インダイレクト・レポーティングを採用するＪ－ＳＯＸ上の悩ましい課題

最近、何名かの方に同じ質問を受けたのでありますが、金融商品取引法上の内部統制報告制度（いわゆるＪ－ＳＯＸ）がインダイレクト・レポーティングを採用しているがゆえに、運用テストにあたっていろいろな問題にぶつかっている担当者の方もいらっしゃるようであります。私自身も一緒に考えておりますが、明解な答えはまだみつかっておりません。

経営者は一般に公正妥当と認められる経営者評価の基準にしたがって、自社の財務報告に関する内部統制の有効性を評価し、これを報告するわけでありますが、内部統制監査人（いわゆる監査法人）はこの報告内容が適正であるかどうか、一般に公正妥当と認められる内部統制監査の基準にしたがって監査をすることになります。そして、外部監査人が経営者評価報告を適正と表明するかどうかは、原則として経営者自身による評価根拠と、評価の過程を斟酌して判断するものであり、みずから評価根拠を入手ものではないとされております。（インダイレクト・レポーティング）しかしながら、実際のところ、全社的内部統制の有効性にせよ、業務プロセス、決算財務報告プロセスにせよ、経営者が直接評価することもできないわけで、そこで実際には内部監査人や経理部等の評価自体が経営者評価の根拠となるわけであります。外部監査人（監査法人）による監査にしても、ダイレクトレポーティングが採用されていないわけですから、評価根拠としては、内部監査人による評価や監査役による評価に依拠する場面も多くなるものと思料いたします。

さて、そうなりますと、内部統制報告制度にとりましては、期中における監査法人、監査役、内部監査人等の連携協調は非常に重要な役割を担うことになりますが、社内におけるモニタリング機能をどこまで及ぼすべきか、という現実の問題が生じることになりそうであります。たとえば、人事部の人事評価に関する記録は内部監査人（経営者直結）が閲覧しなければならないのか、監査役による取締役会や取締役の評価調書（監査役会議事録等）は内部監査人に閲覧させなければならないのか、内部通報制度の具体的な事件記録は閲覧の対象となるのか、コンプライアンス委員会やリスクマネジメント委員会のように社外委員が多数含まれている議事録の内容も閲覧の対象になるのか等、様々な場面が想定されます。これらにつきまして、たとえば高度の守秘義務を負う監査法人さんにおいて、直接閲覧することであれば（つまりダイレクトレポーティング）、それほど大きな問題は生じないものと思いますが、社内の内部監査室や監査役が閲覧して、全社的内部統制の有効性評価の参考とするのであれば、おそらく社内で抵抗される方々もいらっしゃるのではないでしょうか。たしかに、実施基準によりますと、Ⅰ内部統制の基本的枠組み４の（４）におきまして「内部監査人がその業務を遂行するには、内部監査の対象となる組織内の他の部署からの制約を受けることなく、客観性を維持できる状況になければならない」とされておりまして、いかなる内部文書も（内部監査人の独立的な立場上）自由に閲覧できるような状況が期待されているのかもしれませんが、現実問題としましては、内部監査人は経営者直轄の組織に属することからみて、各部署における意思形成過程に萎縮的効果を与えてしまう恐れがあるのも事実であります。（そもそも、財務諸表監査に伴う内部統制監査として、監査法人さんが評価対象とする範囲ものであれば、ダイレクトレポーティングの対象と考えることもできそうでありますが、さきほど挙げた問題点は、そういった対象となるものでもありませんので、新たに施行される内部統制報告制度における評価項目のみに関連するものだと思われます。）たとえば、以下に掲げるような評価項目は、内部監査人（といいますか、評価する人）が、その評価にあたって、各部署の保存記録等を閲覧すべきではないか、と思われる根拠となる項目であります。（ご参考まで）

（参考１）財務報告に係る全社的な内部統制に関する評価項目の例

（統制環境）

・経営者は、問題があっても指摘しにくい等の組織構造や慣行があると認められる事実が存在する場合に、適切な改善を図っているか

・経営者は、信頼性のある財務報告の作成を支えるのに必要な能力を識別し、所要の能力を有する人材を確保・配置しているか

（情報と伝達）

・内部通報の仕組みなど、通常の報告経路から独立した伝達経路が利用できるように設定されているか

たしかに、全社的内部統制に関する４２の評価項目は、重要な判断指針ではありますが、すべての上場企業でチェックリストのように利用する必要はなく、むしろ各企業においてどの項目を重視してチェックすべきか、合理的な説明がつくのであれば、項目に軽重をつけてもいいと思いますし、省略できる評価項目もあってかまわないのではないでしょうか。全社的内部統制の有効性評価のための４２項目の活用につきましても「メリハリ」の問題でありまして、重大なリスクが存在する可能性があれば文書の閲覧も必要でしょうし、そうでなければ、委員会メンバーや監査役等へのヒアリングだけでもチェック可能ではないかと考えております。人事評価調書にせよ、内部通報処理報告書にせよ、文書化（記録および保存）することは当然だと思われますが、その内容まで精査しなければ全社的内部統制の有効性が評価しえないような場合以外にまで、内容の検討が必要性はないものと考えております。また、内容検討の必要性がある場合でも、たとえば評価を外部に委託したり、コンプライアンス委員会に評価を委ねるなど、代替手段も考えられるのではないかと思います。

ただ、リスクマネジメント委員会やコンプライアンス委員会の議事録等につきましては、全社的内部統制の有効性を評価する根拠という理由以外にも、業務プロセスの評価範囲を決定したり、評価方法の簡素化を検討するための根拠理由が示される場合もありそうですし、また財務報告に係る内部統制システムの改善をはかるためのヒントも記載されている可能性もありますので、すくなくとも内部監査人は閲覧のうえ内容を精査する必要性があるかもしれません。以上、いろいろと検討してきましたが、まだこのあたりは私も検討中のところでありまして、また有益なご意見ございましたら、よろしくお願いいたします。