財務報告に係るリスク

実務でリスクコントロールマトリクスを拝見すると、表題の定義に迷っている会社が依然として多いように感ずる。ものの本を読んでも、著者自身に迷いがあるなと感じる記載や、共著になっている場合には、全体の整合がとれていないものもあるようだから、内部統制に馴染みのない人がいきなりRCMを作れば、迷って当然である。

「財務報告に係るリスクとは換言すれば財務報告における虚偽表示の可能性であり、それは誤謬と不正を原因とする。」

そんなこと言われなくても分かると大抵の人は考えるが、実はこの一文には深いものがある。

この文を展開してみれば、次のようになるだろう。

リスク　＝　虚偽表示の可能性
原因　＝　誤謬と不正
結果　＝　虚偽表示

つまり、「虚偽表示」という結果をもたらす原因が「誤謬と不正」であり、結果をもたらす可能性の程度がリスクなのである。だから、少なくとも原因の部分はリスクではない。言い換えれば、財務報告統制で虚偽表示の結果をもたらす原因は統制が有効に機能しない場合であるとされているのであるから、それは統制の設計に瑕疵があるか、設計された統制が適切に運用されていない状態である。

１．結果としての虚偽表示
↑
２．原因としての事象や行為（不正・誤謬）
↑
３．事象や行為をもたらす統制の機能不全

この三段論法において、不正や誤謬による虚偽表示の影響を直接対象としたテストが実証テストであり、不正や誤謬自体の発生を防止･発見する行為を対象とするのが、内部統制の評価である。

以上の理解を元にすれば、RCMの整理において陥りやすい次のような記載は減ってくるだろう。

・担当者が伝票の数字を誤って入力するリスク
・作成者以外の第三者によるチェックで誤りが発見されないリスク
・回収可能性の判断を誤るリスク

いずれも、財務報告におけるエラーの典型的な原因だが、これらは財務報告に係る虚偽表示リスクではなく運用リスク（＝統制が有効に機能しない可能性）である。