内部統制・・どこまでやるか？

内部統制ってそもそも何かから始まって、財務報告リスクとか文書化とか、いったい何をどこまでやればよいのか分からない・・・・という声はよく聞かれる。

私の回答は「経営者が満足するまで」というもので、聞き手としては不満の色を隠せない。しかし、そもそも「有効な内部統制」とは、ビジネスリスクを効果的に制御していることを意味し、ビジネスリスクが将来の可能性という要素を含む以上、経営者の観点や判断によって異なってくるもので、一律に議論できるものではないというところから説明を始めなければならない。

「わが社の内部統制は有効である」と主張することは、あたかも｢自分は健康である。なぜならば・・・」と説明することと似ている。

｢健康」に対する要請は、老人から働き盛り、学生、子供、幼児、赤子とそれぞれの年代で異なる。また同じ働き盛りでも、たとえばスポーツで生計を立てる人と事務作業で生計を立てる人とでは、「健康」に対して求めていることは異なるはずだ。
血圧とか尿酸値というのは客観的な基準ではあるが、医者は検査結果について「異状なし」とは言ってくれるが、「あなたは健康です」とは言ってはくれないことに気がついている人は多いだろう。健康かどうかを最後に決めるのは当の本人しかいないのだ。

私が今から肉体を鍛えてオリンピック選手になることは、はなから無理なことであり、投資に見合った効果が得られないことは明らかだが、腰痛を治療することは、精神的にも気持ちが楽になり仕事の能率が上がり、QOLの向上に繋がることになるので、それなりに効果が得られる。そういったコスト・ベネフィットを考えることも内部統制の構築において考慮すべき要素だが、これも最終的には経営者の判断による。

「会社の健康」についてはまず経営者がどういう状態を健康な会社と表明するところから始まる。これが「内部統制の基本方針」だ。求めるべき姿があるからこそそれを阻害する要因としてのリスクが見えるわけで、そのリスクを制御するのが内部統制システムである。そして、制御すべきリスクと許容されるリスク水準とかけるコストとの兼ね合いを判断して、「どこまでやるか」を決定することになる。
一連の過程は全て「判断」によるものであるため、客観的な確証はないため、「文書化」が必要なのである。文書化は何もチェックシートやリスク・コントロール・マトリクスを用意することではなく、そういった判断の過程を残すというところにポイントがある。

そういった議論なくして、いきなり「文書化だ」「評価範囲を決めろ」と言ったところで、所詮は健康診断の検査項目を決めるに過ぎない行為で、その前提にある｢病気の可能性」とか「その人が身体的に求めているレベル」を決めなければ、単に自己満足のための検査に終わってしまい、下手をすると重要な癌を見逃す可能性さえある。

だから、「どこまでやるか」という疑問がある会社スタッフの人たちは、本来は真っ先に経営者との議論をしなければならないのだが・・・・経営者がそういう態度でない場合には、どうすればよいのかという点が、内部統制の限界と呼ばれるものであり、会社ガバナンスの機能に議論が移っていく。つまり経営者の人物評価は、取締役会や監査役会、株主総会に委ねられている。だから、「内部統制の基本方針」は経営者が作ればよいというものではなく、きちんと牽制機能をもつ組織が評価しなければ、結局は内部統制も画餅に帰するのである。