内部統制の整備運用評価改善の文書化に当たっては、いわゆる三点セットと称される文書を用意すべしという考え方が、人口に膾炙しているようだ。三点セットとは、
（１）業務の流れをとりまとめたフローチャート
（２）リスク・コントロール・マトリクス
（３）職務記述書
あえて、これに反論を唱えたい。
フローチャートは確かに業務を理解するには便利なツールである。これを、業務の｢説明用の資料として」用いること自体には反対しない。
問題は職務記述書である。これは米国ではJob Descriptionとして極めて当たり前の実務である。つまり、採用情報を出すときから「あなたの仕事はこういう内容で、こういうスペックの人が求められています。」ということを明らかにするために用意されているものである。アメリカにいるときに一番頭にきたのは、
That’s not my work.
というセリフだが、それは職務記述書でやるべき仕事が明らかにされている以上、それに記載されていないことは「自分の仕事ではない」と主張できるのは当然のことだと納得するまでには時間を要した。
日本の場合は、やや曖昧な、業務マニュアルなどになるのかもしれないが、所詮は誰が何をすべきを明らかにしない社会である。職務記述書を書くよりも、規程類やマニュアルを整備するほうがよほど有用だと思う。
もっと理解されていないのがＲＣＭだ。ＲＣＭは監査する立場（経営者に代わって評価する内部監査人や、外部の独立監査人）の者が、理解した会社のリスクとそれに対応するコントロールを整理するためのツールである。すなわち評価・監査の対象とすべきコントロールにはどういうものがありますよという説明のための文書である。
ひどいケースは、ＲＣＭを「職務記述書にします」というところもある。経営者評価されていることをもって内部統制が整備されていることの説明はできないはずだ。
基準が「経営者は・・・」という主語で始まっているので、経営者以下の責任についての区分が曖昧であり、特に整備運用と評価とが混乱しているとこにも原因はあるのだが。
最悪なのが、「三点セットを作ったのでわが社の内部統制対策は終わりです」という考えである。文書化すれば内部統制は終わりではない。財務報告上のリスクが制御されていることが目標なのである。
