日本版SOX法と内部統制

日本版SOX法（金融商品取引法）への対応が注目を集めています。2008年4月以降の決算期より、上場企業とそのグループ会社の経営者は、内部統制の外部監査結果に基づき、内部統制報告書の開示を義務付けられることになります。（図表1）

この法律は、金融商品の取引における投資家保護を目的に、米国のSOX法をモデルに制定されたものです。

1990年代末から2000年台初頭にかけて、米国では、エンロン事件やワールドコム事件など、会計粉飾決算が相次ぎ、投資家は大きなダメージを受けました。そこで、財務情報の正当性と内部統制の有効性について、経営者自身（CEOとCFO）に評価させ、宣言させる仕組みをとりました。自己責任を常とする米国らしい法制度といえます。

日本においても同様に、投資家保護制度の強化の一環から、日本版SOX法として、金融商品取引法の成立・公布に至っています。現在、日本で内部統制再構築の機運が高まっているのは、この金融商品取引法の存在が大きいといえます。

内部統制におけるITの役割

金融商品取引法における内部統制とは、「財務計算に関する書類の適正性の確保」と「適正性を確保するために必要な内部統制の構築・運用」を意味します。すなわち、財務開示情報に不正や誤謬がないことを確認し、そのために必要な制度・体制を継続して運用する、ということです。

財務情報の正当性を確保するには、財務会計業務のみを検証すればよい、ということにはなりません。なぜなら会計情報の大半は、受注や購買などの外部との取引行為や、在庫や固定資産などの経営資産の定量的価値評価に起因しているためです。このため、受注業務、購買業務、在庫管理業務など、企業のほとんどの業務の正当性を検証しなくては、最終的な財務情報の正当性を担保したことにはなりません。

現在の企業の業務プロセスは、ITによる支援を受けていることがほとんどです。このため、内部統制とIT統制とは不可分の関係があります。内部統制を実施するための仕掛けのほとんどが、情報システムに組み込まれていくといっても過言ではなく、金融商品取引法の対象となる上場企業においては、「業務プロセスに係る内部統制」において、情報システムとの連携で、どの様に効率的に統制を施すかが焦点となっています。

業務プロセス内部統制とシステム要件

情報システムへの内部統制実施要件にはどの様なものがあるのでしょうか。大きくは、

などとなります。

具体的なリスクと対応がイメージしやすいように、業務毎に見てみましょう。

購買業務や買掛管理においては、カラ発注、発注数量水増し、発注単価の変更、などが重要リスクとなります。原材料などの発注担当者と承認者が同一とならないよう、IT側で権限設定の機能が求められます。発注数量や発注単価についても、変更に対して何の保護も行わなければ、不正の温床となる恐れがあり、IT側で数量や金額の上限チェック機能や、マスタに登録されていない取引先への発注を厳密に抑制する機能が必要となります。

販売業務や売掛管理では、受注・売上金額の粉飾や誤計上、貸し倒れ発生などの防止が焦点となります。販売システムへの受注入力の際、例えば自動的に注文請け書をFax送信する機能や、顧客マスタと自動連動して与信額以上の受注を受け付けなくすることで、状況はかなり緩和されます。

旅費などの経費処理も不透明となりがちです。カラ出張や手当の水増し、不明朗な接待費などが代表的な問題です。情報システムによる旅費精算システムの構築により、出張内容と旅費申請とがリンクされ、不透明な申請の抑止が可能となると同時に、決裁業務効率も大幅に向上します。

次ページでは、中小企業として内部統制にどのように取り組むべきか具体的に解説いたします。