[コラム] 日本版SOX法「実施基準公開草案」の公表と経営者に求められる対応

出展:みずほ情報総研ホームページ（http://www.mizuho-ir.co.jp/）「コラム／みずほ情報総研（株）　コンサルティング部　佐久間敦　２００６年１２月１９日付」より

　本年6月に金融商品取引法が成立し、財務報告に係る内部統制の評価制度が導入されることになった。いわゆる「日本版SOX法」と呼ばれる法律であるが、条文には内部統制整備の詳しい実務の内容は示されておらず、企業が取り組むべき実際の作業についての指針の公表が待たれていた。

　11月下旬に、当初想定されていた予定より大分遅れて、「財務報告に係る内部統制の評価及び監査に関する実施基準」の公開草案が金融庁のホームページで公表された（http://www.fsa.go.jp/news/18/singi/20061121-2.html）。国内の公開企業は、法の適用開始に向けて準備を進めることが求められている。

　ここでは、法の要求する内部統制整備に向けて、経営者は何を行わなければならないか、という視点から、実施基準公開草案の概要について触れてみたい。

　実施基準公開草案は、次の3つのパートから構成されている。
I. 内部統制の基本的枠組み：内部統制の定義、目的、基本要素等
II. 財務報告に係る内部統制の評価及び報告：経営者による自社の内部統制の整備・運用状況の評価の方法
III. 財務報告に係る内部統制の監査：監査人による内部統制の整備状況の監査の際に利用する基準

　経営者は、Ｉ章の内部統制の目的と要素を理解したうえで、II章に示された方法に沿って評価を行い、その結果を「内部統制報告書」として財務諸表とともに公開することになる。一方監査人は、この経営者の評価に対して、III章の基準に準拠して監査（＝内部統制監査）を行い、内部統制監査報告書として意見表明を行う。

　公開草案では、経営者が自らの責任として行うべき財務報告に係る内部統制整備の要点として、以下のような項目を示している。

・全社的な方針や手続の整備と運用
・財務報告の重要な事項に虚偽記載が発生するリスクへの適切な評価及び対応
・リスクを低減するための体制（権限や職責の分担、職務分掌の明確化等）
・情報伝達とモニタリングの体制
・ITに対する適切な対応（IT環境の適切な理解とITの有効かつ効率的な利用／ITに係る全般統制及び業務処理統制の整備）

　上記の内部統制を整備するためのプロセスとして、「(1) 基本的計画及び方針の決定」、「(2) 内部統制の整備状況の把握」、「(3) 把握された不備への対応及び是正」という3つのステップが示されている。

　最初に重要となるのが、財務報告に関する内部統制の評価対象を企業内のどの範囲とするか、そのスコープを定めることである。公開草案では、ひとつの目安として、連結ベースで売上高の3分の2をカバーする本社、事業所、子会社を対象に含めることが示されている。ただし、業種や業態の特質を踏まえた評価範囲を設定する必要があり、最終的にどの範囲とするかは、監査人との調整で決まると考えられる。

　経営者が行う内部統制の評価には、次の2つの種類がある。
1. 全社的な内部統制の評価：企業全体に広く影響を及ぼす内部統制
2. 業務プロセスに係る内部統制の評価：企業の業務プロセスにおける内部統制

　「1. 全社的な内部統制の評価」は、企業の風土や経営者の姿勢、リスクに対する基本的方針、組織体制など、企業の内部統制の基盤をなすものである。「2. 業務プロセスに係る内部統制の評価」においては、評価対象となる業務プロセスを洗い出し、そのプロセスにおいて、不正または誤びゅうにより財務報告の虚偽記載が発生するリスクと、そのリスクを低減するための統制（コントロール）を識別する。業務プロセスがITに依存している部分についても、評価の対象となる。

　経営者は、(1) リスクに対する統制が有効に設計されているか、(2) 設計された統制が有効に機能しているか、という2つの段階で評価を行う必要がある。そのために、内部統制整備状況に関する文書を整備し、評価の手段とすることが求められる。この文書化の作業は、企業内の多くの業務と部署が関係するため、多大な労力を要することが多い。公開草案では、内部統制の文書イメージ（業務の流れ図、業務記述書、リスクと統制の対応）が示されているので、参考にするとよいだろう。

　ただし、文書化は評価のための手段であって、目的ではないことを十分に理解する必要がある。最終的に経営者は、自社の内部統制の状況を評価し、公表しなければならない。文書化にあたっては、評価を前提に必要かつ十分な記述がなされることが不可欠であり、記述レベルに対象業務プロセスの間でバラつきがあるのは望ましくない。現実的な対応としては、一部の業務プロセスにおいて試行的に文書化を行い、ノウハウを蓄積した上で、全社に展開するなどの方策も必要になるだろう。

　公開草案は、12月20日までパブリックコメントにかけられ、1月中には確定版が公表される見通しである。多くの企業で法の適用が開始される2008年4月まで、1年余りの準備期間で対応を終える必要がある。各企業は、実施基準の内容を検討し、早急に体制を整備し、実務に着手することが求められている。

[コラム] 日本版SOX法「実施基準公開草案」の公表と経営者に求められる対応

関連記事

コラム最新記事