近年、日本国内でも巨額の横領事件、人命に関わる不良製品の発生、食品表示の偽装、大量の個人情報漏洩、有価証券報告書の虚偽記載など、重大な企業不祥事が後を絶ちません。図表序-1にまとめられている通り、2011年には総合電機メーカーで不正アクセスによる7,700万件もの個人情報漏洩、電力会社でのやらせメール発覚、精密機器メーカーでの長年にわたる巨額の損失隠しが、2013年にはホテル・レストランでの食材偽装、銀行の暴力団への融資が相次いで発覚しました。

こうした不祥事は、株主・取引先・従業員・消費者といった多くのステークホルダーに被害を及ぼします。内部統制が機能していない会社、すなわちずさんな管理を行っている会社は、投資家から見放されて株価が下落し、買収のターゲットとなったり、優秀な人材が集まらずむしろ人材流出の危機にさらされたりします。適切な内部統制を構築することは、このような不安要素を払拭し、企業が厳しい経済競争を勝ち抜いて生き残る(安定的な企業活動を継続していく)ための不可欠な要素なのです。

この流れを受けて、2005年(平成17年)6月に成立した会社法では、すべての大会社において内部統制の基本方針を決定し、開示することが要求されることになりました。つまり、経営者の内部統制の構築に関する法的責任が明文化されたのです。万が一不祥事が発生したとき、内部統制の構築状況そのものが厳しく問われることになります。

「内部統制を構築すると管理部門の人員が増えてコストがかかる」「内部統制を構築すると営業現場でのスピードが落ちる」といった、内部統制に対するネガティブな意見をよく耳にします。たしかに、そのような意見は現状の業務に対する悪影響という視点を欠いているわけではありません。しかし、内部統制を構築しないわけにはいかないのも事実です。個人情報を流出させないための仕組み(すなわち内部統制)を構築するためには、少なくとも数十億円が必要だったといわれる企業もあります。

図表序-2は、この「損得勘定」のイメージを天秤で表したものです。片方の皿には内部統制を構築した場合にかかるコストの例(管理部門の人員増、システム投資、現場での承認手続にともなう間接コスト=スピードの低下など)、もう片方の皿には内部統制を構築しない場合にかかるコスト・リスクの例(不祥事による損害、不祥事対応=マスコミ対応等にかかる間接コスト、不祥事発生によるイメージダウンなど)が置かれ、両者を比較してバランスをとる構造になっています。

本書では、内部統制の構築にあたり、コストとリスクのバランスを考慮し、最大の効果を得ることを重視します。適切な内部統制が構築されていることは、企業イメージやブランド価値の向上につながり、さらに会社法で要求される義務を果たすことにもなります。内部統制の構築がもたらしてくれる最大の効果は、直接的な利益ではなく、「今年も何も(不祥事が)起こらず安定した経営ができた」ということなのかもしれません。

「内部統制」という言葉は、近年目にする機会が増えたため、新しく作られた概念やシステムのように勘違いされがちです。しかし、内部統制の原型といえるものは、実は昔から世の中に存在していたものなのです。

内部統制の原型は、現金や支払に関する管理、いわゆる「現金・支払に関する管理の仕組み」だといえます。現金や支払の不正には、たとえば従業員による横領といった典型的な方法があります。不正を防ぐ現金管理の方法として、支払の請求と支払の実行を別の人間が行う体制が考えられます。しかし、業務上のミスや不正は、それだけで完全になくなるわけではありません。人間が業務を行う以上、請求金額以上の支払をしてしまうミスも発生します。このようなミスを防ぐ典型的な方法として、支払金額を二人でチェックする「ダブルチェック」という方法が考えられてきました。

図表序-3が示す通り、内部統制の原型は「業務管理上のミスの発生」「従業員による不正の発生」という課題に対応するために生まれた「現金や支払などの管理手続」でした。そこから、組織の大規模化、取引形態の変化、グローバル化、情報システムの発展、雇用環境の変化といったビジネス環境の変化を受けて、内部統制は管理手続そのものを発展させてきたのです。たとえば、現金決済が減り信用取引が広がると取引形態が変化し、海外取引への対応も必要になります。取引に関わる従業員の数が増えれば、ミスや不正が発生する可能性も高まります。このようなビジネス環境の変化にともない、内部統制は今後も形を変えて発展していくでしょう。

内部統制は、二つに分解して理解すると全体像をつかみやすくなります。一つは「インフラにあたる部分(全社的な内部統制)」、もう一つは「管理手続にあたる部分(業務プロセスに係る内部統制)」です。図表序-4が示す通り、内部統制はこの二つに分解でき、両者が有機的に機能することではじめて効果を発揮します。

パソコンにたとえるなら、インフラはウィンドウズなどのOSであり、管理手続はそのOSの上で動くアプリケーションにあたります。インフラにあたる部分の具体例としては、企業文化、組織構造、人的資源などがあげられます。一方、管理手続にあたる部分の具体例としては、現金の管理、在庫の管理、債権の管理といった、日常業務における具体的な管理手続があげられます。

OSが不安定であれば、いくら優れたアプリケーションを入れても正常に機能しないのと同様に、企業文化や組織構造といったインフラが整っていなければ、どれほど精緻な管理手続(ルール)を定めても、現場では機能しません。たとえば、「ルールは破るためにあるんだ」という空気が組織に根付いていれば、経費精算や在庫管理のルールを整備しても、実際には守られない状態になりがちです。逆に、管理手続だけを整備しても、その土台となる企業文化や組織構造が伴っていなければ、内部統制は形だけのものに終わってしまいます。だからこそ、インフラと管理手続の双方をあわせて、総合的に機能させることが必要なのです。

図表序-5は、あなたの所属する会社又は組織の内部統制のインフラをチェックするためのチェックリストです。全10項目のうち、該当する項目が多いほど、インフラの状態は「悪い」と考えられます。このチェックリストだけで内部統制のインフラをすべて理解できるわけではありませんが、内部統制の基本的な枠組みを、身近な項目を通じてイメージすることができます。詳細は第1章「内部統制の基本的枠組み」を参照してください。

チェック項目の一つに「社長の口から倫理的価値観とかコンプライアンスについての話が出たことは記憶にない」があります。社長の口から倫理的価値観やコンプライアンスについての話が出たことがあるかどうかは、内部統制との関係で非常に重要な着眼点です。トップマネジメントのメッセージが「利益が最優先だ」というものであれば、どうしても現場の管理は手薄になりがちです。逆に、倫理観が高いといわれる企業では、トップマネジメントが明確なメッセージを発信しているものです。

また、「どこにどんな書類や規程があるかわからないことが多い、又は探すのにすごく苦労する」という項目もあります。内部統制の一つの側面に「規程というルールを遵守する」ことがありますが、規程がどこにあるかすぐに見つからないようでは、ルールを守ることも、遵守状況を確認することもできません。筆者の経験では、日本企業で意外に多く見られる状況で、過去に作られた規程が社内のあちこちに散らばったまま整理されていないケースも少なくありません。

図表序-6は、あなたの所属する会社又は組織の内部統制の管理手続をチェックするためのチェックリストです。全10項目のうち、該当する項目が多いほど、管理手続の状態は「悪い」と考えられます。管理手続の具体例については、第2章「日常業務に見る内部統制」であらためて詳しく紹介されます。

チェック項目の一つ「現金が保管されている金庫の暗証番号は、管理部門の全員が知っている」を見てみましょう。現金を金庫に保管することは泥棒対策という意味合いもありますが、管理部門の全員が暗証番号を知っている状態では、従業員の不正を未然に防ぐことにもなりません。暗証番号を知る人数を絞ることは、不正防止の手段として意味を持ちます。しかし、金庫の暗証番号を知っているだけで精算できるわけではなく、従業員が私用で使ったものまで精算をしてしまう「交際費の私的流用」も起こり得ます。これを防ぐには、交際費の精算をする場合に領収書だけでなく交際費の内容報告を求める、あるいは上司の事前承認を求めるといった方法が考えられます。

もう一つ、「商品を販売した会社が突然倒産することが多い」という項目もあります。いわゆる「貸し倒れ」です。貸し倒れの発生をゼロとすることは不可能で、突発的な事故などで取引先の業績が急に悪化して倒産した場合には不可避的な面もあります。しかし、取引前の事前調査をしっかりと行う「与信管理」についてこの項目に該当する場合には、いま一度、会社の与信管理の仕組みを見直してみる必要があります。

「内部統制のすべてがわかるプロフェッショナル」という人は世の中にいるのでしょうか。答えはNOです。経営者が構築しなければならない内部統制は非常に広範なため、すべての領域の専門的な知識や経験をもった人はいません。

しかし、「財務報告に係る内部統制」や「内部監査」など、内部統制の特定の領域のプロフェッショナルは存在します。ここでは、内部統制のプロフェッショナルといわれる資格をいくつか紹介します。

• 公認会計士(CPA)……会計の専門家であるとともに「財務報告に係る内部統制」の専門家でもあります。公認会計士法によって認められた国家資格です。
• 公認内部監査人(CIA)……内部監査の専門家です。米国に本部を置く内部監査人協会(IIA)が授与する資格であり、能力認定試験に合格し実務経験など所定の要件を満たすことが必要です。
• 公認情報システム監査人(CISA)……情報システム監査、情報セキュリティ、情報システムに係るIT内部統制の専門家です。情報システムコントロール協会(ISACA)が授与する資格であり、能力認定試験に合格し実務経験などの所定の要件を満たすことが必要です。
• 公認不正検査士(CFE)……不正の防止、発見、抑止の専門家です。米国の公認不正検査士協会(ACFE)が授与する資格であり、能力認定試験に合格し実務経験など所定の要件を満たすことが必要です。