プロティビティLLC
マネージャ

永井 順
プロティビティLLC
プリンシパル鈴木良成
プロティビティLLC
ディレクタ

石川雅信

特集
財務マネジメント・サーベイ

特集
Post SOX
Survey財務マネジメント・サーベイ

Post SOX Survey
SOXからGRC（ガバナンス・リスク・コンプライアンス）へのトレンド調査

プロティビティLLC について
リスクコンサルティングサービスと内部監査サービスを提供するグローバルコンサルティング
ファーム。ガバナンス・リスク・コントロール・モニタリング、オペレーション、テクノロジ、経理・財務におけるクライアントの皆様の課題解決を支援。J-SOX や US-SOX などの制度対応を超えて、持続可能かつ企業価値の維持・増大に貢献する内部統制の構築を支援する。

日本で内部統制報告制度（Ｊ ＳＯＸ）が適用されてから五年、調査」という）では、ＳＯＸ適用初年度においては多大なコストが生じたことからころ、九〇％以上の回答者が「改善があっる内部統制に改善があったか」調査したと

用一〇 年 目 を 迎 え る 現 在 に おいて は、ている」という回答が多く存在したが、適以上から、米国のほうが、日本と比較三一％の企業が「ＳＯＸ対応の効果がコス以上から、多くの企業がＳＯＸ対応かして、効果がＳＯＸ対応コストを上回った」と回答していた。さらに「ＳＯＸの活ら相応の効果を得ていることが読み取れているという回答が多くなっていることトを上回っている」と回答しており、「ＳＯる。一方、その効果に対する費用についてがわかる。これは、米国企業がＳＯＸ対動を業務プロセスの改善に活用しているはどう感じているのだろうか。調査の結応を効率的に行 うべく内部統制やそのＸ対応コストが効果を上回っている」とい

果、六六％の回答者が、「ＳＯＸ対応コス評価方法の改善を進めてきたことによるか」調査したところ、七〇％近くの回答者

トが効果を上回っている」と回答していコストの減少と、ＳＯＸ対応によりコンプう回答は五〇％となっている（図１）。

る。一方で、一七％の企業から「ＳＯＸ対的に業務プロセス改善に活用してきたこライアンスが向上したことに加え、積極（以下「米国におけるCompliance Survey

Protiviti Inc., 2012 Sarbanes-Oxley とによる効果であると考えられる。
ＳＯＸ対応を単なるルーチンワークと回答を得た（図１）。

応の効果がコストを上回っている」というから「活用している」との回答を得た。

まず、ＳＯＸ対応を経て「財務報告に係 「ＳＯＸ対応コストが効果を大きく上回っＳＯＸ対応がもたらす効果について※本稿においては、日本の内部統制報告制度を「Ｊ Ｓ-ＯＸ」といい、米国サーベンス・オクスレー法四〇四条を「ＵＳ Ｓ-ＯＸ」といい、双方合わせて「ＳＯＸ」という。

どのぐらい進展しているかについて調査を実施し、その結果を考察したい。

その創意工夫の状況、さらにはＧＲＣへの取り組みへと拡大することについて、今回のサーベイでは、日本企業における、ＳＯＸ対応の現状やその後ガバナンス・リスク・コンプライアンス（ＧＲＣ）へと拡大・進展している。

また、海外では内部統制整備の活動は、対応コストも低減されてきたようだ。

その後数年でさまざまな工夫が行われ、内部統制評価の方法も成熟化し、ＳＯＸ適用初年度は、各企業で対応に苦労したという話がよく聞かれたものの、-

米国で、サーベンス・オクスレー法四〇四条（ＵＳ ＳＯＸ）が適用されてから一〇年、-

CFO FORUM ● 8

つなげていくことが、コストを上回る効の改善、業務プロセスの改革に積極的にして義務的に行うのではなく、内部統制においては、業務の標準化・共通化、シェコントロールが比較的少ない大規模企業は、広い範囲で分布している。評価対象とがわかる。中でも大規模企業においてトフォーム・コントロールの導入、評価拠アードサービスの活用、共通のＩＴプラッ果を得るカギになると考えられる。

ＳＯＸ対応プロセスの現状とＳＯＸ対応業務推進における責任部

トロールの標準化・共通化が全社的に進り、内部統制評価の対象となる業務・コン点のグルーピング等の工夫がなされてお署については、内部監査部門（五二％）、財展しているものと推測される。

スを活用している例は九％であった。Ｓに増減しているか」を調査した結果、ＳＯ現状の評価対象コントロールはどのようル数は全拠点合計でどのくらいか」を、売統制）を除き、評価対象としたコントロー

るが、内部統制の本来の機能や役割に照をさらに削減できる余地があると思われ企業によっては評価対象コントロール

米国における調査効率化について務経理部門（二九％）の合計で八割を超え

ＯＸ対応当初は、プロジェクトマネジメン

Ｘ対象初年度と比べると、過半数の企業

また、「ＳＯＸ対応初年度と比較して、トオフィスを設置し、導入展開した企業

が「評価対象コントロールを減らしていており、プロジェクトマネジメントオフィが多かったと認識しているが、Ｊ ＳＯＸ率化の取り組みで減少させてきたものとのコントロールでスタートし、その後の効適用五年が経過しようとしている現在、 る」と回答しており、当初は比較的多めＳＯＸ対応が会社の通常の活動として定着していることを示している。

上高五、〇〇〇億円以上の大規模企業、売らして、規制対応の部分と会社独自の取考えられる。

上高五〇〇億円以上五、〇〇〇億円未満

り組みの部分を分けて、各々の対応方針

0

SOX対応コストが効果を上回っている

計502432SOX対応コストが効果をかなり上回っている

わからない

次に、
「全社的な内部統制（組織レベルの中規模企業、売上高五〇〇億円未満のを明確にした上で活動を推進していくこ

9 ● CFO FORUM

計66

301315254013

SOX対応コストが効果をやや上回っている

300個以上500個未満

効果がSOX対応コストを上回っている
計311710

SOX対応コストと効果は同じである

60

121
61911

今回の調査

大規模企業

中規模企業

小規模企業

小規模企業に分けて分析した（図２）。

16100個未満

14とが重要ではないかと思われる。

41

500個以上1000個未満

1920

620

その結果、大規模企業では一、〇〇〇個業務プロセスに係る内部統制の評価対象

100%

効果がSOX対応コストをやや上回っている

1240

100個以上300個未満

1632

960

二〇一一年三月の実施基準改定により、のに対し、中規模企業と小規模企業では拠点における拠点ローテーション評価が100%

91000個以上3000個未満

1724

60以上三、〇〇〇個未満が最大となっている

一〇〇個以上三〇〇個未満が最大となっを確認したところ、ローテ︱ションを「実認められた。これについて実務上の対応
回答の分布をみてみると、会社規模に施している」という回答が三〇％弱ある一ている。

関わらず回答に相当のばらつきがあるこ

80
80

計173000個以上
15167

効果がSOX対応コストをかなり上回っている

図1●SOX対応の費用対効果

2－5

図2●評価対象コントロール数

42［回答者のプロファイル］
回答者役職：役員6%、部長 33%、マネージャー 41%、担当者 20%
回答者所属：内部監査部門58%、CSR/内部統制推進部門16%、経理・財務部門15%、企画部門5%、
リスク管理部門3%、その他 3%
グループ売上高：1兆円以上 20%、5000 億円以上18%、1000 億円以上 27%、500 億円以上10%、100 億円以上15%、
100 億円未満10%
業種：製造業55%、商業（小売業、商社）14%、IT・情報通信業9%、金融業8%、運輸業3%、サービス業3%、その他 8%［調査の概要］実施：日本 CFO協会、プロティビティ LLC 共催
実施方法：メールマガジン会員へのメール、個別訪問等によるアンケートの依頼
調査対象：US-SOX 適用親会社、US-SOX 適用子会社、
J-SOX 適用親会社、J-SOX 適用子会社
有効回答数：175 名
調査期間：2012 年11月20日～ 2013 年1月18日

財務マネジメント・サーベイ

特集
Post SOXSurveyている（図３）。

六一％に及んでおり、その対応が分かれ方で、「 実 施 していない」という 回 答 がいる一方、六一％の企業が「依拠あり」と回いては、二五％が「依拠なし」と回答して外部監査人による経営者評価の依拠につプロセス実施部門における内部統制意識あった（図６）。自己評価の導入は、業務の企業より「 導入している」との回答がの依拠の実 態について調査した（図５）。 にはばらつきがあるものの、合計で七二％トおよび外注コスト含む）の現状について費用を除く、ＳＯＸ対応コスト（内部コス

直近年度における外部監査人の監査

企業規模別に分析した（図７）。

ＳＯＸ対応コストについて同じく、二〇一一年三月の実施基準 改の向上と改善活動に効果的であり、形骸ことが適切と考えられる。

化させることなく、今後も推進していく

答しており、また、その割合は分散している。これは、各企業の内部統制文書の定により、業務プロセスに係る内部統制の評 価 対 象における業 務 プロセスローテーション評 価についても認められた。 品質、独立的な内部監査の実施状況およ

大規模企業⋮二億円以上から一〇百万円

次いで二億円以上、一億円以上二億円未海外拠点対応については、「今までの延しかしながら、グローバル化の進展に伴満の順となった。一億円以上と回答した

び外部監査人の監査方針等にばらつきが今後、外部監査人による依拠割合の増い、買収・投資等の推進による海外拠点の企業は三六％に達している。

これについて実務上の対応を確認したという 回 答 が五七％に及んでおり、拠 点加に向け取り組んでいくことにより、外追加、海外拠点の重要性の増加が多くの中規模企業⋮一〇百万円以上五〇百万円未満まで回答が分散したが、五〇百万円ローテーションとほぼ同様に、対応が分部監査人の監査工数の減少による監査報企業でみられ、三五％の企業が「今後新未満の回答がもっとも多いが、五〇百万長線で対応可能」「特に対応が不要」といかれている（図４）。

酬の削減というメリットを得るだけでなたな対応が必要」と回答していた。この

円以上１億円未満、一〇百万円未満の回あるため、差異が生じているものと推測

以上のことは、各社における評価の方く、それを目指すことで、外部監査人のことからも、海外事業管理の重要性は増答も相当数存在する。

こ ろ、「 実 施 し て い る 」と い う 回 答 が法論や外部監査人の監査方針等により依拠に耐えうるレベルまでの経営者評価加していることがうかがえる。海外事業

小規模企業⋮一〇百万円未満がもっともう回答が合わせて六〇％を超えていた。 以上一億円未満が最も多い結果となり、対応が分かれていると思われるが、内部の水準が向上し、内部監査等の品質の向管理方針を明確にして、グローバルガバされる。

統制が成熟する中で今後ＳＯＸ対応を上にもつながっていくことが期待できる多くなっており、一〇百万円以上五〇百万三七％である一方で、「実施していない」と合理化する観点から、多くの企業においナンスの一つのツールとしてＳＯＸ対応をわからない 10%

10%未満
6%

20−49%
16%61
50−74%
13%

自己評価導入あり 計 ％円未満がこれに次ぎ、五〇百万円以下と

図6●コントロールの自己評価割合

活用し、取り組んでいくことが有用であ

図5●外部監査人の経営者評価に対する依拠の割合回答した企業が七七％に及んでいる。

ものと考えられる。

３カ年以上ローテーションを基本に実施している
21%

ろう。て、拠 点ローテーション、業 務 プロセス

ローテーション評価は実施していない
61%

わからない 14%なし 25%

20−49%
22%

10%未満
7% 10−19%
9%72

コントロールの自己評価（独立の内部

その他 2%
わからない 4%

ローテーションの検討の余地があると思２カ年ローテーションを基本に実施している
16%

監査ではなくコントロール実施部門自ら

75%以上
10%

依拠あり 計 ％

75%以上
31%

なし 18%

２カ年ローテーション
を基本に実施している
16%
ローテーション評価は実施していない
57%

50−74%
11%

10−19%
8%

３カ年以上ローテーション
を基本に実施している
13%
わからない 5%が評価を行うこと）については、その程度

図4●業務プロセスローテーションの現状われる。

その他 5%

次に、経営者評価に対する外部監査人

図3●拠点ローテーション実施の現状

CFO FORUM ● 10

コストも増加していると考えられる。たするケースが多くなるため、ＳＯＸ対応が多様となり、海外など拠点展開が増大傾向がある。大規模企業ほど、事業領域なるほどＳＯＸ対応コストは多額になる規模と相関しており、会社規模が大きく以上より、ＳＯＸ対応コストは会社のと思われる。

まざまな対応策がまだ残されているもの

ティングの実施（オフショアモデル）等、さ化 や、海 外のリソースを 活 用 し たテス

タ利用監査技法）などの利用による効率ントロールの活用、ＣＡＡＴ（コンピュー

内部コストの削減としては、システムコが低いとの回答もあり、これらの企業は務所の監査結果に対する検査報告書に委員会（ＰＣＡＯＢ）が発表した会計事二〇一〇年度に米国公開会社会計監督

効率的なＳＯＸ対応を推進しているといよると、会計事務所が実施する内部統制だし、大規模企業でもＳＯＸ対応コスト

う事実は注目に値する。

監査に対し、多くの不備が指摘されていＸ監査が厳格化に動く傾向があると思較した（図８）。その結果、企業規模によよび外注コスト）について直近年度と比次年度のＳＯＸ対応予算（内部コストおに資するＧＲＣへの取り組みに拡大強化

基盤を活用しながらも、企業価値の向上

は、財務報告に係る内部統制で構築した創意工夫の状況を考察してきた。ここで

大規模企業

中規模企業

小規模企業

一方、ＳＯＸ対応コストについて、「わかこれは、単に回答者がそれを認識してい

われ、企業のＳＯＸ対応コストにも少ならない」とした回答が相当割合存在した。 る。今後、外部監査人の会計監査やＳＯなかった可能性があるものの、会社としからず影響する可能性がある。

︵ＧＲＣ︶
への取り組みについてガバナンス・リスク・コンプライアンスてＳＯＸ対応コストを把握できていない可能性もあり、今後ＳＯＸ対応の費用対効果を検証する点からも、ＳＯＸ対応コストの適時適切な把握が望まれる。

らず、「変わらない」という回答が多数としていく動きについて分析した（図９）。

これまでは、ＳＯＸ対応の現状やそのなり、とりわけ小規模企業では七七％とここでは、ＧＲＣの各項目のうちいく次に、外部監査人の監査費用を除く、圧倒的な割合を示している。これは、Ｓつかを取り上げて言及する。

11 ● CFO FORUMＯＸ対応が予算面でも安定局面に入った

ＣＯＳＯやＩＳＯが提唱する全社的なリスクマネジメント体制の強化

当項目については、「対応済み・取り組み中」とする回答は三九％に及んでいる。

11

大規模企業

中規模企業

小規模企業

ことを示していると考えられる。しかしながら、大規模企業では二八％の企業が予算減少と回答しており、コスト削減・効率化は継続して取り組まれていることがわかる。

0012わからない

1218198

10百万円未満

20%未満の減少

わからない

2820%超減少

672020320

10百万円以上50百万円未満

4340

40

50百万円以上1億円未満

392277622

12変わらない

4960

5860

34

22

1億円以上2億円未満
80

1720%未満の増加

2億円以上
61980

252
320%超増加

100%
58
5100%

図7●SOX対応コストの現状
図8●SOX対応予算の直近年度、次年度比較

財務マネジメント・サーベイ

特集
Post SOXSurvey

また、検討中との回答も三六％存在して不正防止に対する取り組みとして、Ｃて関心が高まっていることがうかがえる。

る効果があり、信用格付アナリストも企すなわちリスクマネジメント能力を高めしていくことが今後求められるのではな

応から、不正に焦点を当てた活動へ深化

本来の趣旨に則り、従来行われてきた対検討中おり、全社的リスクマネジメントの必要業の格付において全社的リスクマネジメいだろうか。具体的に取り組んでいる企取り組み中

ＯＳＯの内部統制フレームワーク改定のントの品質を考慮する動きがある。各企業では、例えば不正防止プログラムの作

当項目については、「対応済み・取り組対応済み

わからない
関心なし

18

性が広く認識されている。

して改めて取り上げられている。また、公開草案においても、一七の原則の一つと変、情報技術の高度化・複雑化、企業に求金融庁からも、外部監査人の監査におけ経済のグローバル化、法令や規制の改められる社会的責任の高まりなど、企業る。このように近年、不正への対応が制を取り巻く環境は今まで以上に大きく、 る不正リスク対応基準案が公開されてい早く変化している。企業価値を維持・向度面も含め、重要課題として認識されて元々ＳＯＸは、不正を伴う会計不祥事いる。

上させるためには、このような変化に伴う不確実性への対応能力を向上させることが必要となる。全社的リスクマネジメ

業の全社的リスクマネジメントへの取り成、不正シナリオの設定、兆候と対応す

ントは、企業の不 確 実 性への対 応能 力、 への対応として導入された制度である。

組みが今後さらに成熟していくことが期るコントロールの取りまとめ、さらに財務情報作成要件（アサーション）に不正防止を含めてＳＯＸ対応を行う、などが挙げられる。
海 外 に お け る 贈 収 賄 規 制（
﹁米国海外腐敗行為防止法（ＦＣＰＡ）﹂、﹁英国贈賄防と、七五％の企業が不正防止に関して何み中」とする回答が約三六％、「 検 討 中」止法﹂など）への対応

らかの対策が必要であると認識しているとする回答を含めても五八％になってい558316

巨大災害に備えた、取引先も含めた事業継続管理の強化

85135420

サイバーアタック、個人情報漏えい等のITに関するセキュリティ対策・管理体制の強化

25

1129

経営戦略達成に寄与するシステム開発
管理体制の強化（ITガバナンスの強化）

9262516252212

IT投資コストを抑えるための投資判断プロセスの明確化（ITガバナンスの強化）

2323334173124

継続的なモニタリング手法としてERPシステムから提供されるモニタリングレポートの活用やCAAT（コンピュータ利用監査技法）の活用待される。
不正防止のガイダンスなどを参考に、不正の評価や、不正防止の内部統制、モニタリングへの取り組み

当項目ついては、「対応済み・取り組み中」とする回答が四二％にとどまっていることがわかる。近年不正に関する大きなる。一方、「 関 心 が ない」と す る 回 答 がものの、「検討中」とする回答を合わせる

不祥事が発覚した結果、実際の損失のみ二二％を占めている。
近年、各国政府機関により、ＦＣＰＡならず、企業のブランドイメージが毀損され、各企業においても重要な課題とし103357

モニタリング手法として、KRI(リスク管理指標)などの活用

202222

海外における贈収賄規制（「米国海外腐敗行為防止（FCPA）」、「英国贈賄防止法」など）
への対応

261510331032

不正防止のガイダンスなどを参考に、不正の評価や、不正防止の内部統制、モニタリング

14214067433311
組織内のさまざまなリスク管理活動やコンプライアンス活動、それぞれの評価活動の取り組みの効率的な連携

21
組織内のさまざまなリスク管理活動やコンプライアンス活動、
4監査・自己評価活動等の情報管理ソフトの共有・データベース共有等

118402813
コンプライアンスや業務効率化などの財務報告以外の内部統制の目的における、運用状況の評価の推進

15103630
9COSOやISOが提唱する全社的なリスクマネジメントの体制の強化

100%
806040200

図9●GRCへの取り組み状況

CFO FORUM ● 12）、不正競賄賂防止法（英国 Bribery Act
争防止法等に基づく外国公務員贈賄の（米国海外腐敗行為防止法）および英国

正への取り組みについては、既に述べたとらず、関心が高いことがうかがえる。不活用は新しい取り組みであるにもかかわもいえないという回答も四四％に及んでるという結果になった。一方で、どちらと成意見が三八％と、反対意見一八％を上回おり 七五％の企業が関 心を示しているいる。監査法人がローテーションすること摘発が国際的に活発化している。以前は頼性が高まるというメリットがある反面、により、独立性が確保され財務諸表の信グ手法であるモニタリングレポート・ＣＡ

年間で数件程度の摘発件数であったが、 が、不正防止に対する有効なモニタリン
ここ数年は年間一〇件以上、年によっては新たな監査人への説明対応の負荷が高まるというデメリットがある。調査結果をＡＴの活用は必ずしも進んでいるとはいえない。

三〇件近い摘発がされている。日本企業を含め、グローバル企業が新興国への進一六億ドルもの制裁金の支払を余儀なく

時 の 制 裁 金 も 莫 大 と な り、実 際、約き込まれるリスクは高まっている。違反

エージェントを介して贈賄トラブルに巻引全体・データ全体を対象として網羅的レポート・ＣＡＡＴを活用することで、取ちが生じるおそれがある。モニタリング

では、不備や不正を発見する際に抜け落

うな、限定されたサンプルに基づく検証

六六％の回答者が「関心あり」と回答しクへの 関 心 について 調 査 し た と ころ、 り組みはまだ発展途上というのが実態で査では賛成意見が四八％に及んでいる。のと考えられる。なお、米国における調多寡が測りきれていない回答者が多いもついては、「対応済み」とする回答は決しうかがえる。一方、ＧＲＣへの取り組みに踏まえると、まだメリット・デメリットのされた企業もある。

かつ効率的な検証、不正の兆候の発見がており、ＣＯＳＯフレームワーク改定の従来の内部統制評価で行われているよ

海外進出の程度、業種等により、本件可能となるため、今後の内部統制のあり動向には高い注目があることが伺える。 いわば「煩わしい負荷」としてとらえるだ

被害を考えると、贈賄リスクのインパク正をはじめとするさまざまな領域で、モ具体的に取り組んでいる企業では、不プロセスを変えるものではないと説明し改定が、財務報告に係る内部統制の評価

業 務の効 率 性・有 効 性を向上させる等、るコンプライアンスの強化や、プロセス・にとどまるだろう。しかし、ＳＯＸによけでは、企業にとって得るものはわずかＳＯＸ対応を単なる法制度への対応、はないだろうか。て多いとは言えない状態であり、その取に対するリスクは大きく異なるが、海外方としては取り組む企業が増えていくもトは極めて大きく、当該リスクの認識とているが、ＧＲＣを含む企業活動には何社にとって必要と考える事項に関して、 事実であり、対応によって得られたノウ

ニタリングレポート・ＣＡＡＴを活用しハウ・知見を今後の経営効率向上に活か評価を改めて行うことが望まれるのでは監査部等が要因を調査し、経営陣に報告改訂を考慮に入れて従来会社が採用し多くの効果をもたらしてきたのも確かなするなど、体系的かつ継続的なモニタリ資するＧＲＣへの展開へと進化・発展させかすことはもちろん、企業活動の向上に的以外も含めた内部統制全般の改善に活

今後、このノウハウ・知見を財務報告目すべきである。

最後にすることが必要になるかもしれない。てきた内部統制のフレームワークを改定

内部統制に係るその他の動向として以その他の動向についてング体制を構築しつつある。て、定期的に予兆（兆候）リストを作成し、 らかの影響があるものと考えられる。会

次に、ＣＯＳＯ内部統制フレームワー

事業を展開する企業にとっては、違反時どちらともいえない
44%

ＣＯＳＯは、内部統制フレームワークの賛成28%のと思われる。

出を強めるに際し、現地のパートナー先・強く賛成
10%

反対
14%の制裁金額の大きさ、レピュテーションの強く反対 4%ないだろうか。
継続的なモニタリング手法としてＥＲＰシステムから提供されるモニタリングレポートの活用やＣＡＡＴ（コンピュータ利用監査技法）の活用

当項目については、「対応済み・取り組

今回の調査から、ＳＯＸ対応による経監査法人のローテーションについて、賛否一点目として、近年検討が行われている従来の取り組みに満足していないことが費用対効果でみると、必ずしも各企業が下の二点を取り挙げた。
るが、検討中とする回答を加えると、そ）。その結果、賛み中」とする回答が二一％にとどまっていの割合は過半数に及んでいる。このことの状況を調査した（図

一つの重要な方向性ではないだろうか。

13 ● CFO FORUM

図10●監査法人のローテーションに対する賛否

営への効果は広く認識されているものの、 ていくことは、各企業がチャレンジすべきから、モニタリングレポート・ＣＡＡＴの10