ニュースで、社員がお金を横領していたって話を見ました。どうして誰も気づかないんでしょう？
多くの場合、1人で全部できてしまう仕組みになっていたのが原因なんだ。そういう不正やミスを防ぐために、組織の中に作るルールやチェックの仕組みを 内部統制 というよ。
内部統制とは ― お店のレジ締めで考える
内部統制とは、組織が健全かつ効率的に運営されるように、組織の内部に設けるルール・仕組み・チェック体制のことです。
コンビニの閉店後のレジ締めを考えてみましょう。
- レジの現金を数える人と、売上の記録を確認する人を別にする
- 金額が合わなければ、店長に報告して承認をもらう
- 金庫の鍵は決められた人だけが持つ
- 本部が定期的にチェックに来る
こうしておけば、1人の店員がこっそりお金を抜いても、すぐに気づけます。これが内部統制の考え方です。
4つの目的と6つの基本的要素
日本の内部統制の基準（金融庁が定めたもの）では、内部統制には 4つの目的 があり、それを達成するための 6つの基本的要素 があるとされています。
| 基本的要素 | 内容 | レジ締めなら |
|---|---|---|
| 統制環境 | 組織の気風や、経営者の誠実さ・姿勢。ほかの要素の土台 | 店長が「ルールを守る」姿勢を示す |
| リスクの評価と対応 | 目的の達成を妨げるリスクを見つけ、評価し、対応を決める | 「現金の抜き取り」が起きうると想定する |
| 統制活動 | 承認・確認・職務分掌など、ミスや不正を防ぐ具体的なルール | 数える人と確認する人を分ける |
| 情報と伝達 | 必要な情報を、必要な人に正しく伝える | 差額が出たら店長に報告する |
| モニタリング | 内部統制がうまく機能しているかを継続的に監視・評価する | 本部が定期的にチェックする |
| ITへの対応 | 業務に使うITを適切に利用し、ITそのものも統制する | POSレジの操作権限を設定する |
4つの目的は「ギョウ・ホウ・ホウ・シ」で覚えましょう。 業務の有効性・効率性、報告の信頼性、法令等の遵守、資産の保全。
2023年の基準の改訂で、目的の一つが「財務報告の信頼性」から「報告の信頼性」に変わりました。古い参考書では「財務報告の信頼性」と書かれていることがあります。
職務分掌 ― 1人に全部させない
試験で特によく出るのが 職務分掌（しょくむぶんしょう）です。1つの業務を複数の担当者に分け、権限と責任を分離することで、不正やミスを防ぎます。
- 支払を承認する人と、実際に振込をする人を分ける
- システムを開発する人と、本番環境で運用する人を分ける
- 発注する人と、納品物を検収（確認）する人を分ける
2人いれば、お互いがチェック役になるんですね。
そう。人を疑うための仕組みというより、うっかりミスにも気づけて、社員を不正の疑いから守る仕組みでもあるんだよ。
ITへの対応とJ-SOX
いまの業務はほとんどITで処理されているので、内部統制にも ITへの対応 が欠かせません。
| 種類 | 内容 | 例 |
|---|---|---|
| IT全般統制 | 複数のシステムに共通する、ITの基盤部分の統制 | システム開発・変更の手続き、アクセス権限の管理、運用ルール |
| IT業務処理統制 | 個々の業務システムの中に組み込まれた統制 | 入力値のチェック、承認されていない取引をはじく機能 |
J-SOX（内部統制報告制度）は、金融商品取引法にもとづく制度で、上場企業に対して財務報告に関する内部統制の整備を求めるものです。経営者が内部統制の有効性を評価して内部統制報告書を作成・提出し、その報告書を監査法人（公認会計士）が監査します。
ITガバナンス ― 経営陣がITの舵を取る
ガバナンスは「統治」という意味です。ITガバナンスとは、経営陣が主体となって、IT戦略の策定と実行をコントロールし、組織をあるべき方向へ導く取組みのことです。
ITを情報システム部門だけに任せきりにすると、「高いお金をかけたのに業務の役に立たない」「経営の方針とずれている」といった問題が起きます。そこで、経営の視点でITを統治することが求められます。
ITガバナンスの国際規格をもとにした JIS Q 38500 では、経営陣の役割を 評価（Evaluate）・指示（Direct）・モニタ（Monitor） の3つで表しています。
船にたとえると、ITガバナンスは船長が行き先を決めて舵を取ること、実際にエンジンを動かしたり帆を張ったりするのが各部門の仕事（ITマネジメント）です。船長がよそ見をしていると、船員がどれだけ頑張っても目的地に着きません。
似た用語との比較
| 用語 | ひとことで | 主役 |
|---|---|---|
| 内部統制 | 不正やミスを防ぎ、組織を健全に運営するための社内の仕組み | 経営者（と組織の全員） |
| ITガバナンス | ITを経営の方向に沿って統治する取組み | 経営陣 |
| コーポレートガバナンス | 株主などの利害関係者の立場から、経営者を監視・規律づける仕組み（企業統治） | 取締役会・株主など |
| コンプライアンス | 法令や社会のルール・倫理を守ること（法令遵守） | 組織の全員 |
| システム監査 | 独立した監査人が情報システムを点検・評価し、改善を勧告する | システム監査人 |
内部統制のうち「継続的に機能しているかを監視・評価する」要素はモニタリングです。統制活動（具体的なルールそのもの）と混同しないようにしましょう。
- 内部統制 ＝ 組織を健全・効率的に運営するための、社内のルール・仕組み・チェック体制。整備・運用の責任は経営者
- 4つの目的：業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全
- 6つの基本的要素：統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応
- 職務分掌 ＝ 業務を分けて権限と責任を分離し、不正やミスを防ぐ（承認者と実行者を分ける）
- J-SOX ＝ 金融商品取引法にもとづく内部統制報告制度。経営者が報告書を作成し、監査法人が監査
- ITガバナンス ＝ 経営陣が主体となり、IT戦略の策定・実行をコントロールして組織をあるべき方向へ導く（評価・指示・モニタ）