デジタル化・コロナでより巧妙に 会計不正にどう立ち向かうか［特集］

内部統制基準改訂で見直す
不正リスク対応

荒張

新日本有限責任監査法人
健 EY
公認会計士

いる。

◆ Summary ◆内部統制基準が改訂され，不正リスクの考慮や経営者等による無効化への対応，評価範囲の見直しが求められることとなった。筆者は第三者委員会等による外部不正調査において，企業の不正・不祥事の原因の１つとして内部統制上の課題を多く目の当たりにしてきた。また，日本企業に共通する不正対策上の課題も感じているところである。それらの経験も踏まえ，今回の内部統制基準の改訂を契機としてどのような不正リスク対応を企業は行うべきかを論考したい。

また，わが国の内部統制報告制度のベースとなった米国の COSO 報告書において改訂された不正に関するリスクへの対応の強調，内部統制とガバナンスや全組織的なリスク管理との関連性の明確化等について，わが国の内部統制報告制度ではこれらの点に関する改訂は行われてこなかったため，今回の改訂はこれを反映したものとなっている。

《は じ め に》

日本企業においては，依然，多くの不正・今回，「財務報告に係る内部統制の評価及不祥事が生じているが，以上の趣旨で内部統び監査の基準」ならびに「財務報告に係る内制基準が改訂されたことを踏まえると，今回部統制の評価及び監査に関する実施基準」（以の基準改訂は，日本企業にとって，不正対応下，あわせて「基準」という。
）の改訂（以という観点から内部統制が十分かどうか改め下「基準改訂」という。）が 15 年ぶりになさて確認をするよい機会になるのではないかとれた。これは，経営者による内部統制の評価考える。

範囲の外で開示すべき重要な不備が明らかに

筆者は第三者委員会等の調査委員会によるなる事例や内部統制の有効性の評価が訂正さ不正調査にも関与させていただいているが，れる際に十分な理由の開示がない事例が一定

その多くでは内部統制上の課題が見られると程度見受けられており，経営者が内部統制のころであり，その経験も踏まえ，本稿では，評価範囲の検討にあたって財務報告の信頼性

不正対応という観点から多くの日本企業に共に及ぼす影響の重要性を適切に考慮していな通する内部統制上の課題を明らかにしていく

いのではないか等の内部統制報告制度の実効とともに，今回の基準改訂を踏まえて日本企性に関する懸念が指摘されたことに起因して業がどのような対応を図るべきか論じてみた

（907）

企業会計

2023 Vol.75 No.7

43

れることの重要性が明確化され，これらの体い。

制整備の考え方として３線モデル等が例示さ

なお，本稿はあくまで私的な見解であり，れた。

所属する組織の見解とは異なる点がありうることを申し添える。

⑵

Ⅰ 内部統制基準の改訂と評価範囲の決定と報告の見直し
今回の基準改訂でもう１つ大きな見直しがその影響あったのが評価範囲の決定についてである。
経営者が内部統制の評価範囲を決定するに

１

基準改訂のポイントあたって，財務報告の信頼性に及ぼす影響の⑴

内部統制の基本的な枠組みの変更

重要性を適切に考慮すべきことを改めて強調

今回の基準改訂では内部統制の基本的な枠するため，評価範囲の検討における留意点が組みの変更として，①報告の信頼性，②内部明確化された。具体的には，評価対象とする統制の基本的要素，③経営者による内部統制

重要な事業拠点や業務プロセスを選定する指の無効化，④内部統制に関係を有する者の役標について，例示されている「売上高等のお割と責任，⑤内部統制とガバナンスおよび全おむね３分の２」や「売上，売掛金および棚組織的なリスク管理，が挙げられている。

卸資産の３勘定」を機械的に適用すべきでな

今回，不正に関するリスクについて考慮すいことが規定され，将来的には段階的に削除べき事項が明示され，内部統制の無効化につされることも検討されることが記載された。

いてもより踏み込んだ記載がなされており，また，評価範囲に含まれない期間の長さをこれらの対応が改めて重要である旨が明確化

適切に考慮するとともに，開示すべき重要なされたことは，当該対応が不十分である場合不備が識別された場合には，当該開示すべきにはその対応が必要となることを意味するも重要な不備が識別された時点を含む会計期間のと考える。の評価範囲に含めることが適切であることがまた，これら不正リスクや無効化リスクに明確化された。評価対象に追加すべき業務プ

対して，内部統制とガバナンスおよび全組織ロセスについては，検討にあたって留意すべ的なリスク管理が一体的に整備および運用さき業務プロセスの例示等が追加されている。
なお，経営者による内部統制の評価の範囲について，重要な事業拠点の選定において利P ro f i l e
あらはり・けん◇太田昭和監査法人（現用した指標とその一定割合等の決定の判断事

EY 新日本有限責任監査法人）に 1993 年

由等について記載することが適切であるとし，４月に入所後，パートナーとして上場企業，公的機関等に対する会計監査業務，アドバイザリー業務に従事。現在，不正調査，不正対策，コンプライアンスの専門部門である Forensic & Integrity Services のJapan Leader，Forensics 事業部長を務め，第三者委員会等の委員・補助者として数多くの不正調査やデータアナリティク

また，前年度に開示すべき重要な不備を報告した場合における当該開示すべき重要な不備に対する是正状況を付記事項に記載すべき項目として追加された。

スを活用した不正対策支援業務に従事。

44

企業会計

2023 Vol.75 No.7

（908）

［特集］

⑶

内部統制報告書の訂正時の対応た場合には，業務プロセス評価を行う対象と事後的に内部統制の有効性の評価が訂正される際には，訂正の理由が十分開示されるこなる重要な事業拠点が増えるということである。とが重要であり，訂正内部統制報告書におい言い換えれば，もし，不正リスクや無効化て，具体的な訂正の経緯や理由等の開示を求リスクへの対応を考慮した全社統制を整備・めるために，関係法令が改正される予定であ運用することができれば，企業は自らの全社る。

統制の評価においてリスクを低減できることを説明でき，その分，業務プロセスに係る内２

基準改訂が企業の内部統制評価にもたらす影響

部統制の評価範囲の追加を限定的にすることができるものと考える。

基準改訂の趣旨は，主として経営者の評価なお，これは，単に追加すべき経営者によ範囲外で⑴不正等により開示すべき重要な不る評価範囲を狭めるということのみならず，備が発生することを防ぐことにある。

結果として，企業グループ全体の不正リスク

今回の基準改訂では，経営者による業務プ対応を強化し，ひいては，不正等の発生を防ロセスに係る評価範囲の決定にあたり，従来ぐことに寄与することは言うまでもない。

からの機械的な数値基準によるのではなく，以下Ⅱでは，そのような全社的な内部統制経営者がリスク評価を行った結果に基づく評の実現に向けてどう見直すべきか，考察して価範囲の決定方針に基づくことが求められるいきたい。

こととなった。
経営者の評価範囲の決定においては，「全Ⅱ 不正リスク・無効化リスクの社的な内部統制のうち，良好でない項目があ観点から見直すべき全社的な内る場合には，それに関連する事業拠点を評価部統制のポイント範囲に含める必要がある」とされ，全社統制の評価結果を踏まえて業務プロセス統制の評

１

不正リスク評価の重要性価範囲が決まることが改めて強調された。

⑴

不正リスクを考慮したリスク評価

一方で，内部統制の基本的枠組みにおいて先述のとおり，今回の基準改訂は，COSO

不正リスクや無効化リスクへの対応を考慮す報告書の改訂内容を反映したものとなっていることが明確化されていることから，不正リる。

スクや無効化リスクへの対応を考慮して改め2013 年版 COSO フレームワークの原則８て全社統制を評価した結果によって，経営者においては「組織は，内部統制の目的の達成による業務プロセスに係る評価範囲も変わっに対するリスクの評価において，不正の可能てくることが想定される。つまり，不正リス性について検討する」と規定された。当該内

クや無効化リスクへの対応を考慮して全社統容については，トレッドウェイ委員会支援組制を評価した結果，良好でない項目がある

織委員会が公認不正検査士協会と共同で作成（すなわち，リスク対応が十分でない）となっした COSO 不正リスク管理ガイドの原則２（909）

企業会計2023 Vol.75 No.745

〔図表１〕不正リスク評価プロセスれていく中で，常に見直される」旨が新設の項目で明記されるとともに，「リスクの変化以下の点を考慮した
不正リスク評価チームの結成－適切な経営管理者階層－すべての組織の構成要素
以下の変化を考慮したリスクの定期的な再評価－組織外部の変化－業務の変化－リーダーシップの変化に応じてリスクを再評価し，リスクへの対応以下の点を考慮したあらゆる不正スキームと不正リスクの識別－組織内部および外部の要因－さまざまな不正のタイプ－経営者による統制無効化リスク

リスク評価の文書化低減を図る必要のある残存リスクを評価し，対応策をたてる－既存の統制活動の強化－統制活動の追加－データ解析の検討を適時に見直すことが重要である」とされ，リスク評価の結果，内部統制等が常に更新されることが求められている。
このリスク評価と対応のプロセスがないと，それぞれの不正スキームとリスクの発生可能性と影響度を予想する

一度検討した内部統制のデザインは更新されず，毎期同じ内容のものを運用だけ確認する

不正のトライアングルを考慮して，関与の可能性があるすべての関係者と関係部署の識別というプロセスとなり，内部統制の形骸化につながりかねず，常にこれを更新していくこ

既存の統制の識別とその有効性の評価とは重要である。
これまでも，日本企業では，環境変化や買（出所）監訳：八田進二・神林比洋雄・橋本尚，訳：日本
内部統制研究学会・不正リスク研究会（2017）『決定版 COSO 不正リスク管理ガイド』日本公認会計士協会出版局，23頁をもとに筆者作成。

収等によるグループ体制の変化を踏まえ，内部統制の整備について検討・更新がなされてきたと思われる。一方，この15年間で日本企業を取り巻く環境も大きく変化し，多くの企がこれと整合する形で規定されている。
COSO 不正リスク管理ガイドの原則２は業で会計不正の発生が公表されるところと「組織は，具体的な不正スキームとリスクをなったが，これらの不正リスクへの対応とい識別し，不正の発生可能性と影響度を測定し，う観点から内部統制の見直しを行っている日

既存の不正統制活動を評価し，不正の残存リ本企業がどれだけあるかは疑問であり，またスクを低減する対策を講じるために，総合的新たな不正手口が第三者委員会等の調査報告な不正リスク評価を実施する」という内容と書で明らかになっているところ，これらの事なっており，不正リスク評価プロセスとして例が同業他社となっている場合には，自社に図表１のとおり規定している。

おける発生可能性についても検討が必要ではないかと考える。

リスク評価というと，不正の手口やその影響度や発生可能性を整理することに目が行き多くの日本企業にとって今回の基準改訂はがちであるが，その中に「既存の統制の識別そのよい機会となるであろうし，その後も継とその有効性の評価」も含まれている点はお続して更新され続けるべきものである。

おいに参考となるであろう。
⑶⑵

リスクの評価と対応

現場の実状の把握・分析
企業は，不正・不祥事に対して一定の統制

今回の改訂では，基準において「内部統制，活動を設け，その予防を図っている。しかしガバナンス及び全組織的なリスク管理は，組ながら，実際には組織の末端まで整備した統織及び組織を取り巻く環境に対応して運用さ制活動の運用が徹底されることは難しく，ほ46

企業会計2023 Vol.75 No.7

（910）

［特集］

ころびが生じることもままあることである。

像に難くない。そのようななかでは，業務プここに不正・不祥事につながりかねない組織

ロセス等で整備した統制活動は当初の役割を風土が重なると，さらに当該統制活動の運用果たさないこととなる。これが「経営者によがおざなりなものとなる。そして，本来である内部統制の無効化リスク」である。

れば防げたはずの不正・不祥事が発生してし現行基準においても，「経営者が不当な目まうのである。私はそのような事例を，不正的のために内部統制を無視又は無効化ならし調査を通じて見てきた。また，そのように，めることがある一方，経営者が，組織内に適整備はよくても運用がいまいちという点は，切な全社的又は業務プロセスレベルに係る内日本企業に共通する課題である。

部統制を構築していれば，複数の者が当該事不正が発生した周辺の従業員は，そのよう実に関与することから，経営者によるこうしな統制活動の運用上のほころびや不正・不祥た行為の実行は相当程度，困難なものになり，事につながりかねない組織風土の存在，さら結果として，経営者自らの行動にも相応の抑に不正・不祥事を引き起こした者の異常な行止的な効果をもたらすことが期待できる」と動などを日ごろから目にしているが，そのこ規定されている。とが問題提起されることは少なく，不正調査

改訂基準では，これらの記載に加え，内部におけるヒアリングで初めてそのような認識統制の無効化に対する組織内の全社的またはがあることを明らかにするのである。このよ

業務プロセスにおける適切な内部統制の例とうな情報が内部通報等で事前に報告されるこして，以下のものが挙げられている。とはまず期待できないであろうが，企業はこ● 適切な経営理念等に基づく社内の制度の設計・運用れらの情報を従業員向けの匿名サーベイを活用してプロアクティブに入手することは可能●

適切な職務の分掌である。

● 組織全体を含めた経営者の内部統制の整備および運用に対する取締役会による監督

企業はこれらの入手情報を分析することで，不正につながる要因を事前に把握し，前述の●監査役等による監査「既存の統制の識別とその有効性の評価」に● 内部監査人による取締役会および監査役つなげて，それに対する改善対応を図ること

等への直接的な報告に係る体制等の整備おで，不正リスクを低減させることが可能とな

よび運用

ろう。

今回の基準改訂においては，取締役会や監査役等のガバナンス，もしくは内部監査人の２

経営者による内部統制の無効化への対応

役割と責任も改めてその重要性が明確化され⑴

改訂基準の規定た。特に経営者による無効化リスクに対して経営者が非倫理的行為を主導もしくは容認

はガバナンスによる監視に期待される役割はしている状況で，従業員がこれに反して誠実大きくなっており，監査役等は，「その役割・な行動を行うことは実務上難しく，不適切な責務を実効的に果たすために，内部監査人や指示に従わざるを得ない状況に陥ることは想監査人等と連携し，能動的に情報を入手する

（911）

企業会計

2023 Vol.75 No.747

〔図表２〕 継続的かつ総合的な不正リスク管理プロセスことが重要」とされている。

組織のガバナンスの一部としての不正リスク管理方針の確立

ガバナンスによる監視の実効性向上に ⑵

向けて一方で，ガバナンスがこれら経営執行状況の監視機能を果たすにあたり，不都合なリス

不正リスク管理プロセスのモ
ニタリング，結果の報告とプロセスの改善

ク情報を執行サイドが取締役会に提供せず，その結果，ガバナンスによる監視が十分に機総合的な不正リスク評価の実施

予防的・発見的不正統制活動の選定，開発，実施能しなかったケースを筆者は第三者委員会等

不正調査プロセスおよび調整の図られた方法による調査と是正措置の確立の調査委員会による不正調査の中で経験してきた。
社外取締役が限られた時間と情報のなかで，経営者による不正や内部統制の無効化に対して監視を有効に行うのは，取締役会に出席して監視したとしても限界があり，内部統制や（出所）監訳：八田進二・神林比洋雄・橋本尚，訳：日本
内部統制研究学会・不正リスク研究会（2017）『決定版 COSO 不正リスク管理ガイド』日本公認会計士協会出版局，５頁をもとに筆者作成。

全社的なリスク管理などの仕組みの整備・運を理解する際に，当該不正リスク管理プログ用の把握・評価を通じた間接的な方法によらラムの整備・運用を上級経営者が責任をもっざるを得ないであろう。て推進していることが確認できれば，ガバナ以上を踏まえ，ガバナンスによる監視の実ンスによる監視においても心証を得やすいで効性を向上させるには，以下の点が重要でああろうし，事実，そのようなプログラムが導ると筆者は考える。

入されているなかで不正リスクも低減された● 会社の不正リスク管理プログラムを経営ものとなろう。
なお，上記の不正リスク管理プログラムの者が確立し，運用しているか● 内部監査の取締役会や監査役等への直接内容については，前述の COSO 不正リスクの報告ルートを確保のうえ，その範囲や内管理ガイドが参考となると考える。同ガイド

容の十分性を判断する

では，継続的かつ総合的な不正リスク管理プロセスとして５つの原則が規定されている● 役職員に対するインテグリティ教育の十（図表２参照）。

分性と浸透度の把握● 内部通報制度の実効性確保（監査役等に対する直接的な報告ルートの確保）

３

経営者以外の者による無効化への対応

特に，不正リスク管理プログラムの確立は，⑴

部門横断的な発見的統制活動

経営者の不正リスク対応に係る本気度を測る改訂基準では，経営者以外でも内部統制にバロメーターとなりうる重要なポイントとなおける業務プロセスに責任を有する者によるるであろう。社外取締役等ガバナンス側が不内部統制の無効化リスクについても触れられ正リスク管理に対する経営者の姿勢や仕組みており，ここには子会社の経営者も含まれる

48

企業会計2023 Vol.75 No.7

（912）

［特集］

者は，内部通報に適切に対応するための体制こととされている⑵。
実際，これらの者によって業務プロセスに構築が法的に義務づけられた。

おける統制活動が無効化され，想定どおりの

また，「公益通報者保護法に基づく指針（令牽制機能を果たさず，不正が看過されたケー

和３年内閣府告示第 118 号）の解説」（令和スは多く発生している。

３年 10 月消費者庁）によれば，「子会社や関しかし，これらの者による無効化は特定の連会社における法令違反行為の早期是正・未業務プロセスや子会社の範囲にとどまるもの然防止を図るため，企業グループ本社等におであり，当該範囲の中では内部統制は無効化

いて子会社や関連会社の労働者等及び役員並されるとしても，グループ全体として何かしびに退職者からの通報を受け付ける企業グルらの統制活動を整備・運用することでカバーープ共通の窓口を設置すること」などの措置することが期待される。

等を講じ，経営上のリスクにかかる情報を把たとえば，子会社の経営者が暴走して架空の売上を計上し，訂正事案に至ったケースが握する機会の拡充に努めることが望ましいとされている。

多く見られるが，子会社の財務状況の推移を一方で，海外子会社の状況を見ると，現地不正の観点からデータ分析によりモニタリン子会社内の内部通報制度を通じて通報するグしていれば，もっと早い段階で異常に気が「現地完結型の海外通報窓口」を設けているつくことができたかもしれない。このようにケースや，日本企業が買収した海外企業が既親会社や地域管理会社による不正リスクに対存の内部通報制度を持っている場合はあるもするグループモニタリングを強化することは，のの，海外拠点の役職員が日本本社に統一的子会社経営者に対して「あなた見られてますな通報システムを通じて直接的に通報できるよ」という牽制をかけるという点からも重要制度（グローバル内部通報制度）が導入されてである。これはプロセスレベルの責任者に対いる日本企業はまだまだ少ないようである⑶。

しても同様であり，このような発見的統制活

これは，特に海外子会社の経営者による無動を部門横断的に実施することは有効な方法効化リスクへの対応を考えるうえで大きな課となろう。

題であるといえよう。すなわち，現地で完結世界的にはコンプライアンス分野のモニタするような内部通報制度では，当該子会社のリングにおいても DX が注目されているが，経営者の関与が疑われる重大な不正に関してまだまだ日本では一部の企業の取組みに限ら現地の従業員が通報することは期待されず，れているように思われ，今回の基準改訂を契仮に通報されたとしても本社に適切に報告が機として，そのような取組みが進むことが考なされるとは限らない。

えられる。

したがって，特に海外での子会社経営者による無効化リスクへの対応として，この課題⑵

グローバル内部通報制度は早急に解決されるべきものであるが，一方わが国では2022年６月に改正公益通報者保で，昨今の海外諸国のプライバシー法規制が護法が施行され，従業員 300 人を超える事業厳格化され，それらの法対応も並行して行っ

（913）

企業会計

2023 Vol.75 No.7

49

ていく必要があり，法務部門も巻き込んで対応できていない企業も多いと思われるが，そ応を図る必要がある。のような企業にとっては，企業ガバナンスや時代の要請に基づくリスク管理の向上に真に⑶

実効性ある職務分掌寄与する内部統制の整備・運用を図る千載一

不正でよくあるのが，仕入先との共謀によ遇のチャンスであり，そのような実効性のある架空・水増取引である。これらの場合には，る改善を願う企業関係者も多いのではないだ

納品書や請求書まで改ざんされるため，単にろうか。内部統制報告制度の形骸化の懸念が書類だけのチェックとなると，いくら当該書聞かれるなか，このような改訂がなされたこ類の確認を別の部門や担当者に行わせたとしとを，企業関係者も会計監査人も真摯に受けても，職務分掌として有効に機能しない。

止めるべきである。

すなわち実態を把握している現場担当者にここで記載した全社的な内部統制の見直し

よる検収チェックがなされた納品書と請求書のポイントはあくまで例示にすぎず，今後，を照合しない限り，不正リスクへの対応とい経営者による内部統制評価の効率化と不正リう点では脆弱と言わざるを得ない。

スク対応自体の有効性の両立に向けて，企業したがって，前述の不正リスク評価におけ関係者と会計監査人との間の協議を重ねるな

る不正統制活動の評価の一環として，既存のかで，適宜修正・追加されていくものと考え業務プロセスレベルの内部統制においても影る。その検討において，本稿が企業関係者や響を検討し，必要な対応を図る必要があるか会計監査人の理解の一助となれば大変幸いでもしれないことに留意が必要であろう。

ある。

《お わ り に》（注）

今回の内部統制基準の改訂は大きな影響は⑴

効でない」になる点について理由を述べるようないと思っている方が多いとの声が聞かれるにといった牽制がなされており，評価範囲外にが，不正リスク対応という観点から今回の改訂内容を見てみると，非常に大きな影響があ評価範囲内でも，後日，評価が「有効」から「有限定されているわけではない。
⑵

ることが読み取れる。

金融庁が公表した「コメントの概要及びコメントに対する考え方」№88

内部統制報告制度が導入されて以降，結果として形式的な対応と捉えられかねない企業⑶

弁護士法人 GIT 法律事務所（2022）『グローバル内部通報制度の実務』中央経済社：２―４頁。

や不正リスクなどの新たなリスクに十分に対50

企業会計2023 Vol.75 No.7（914）