内部統制

葛城涼子

内部統制は、
「業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセス」
とされています。

葛城涼子

今のは正式な定義ですからね。

葛城涼子

全部を一字一句暗記する必要はありませんが、覚えておきたい定義です。
まずは、内部統制には4つの目的があることを覚えましょう。

葛城涼子

「業務の有効性及び効率性」「報告の信頼性」「事業活動に関わる法令等の遵守」「資産の保全」の4つです。

葛城涼子

一つずつ確認すれば大丈夫ですよ。
まず、「業務の有効性及び効率性」です。

葛城涼子

簡単に考えると、有効性は、業務が目的の達成につながっていること。
効率性は、無駄なく効率的に業務を進めることです。
たとえば、業務システムへデータを入力するときに入力ミスが多ければ、正しい処理ができませんよね。

葛城涼子

そうです。
そこで、入力内容を確認する手順を設けたり、システムで入力チェックを行ったりして、ミスを防ぐようにします。
また、同じ作業を何度も行うような無駄があれば、それを改善して効率を高めることも大切です。

葛城涼子

その理解で大丈夫です。

葛城涼子

次が、「報告の信頼性」です。

葛城涼子

そうですね。
ここではまず、企業が行う財務報告をイメージしてください。
財務報告は、分かりやすく言うと、会社の売上や利益など、財務に関する情報を報告するものです。
この財務報告は、投資家が企業へ投資するか判断するときに使われる重要な情報ですし、税金を申告・納税するときの計算の基礎にもなります。
たとえば、税金を少なくするために売上をごまかしたり、会社の業績を良く見せるために数字を改ざんしたりすれば、財務報告の信頼性が損なわれます。

葛城涼子

はい。そのとおりです。
そのため、不正やミスを防いで、報告の信頼性を確保する必要があります。

葛城涼子

どういう報告をイメージしていましたか？

葛城涼子

香苗先生は怖いですもんね。
バロンくんがイメージしたような報告も、「報告」に含まれるので、イメージした内容は間違っていませんよ。
すごくリアルな例で驚きましたが。

葛城涼子

実は、この「報告の信頼性」については、以前は「財務報告の信頼性」という表現が使われていました。

葛城涼子

はい。
内部統制の基本的な枠組みを定めている基準があるのですが、その基準が2023年に改訂されて、財務報告だけでなく、非財務情報や組織内部への報告なども含む、より広い考え方になりました。

葛城涼子

3つ目は「事業活動に関わる法令等の遵守」です。

葛城涼子

はい。これはそのまま覚えて大丈夫です。
企業が事業を行う上で、法律やその他のルールを守ることです。

葛城涼子

はい。
資産の保全は、会社が持っている資産を、不正やミスなどによって失わないようにすることです。

葛城涼子

そうですね。
会社のお金を勝手に持ち出したり、商品を盗んだりするような行為が考えられます。
ほかにも、ミスによって会社の資産を失ったり、必要のないものを購入して資産を無駄にしたりすることも考えられます。

葛城涼子

そのとおりです。

葛城涼子

ここまで4つの目的を見てきましたが、内部統制がうまく機能せず、不正や法令違反などが起きると、別の問題にもつながります。

葛城涼子

企業の信用や評判が悪くなることです。
企業の評判や信用が低下することで損失を受けるリスクを「レピュテーションリスク」といいます。

葛城涼子

そうですね。
顧客が離れたり、取引先から信用されなくなったりすることもあります。

葛城涼子

そのとおりです。
一度失った信用を取り戻すのは簡単ではありません。
内部統制を適切に行うことは、こうしたレピュテーションリスクを抑えることにもつながります。

葛城涼子

次に、先ほどの定義にあった「業務に組み込まれる」という部分を確認しましょう。

葛城涼子

たとえば、社員が会社のお金で高額な商品を購入するとします。
このとき、自分の判断だけで自由に購入できるようにするのではなく、上司の承認を受けてから購入するという手続きを決めておきます。

葛城涼子

この例であれば、上司の承認がなければ、経理部門がお金を支払わないという仕組みにしておくことができます。
そうすれば、承認を受けずに会社のお金で高額な商品を購入することはできません。

葛城涼子

そのとおりです。
内部統制は、「ミスや不正をしないでください」と呼びかけるだけではありません。
確認や承認などの手続きを普段の業務に組み込み、ミスや不正が起きにくくなるようにします。

葛城涼子

そして、内部統制は特定の担当者だけが行うものではありません。
経営者から一般の従業員まで、組織内の全ての者が関わります。

葛城涼子

そういうことです。

葛城涼子

内部統制の整備及び運用について、最終的な責任を負うのは経営者です。

葛城涼子

はい。その点も覚えておきましょう。

葛城涼子

もう一つ、定義にあった「合理的な保証」という言葉も重要です。

葛城涼子

はい。そこがポイントです。
どれだけ内部統制を整えても、人が行う以上、判断を間違えたり、手続きを間違えたりすることはあります。

葛城涼子

何があっても確実に、絶対に大丈夫と保証することはできません。
目的を達成できないリスクを十分に低く抑えることができれば、100％ではなくても、理にかなった保証だと考えることができます。
これを「合理的な保証」といいます。

葛城涼子

その理解で大丈夫です。
それと合わせて覚えておきたいのが、「内部統制の限界」です。

葛城涼子

たとえば、一人ではできない不正でも、複数の人が相談して一緒に不正を行えば、内部統制をすり抜けてしまう場合があります。

葛城涼子

そういうことです。
ほかにも、人の判断ミスや、経営者自身が決められた統制を無視することなどによって、内部統制が有効に機能しない場合があります。

葛城涼子

はい。そこまで理解できれば十分です。

葛城涼子

先ほど、「ITへの対応」が内部統制の基本的要素の一つだと説明しましたね。

葛城涼子

はい。
企業では多くの業務にITが使われていますから、ITを利用した業務や情報システムについても、適切に統制する必要があります。
このような、ITに関係する内部統制を「IT統制」といいます。

葛城涼子

大まかには、その理解で大丈夫です。
試験対策としては、IT統制の中でも「ITに係る全般統制」と「ITに係る業務処理統制」の違いを押さえておきましょう。

葛城涼子

まず、「ITに係る全般統制」は、情報システムを適切に利用できるように、IT全体を管理するための統制です。

葛城涼子

たとえば、システムを利用できる人を適切に管理したり、システムの開発や変更を勝手に行えないようにしたり、システムを適切に運用したりすることですね。

葛城涼子

その理解で大丈夫です。
一方、「ITに係る業務処理統制」は、ITを使って行う個々の業務処理が、正確に行われるようにするための統制です。

葛城涼子

そうですね。
たとえば、数字を入力する欄に文字を入力できないようにしたり、入力された金額が一定の範囲を超えていたら警告を表示したりする仕組みが考えられます。

葛城涼子

はい。
ほかにも、処理された件数や金額が正しいか確認する仕組みなどがあります。

葛城涼子

その整理で覚えてください。

葛城涼子

それでは、今日の内容をまとめましょう。

葛城涼子

内部統制は、組織の一部だけが行う監視ではありません。
ミスや不正などを防ぐための仕組みを普段の業務に組み込み、組織内の全ての人で取り組んでいくものです。

葛城涼子

はい。
そして、不正や法令違反などによって企業の評判や信用が低下すると、レピュテーションリスクにもつながります。

葛城涼子

そのとおりです。

葛城涼子

はい。そこも重要です。

葛城涼子

はい。
人の判断ミスや複数人による共謀などによって、内部統制が機能しない場合もあります。

葛城涼子

統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応ですね。

葛城涼子

よく覚えていますね。

葛城涼子

その整理で大丈夫です。

葛城涼子

試験対策としては、まずそのイメージを持った上で、4つの目的と6つの基本的要素をしっかり覚えておきましょう。