでしょうか？もちろん実務的には内部監査人によるテストだけでなく、経理財務担当社員によるチームのテストや自己点検を利用したテストなどを組み合わせて実施することが一般的といった記述もありますが（上記「内部統制の実務Ｑ＆Ａ」）たとえそうであったとしても、内部監査人によるテストを実施する以上、同様の疑問は拭えません。「内部統制の重要な欠陥と人材流動化リスク」のところでも書きましたが、業務プロセス評価や決算財務プロセスの評価といったあたりはかなり専門的な財務会計的知見を要することは明白でありますから、その「知見」のところで内部統制監査人と意見が食い違ってしまうと「重要な欠陥リスク」を背負うことになりますよね。以前、内部統制システムの整備を担当されていらっしゃるhisaemonさんも頭を悩めておられましたが、このあたり、（誤解をおそれずに申し上げますと）内部統制監査を担当される監査人さん方は、指摘する気持ちはあるのでしょうかね？漏れ聞くところによりますと、アメリカのＳＯＸ法元年には１２％もの上場企業の内部統制が有効とは認められなかったそうで、そのうち大半は人材リスクに関するものであったと記憶しております。日本でも、もし重要な欠陥があると評価されるのであれば、そういった人材の能力不足を監査先企業に問うことは可能なのでしょうか？それともこのあたりは、アメリカとちがってダイレクトレポーティングが採用されていないことを理由に消極的にならざるをえないのでしょうか？そもそも先の「内部統制の実務Ｑ＆Ａ」にもありますが、内部監査人に求められる業務としては、コンサルティング業務から次第に保証業務に移りつつある、とのことですし、この流れは内部統制報告制度が実施されることとも整合性があろうかと思います。しかし「保証」するのが業務であるならば、やはり保証できるだけのレベルに達しているかどうかが非常に重要なわけでして、そのあたりを曖昧にしたままでは制度自体に破綻をきたすのではないでしょうか。また、このあたりが曖昧であるということは、結局のところ監査人が自信をもって重要な欠陥が疑われると述べることができるのは、自ら財務諸表上での虚偽表示が見つかった場合に「結果責任」を問える場合のみであって、これではなんのための内部統制報告制度なのかわからなくなってしまいますよね。（虚偽表示のリスクを開示するための制度であるにもかかわらず、虚偽表示が認められた場合に「重要な欠陥あり」・・・ではお粗末ですよね）

もうひとつ疑問なのが「自己点検」であります。実施基準によりますと、「日常の業務を執行する者、又は業務を執行する部署自身による内部統制の自己点検は、それのみでは独立的評価とは認められない」とのことであります。一方、一般的に見まして、内部監査人は会社法上の内部統制の基本方針におきましては、「損失の危険の管理に関する規程その他の体制」のなかで「内部監査部門がグループ各部門毎のリスク管理の状況を監査し、その結果を定期的に総務担当取締役もしくは取締役会に報告する」と定められております。内部統制報告制度も、純然たる「財務報告の信頼性を阻害するリスクの管理」であることは間違いないでしょうから、内部監査人の日常の業務は業務プロセスのなかにおいて「運用」状況の評価対象になるわけですよね。そうしますと、評価の基準日におきまして、そういった運用状況を内部監査人が評価することは実施基準が認めていない「自己点検」になってしまうんじゃないでしょうかね？

長々と書き連ねてしまいましたが、最近の内部統制報告実務に関する雑誌や書物を読んでおりまして、実際に内部統制コンサルティングに関与されていらっしゃる方々の経験に基づく指針が豊富に記載されるようになっておりまして、それはそれで内容がわかりやすくなってきたなぁ・・・と感じるのではありますが、経営者による評価の適法性を監督しなければならない「監査役」という立場から見た場合、どうも理屈のわからないところも顕在化してきたように思えますし、監査役が連携協調しなければならない内部監査人に何を期待すればいいのか・・・といったところが、もすこし理解しやすければありがたいと思っております。（ちなみに本文で引用させていただきました「内部統制の実務Ｑ＆Ａ」、ここまでいろんな議論がなされてきての一冊ですので、非常に読みやすく、参考になります。また、旬刊経理情報１１５９号の特集記事につきましても、このブログで盛り上がりましたサンプルのとり方を含む内部統制評価方法が、かなり詳しく解説されておりまして、こちらも必読かと思います。しかしどなたかがおっしゃっておられたように第１フェーズから第２、第３フェーズと進むにつれて、まだまだいろんな問題点が出てくるんじゃないでしょうかね）