内部統制Ｑ＆Ａにみる金融庁の考え方

（10月5日夕方　追記）

昨日よりたいへんなアクセス数となっておりますし、忍者アクセス分析でも、コメント欄をアクセスされている方が多いことが明らかでありますので（近接した時刻に同一の閲覧者が複数ページをアクセスされておられます）、このエントリーをトップに残しております。しかしやまたけさんがおっしゃるように、ホントこの「Ｑ＆Ａ」は大きな反響ですね。会計雑誌あたりでは、また11月号などで解説記事とか出るかもしれませんね。

（10月3日午後　追記）

いつも勉強させていただいております澤村八大先生（会計士）も、この10月1日から「現場復帰」ということだそうでありまして、今後のご活躍を祈念いたしております。（半年の間、主夫？をされておられたそうで、急に朝早く出勤されるようになった澤村先生をみて、ご子息が泣いてしまって困ってらっしゃる、とのこと。うーーん、たしかにそれはありますよね・・・。しかし、子供がそんなカワイイ時期はあっという間に過ぎ去っていきますよ。＞澤村先生）

さて、もうすでにあちこちのブログで話題になっております「内部統制報告制度に関するＱ＆Ａ」（金融庁総務企画局）でありますが、みなさんもう中身をお読みになられましたでしょうか？私もｇｒａｎｄｅさん　と同じ意見ですが、実務的にはけっこう重要ではないか（参考になるのではないか）と思います。ちなみに、私の場合、まず２０問の質問を読んで、約１時間かけて回答を考えてみて、それから金融庁の答えを読んでみましたところ、２０問中１８問が理由、回答ともほぼ正解でしたが、２問は不正解でありました。（私の不正解は問９と問１５です。）正解と申しましても、単に金融庁が正解と考えているところと合致していた・・・ということに過ぎず、内部統制報告制度の趣旨実現のための最良の回答かどうかはわからないですよね。それに、これらの質問のうちの４分の１くらいは、当ブログでもこれまで議論された問題ですよね。。（＾＾；

内部統制報告制度の運用についての金融庁の考え方（とりわけ経営者の有効性評価の方法に関するもの）について、このＱ＆Ａを読んでの私の感想は以下のとおりであります。

まず全体を通していえることは、金融庁の運用指針として①トップダウン方式のリスクアプローチが基本であること②経営者による恣意的運用を回避するための仕組み作りが重要であること③プロセスの有効性評価が複雑で、経営者も監査人も業務が煩雑となることを避けるために、統制環境やモニタリングへの信頼性評価で代替すること④内部統制報告制度が経営活動の支障になるような事態を絶対に正当化しないこと、この４つが有効性評価のための基本となるものと思います。なぜなら、不正会計防止、誤謬、虚偽表示リスクの低減、費用対効果といった本来の内部統制報告制度導入における基本的な制度趣旨からみて、具体的な問題に金融庁の理念を落とし込むためには、上記４つのいずれかの基準をすくなくとも一つ以上はクリアすることが必要だからであります。（なお、「有効性の評価」という用語を使っておりますが、これが適正な用語かどうかはわかりませんが、不備と認められない・・・といった程度にお考えいただければ結構かと思います）

このＱ＆Ａに沿って、もうすこし具体的に考えてみますと、たとえば上記②（経営者による恣意的運用を回避するための仕組み作りが重要）というのは、いろんな設問のなかに出てきます。「財務諸表監査における金額的重要性との関連をふまえつつ」（問２）、「必要に応じて監査人と協議しながら」（問１、２、４）、「サンプリングの手法を用いて」（問１０）、「前年度の運用および四半期決算業務を参考として」（問１１）、「モニタリングの一部を社外の専門家を利用して実施する」（問２０）などなど、いずれもいわゆる「内部統制の限界」をできるだけ狭めて、経営者による内部統制報告制度の恣意的運用の機会を限定的なものにしようとするための運用方針でありますので、これらは非常に重要だと思われます。自社の内部統制システムの整備運用にあたり、実施基準との適合性を検討する場合に迷いが生じるケースがあると思いますが、こういった「経営者恣意を排除しうるような『モノサシ』が用意されているかどうか」をきちんと理解しておく必要があると思われます。

また、③でありますが、経営者が適正にリスク評価をしているか、そのリスク回避のための有効な回避方法を選択しているかどうか、といったあたりは経営者も監査人も十分検討すべきところでありますが、その回避方法が正確に運用されているかどうか・・・といったあたりは、経営者はモニタリングシステム（内部監査人）を信頼することで代替することになりましょうし、また監査人は統制環境や、内部監査人の能力などへの信頼で代替することになろうかと思います。（このあたりが、思いのほか監査費用が増加するのを防止しながらも、経営トップから現場社員まで、統制活動が全社的に行き届いていることの全体的評価を重視することで、制度への信頼性を高める工夫がみられます）この②や③あたりの基本的な考え方は、今後の内部統制報告実務において、現場での担当者と監査人との意見の食い違い等が発生した場合の「共通言語」的なものとして活用されることを期待しております。

一般的な評価範囲の決定方法や、全社的内部統制の評価すべき事業拠点の選択、重要な欠陥の判断基準など、実施基準の例示と個々の企業の有する個別事情との乖離から生じる問題点に悩むケースもあろうかとは思われますが、このＱ＆Ａを読むことで、けっこうホッとされた担当者の方もいらっしゃるのではないでしょうか。ただ、重要だと思われるのは、評価範囲の決定方法にせよ、事業拠点の選択にせよ、その決定や選択が、個々の企業におけるリスク評価と、そのリスクへの対応方法の選択との間で、十分に合理性があることが前提となるわけでありまして、これはまさに社長を含んだ経営陣による全社的な（会計上の虚偽表示に関する）リスク評価と、そのリスクへの対応（つまり、統制上の要点の識別）が十分に説得的であることが条件だと思います。そこに経営者が関与していなければ、（企業のリスクを最も上手に洗い出すことができるのは社長さんだと思いますので）評価範囲の決定方法についても、事業拠点の選択についても、監査人による（経営者の）評価手続きへの検証において疑問符がついてしまうのではないでしょうか。

個別の設問をみておりますと、どれもコメントしたくてウズウズしてくるようなものばかりでありますが（最近当ブログで話題になっております「内部監査人の位置づけ」につきましても、問１９あたりで出てきますね）、最後の問２０などは結構、おもしろいですよね。「中小規模の企業」って、いったいどれくらいの規模の上場企業までを含むのでしょうかね？「事業規模が小規模で、比較的簡素な組織構造を有している企業」と実施基準にはありますが、この説明だけでは曖昧ですし、このあたりの基準も例示としてＱ＆Ａの中で示してほしかったと思います。このあたりは以前、紹介させていただいた「簡易版ＣＯＳＯガイドライン」などがとても参考になりますし、この設問の回答に近い内容の解説も書かれております。ともかく、経営者の目が会社の隅々まで行き届く程度の規模の場合には、管理部門の人数も少ないでしょうし、人材不足をどうやって補っていくべきか・・・ということが問題になろかと思われますが、部門間モニタリングや、モニタリング機能を外注することで補えるということですから、ずいぶんと一般に言われている内部統制システムの構築内容とは異にします。私が現在、支援業務を担当しているＩＰＯ企業などは、こういった内部統制システムの構築運用を導入しております。（中小規模の場合ですと、企業会計不正と、それ以外の業務上の不正を区別してシステムを作ることも困難でしょうから、たとえば会計不正についても、内部通報制度等によって、社外窓口を設けて、経営者不正をモニタリングする・・・ということも考えられます）ＩＰＯ企業の場合、最初のリスク評価と、その対応方法の検討のところから、社長さんをかならず引っ張り出してきて、役員会で決定しておりますので、その後の構築はかなりスムーズに進むことが多いですね。（ただし、経理や内部監査のできる人材不足、というのが最大の問題ではありますが・・・・）（ということで、つづく）

（追記）ｇｒａｎｄｅさんのブログで、個別設問に関するコメント等、新しくアップされていらっしゃいますので、参考にされてはいかがでしょうか。