http://www.cdi-japan.co.jp/
C D I

N E W SL E T T E R

N O . 7 6

2006 年 8 月

内部統制の確立と企業価値の向上
畠中一浩
森田克己
2006 年 6 月に金融商品取引法が国会を通過し、2008 年 4 月 1 日以後に開始される事業年度から所謂「日本版SOX法」が適用されることになっています。かねてから日
本版 SOX 法の施行については多くの企業に認知されており、最近では「内部統制」「SOX 法対応」と銘打ったセミナーや講演が非常に盛んに行われています。しかし多くの場合、そこで語られているのは、「日本版 SOX 法への対応」の中の部分的な対応策に過ぎない IT ツールや文書化の紹介に留まり、結局企業として「日本版 SOX 法への対応」に向けて取り組むべき全体像が曖昧なままになってしまっているのが現状ではないでしょうか。セミナーに参加されている多くの方から「全体像がよく分からない」「どこまで対応すべきなのか？」といった声が多く聞かれます。
今回の Newsletter では、企業として確立すべき内部統制とは何か、日本版 SOX 法へは如何に対応するか、ということについてCDIの所見を述べたいと思います。

日本版 SOX 法とはもともと SOX 法は、米国においてエンロン事件、ワールドコム事件をはじめとする企業の会計不祥事が続いたことを受けて 2002 年 7 月に米国で制定された法律です。その内容は、財務諸表の適切さを証明するために、業務プロセスのコントロールを IT 活用も踏まえて整備・可視化するとともに、社内での監査体制・監視プロセスを確立させることを狙いとしたものです。もしも報告内容に虚偽があった場合には刑事罰も設けられており、俗に「企業改革法」とも呼ばれるものです。
この米国SOX法を受けて、日本でこの6月に制定された金融商品取引法においては、3.企業内容等開示制度の整備（法令より抜粋。下線は CDI による）有価証券報告書を提出しなければならない会社のうち、（中略）有価証券の発行者である会社その他の政令で定めるものは、有価証券報告書の記載内容が金融商品取引法令に基づき適正であることを確認した旨を記載した確認書を当該有価証券報告書と併せて内閣総理大臣に提出しなければならない。
（金融商品取引法第 24 条の 4の2関係）

1/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/

有価証券報告書を提出しなければならない会社のうち、（中略）有価証券の発行者である会社その他の政令で定めるものは、事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（「内部統制報告書」）を有価証券報告書と併せて内閣総理大臣に提出しなければならない。
（金融商品取引法第 24 条の 4 の 4 関係）
内部統制報告書には、その者と特別の利害関係のない公認会計士又は監査法人の監査証明を受けなければならない。
（金融商品取引法第 193 条の 2 第 2 項関係）と記されており、米国SOX法の要旨が踏襲されています。
ただし、米国 SOX 法導入時において統制対象が細かく規定され、社内規定や業務処理文書を大量に作成するために各企業に過度な労力と費用を強いる結果につながったという反省もあり、日本版 SOX 法においては米国での先例を踏まえた統制対象の基準が、この秋に金融庁から公表される予定になっています。ただ、統制対象の概念は既に確立されています。ご承知の方も多いと思われる COSO（米国トレッドウェイ委員会の作業部会）キューブがそれに該当するものです。
内部統制の目的

内部
統制の構
成要
素

■６つの基本的要素から構成①統制環境
有業 信財 遵法 保資
不正や非効率を防ぐのに役立つ
効務 頼務 守令 全産業務の方針と手続き、体制を決める
性の 性報等の②リスクの評価と対応
告のの社内のリスクを棚卸して、対応策を決める業 務財 法資
務令
産の 告報 等の③統制活動
保有のの活
効 頼信 遵全
不正を許さない、あるいは業務効率の性 性
守事 動
１向上に努めるような企業風土の構築
事 業
統制環境
単④情報と伝達業
単 位リスクの評価と対応
必要な情報が経営者や社員に適切に位 Ｂ伝わる仕組みを作る
統制活動
Ａ⑤モニタリング
情報と伝達
内部統制が有効に機能しているかどう
モニタリング
位かを継続的に評価する
単織
ＩＴへの対応⑥ＩＴへの対応
組の制
ITを内部統制の基本的な対応に積極
統部
内的に使用する

CDI では、日本版SOX法への対応においては、以下の点がポイントになると認識しています。
日本企業においては、業務プロセスレベルの統制は、通常、業務実施部門が決定している場合が多いため、財務報告データの信頼性の確保については、データ管理プロセスよりもデータ発生プロセスを問題とする可能性が高い
外部監査人は、被監査会社による内部統制の評価方法の妥当性について間接的に意見表明するに留まっている（ダイレクトレポーティングの不採用）が、評価方法

2/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/の妥当性判断は、コントロールが適切に施行されているかを評価することになり、結果的には業務プロセスレベルまで監査されることになる
米国 SOX 法に加えて、統制要素の 6 番目の項目である「IT への対応」が加えられており、IT 全般統制と業務プロセス統制の有効性の評価が重視されるため、財務報告に影響を与える主要な業務プロセスにおいては、ITによる統制（コントロール）とモニタリングが必須である「企業価値」とはところで、企業はその活動を通じて結果として市場からの評価を受け、企業価値が向上（あるいは低下）します。企業は市場からの評価を得て資金調達を容易にするために、経営戦略（企業発展の論拠）組織体制（戦略の実行可能性の論拠）を IR 活動を通じて市場に対して発信するべきです。
ところが、優れた経営戦略と組織体制を構築している企業でも、1つの法令遵守違反あるいは倫理・社会通念に反するといった事象が発生（公表）されただけで株式が市場で大量に売られ、企業価値評価が下がるといった事例が目立ちます。つまり、企業価値向上のためには「経営戦略」「組織体制」に加えて「内部統制（コンプライアンス確立の論拠）」を訴求することが極めて重要な要件になってきているのです。
企業価値の評価

リスクとリターンによる評価

投資に対する将来のリターン

経営戦略

組織体制

内部統制

リスクとリターンの将来仮説

リスクとリターンの管理

リスクの最小化「内部統制の確立」と「企業価値の向上」とはそれでは、企業価値向上に結びつく内部統制の確立とはどのようなものでしょうか。本来内部統制の対象には3段階のレベルが存在すると考えています。
レベル１

法 規 範：商法、労働基準法、日本版 SOX 法等の法令の遵守。
「絶対に守らなければならない」規範

レベル２

3/9

社内規範：企業がリスク管理のために独自に定めた社内規定・基準（品（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/

質管理基準等）の遵守。企業にとって「リスクマネジメント」のベースとなる規範
レベル３

倫理規範：社会的なモラル、良識等、社会規範の遵守。社会的に「模範」となりうる行動規範
倫理規範の遵守

内部
統制のレ
ベル

社内規範の遵守

法規範の遵守企業価値「理想的／模範的行動」
社会規範、倫理憲章、企業倫理、社是・社訓 等の遵守

「リスクマネジメント的行動」
社内規定、業務マニュアルの遵守「合法的行動」
商法、証券取引法、PL法、税法、労働基準法、独占禁止法、環境法
日本版SOX法
個人情報保護法、等 の遵守

日本版 SOX 法を含む各種法令を遵守したからといって、すぐに企業価値が向上するわけではありません。合法的行動は企業として当然のことであり、市場から加点評価されるものではなく、寧ろ遵守されなかった場合の減点対象にしかなりません。
しかも、この減点は時には市場からの退却をも覚悟しなければならない、非常にクリティカルなものです。
もしも法規範の遵守が企業価値向上に結びつくとしたならば、それは新規に施行される法案に対して、他企業に先駆け、高度な対応を行う（つまり、内部統制に積極的な企業であるというアピールができる）場合でしょう。
ですので、企業価値の棄損という観点から、まず確立しなければならない内部統制のレベルは、日本版 SOX法も含めた法規範の遵守です。そのレベルをクリアして、次に企業独自のリスクマネジメントとしての社内規範遵守のレベルへ、そして最終的な社会的模範としての倫理規範の遵守に取り組むレベルへと進むことができます。この内部統制の3つのレベルを順にクリアして、初めて大きく企業価値を向上させることができます。3 つのレベルをクリアしたならば、「どこまで広い視野で内部統制を捉え、どのように対応しているか」ということをIR（Investor Relations：投資家への情報開示）することにより「内部統制が確立したリスクの少ない企業」と認知され、企業価値評価の向上に繋がります。もし 3 つのレベルの順序を無視し、例えば整備された業務ルール（社内規定）に従って実行された経理処理が、実は売上の水増しや、あるいは所得隠しといった違法行為に該当するような場合、「会社ぐるみでの犯罪」とみなされ上場廃止に至ることもあります。従って企業価値という観点から内部統制を検討する場合には、今、自分たちはどのレベルにいるのかという「内部統制の現在地」の把握・認識が重要であり、次のレベルに到達するための must とし

4/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/て取り組むべき項目に漏れはないか、その上で対応すべき事項は何かを明らかにすることが第一歩であると言えます。

「企業価値向上に結びつく内部統制の確立」プロジェクトの要諦
CDI では顧客の内部統制確立プロジェクトの目的を「企業価値向上」に置き、通常以下のようなフレームワークを採用しています。
基本構造における論点構成

基本構造

論点1

組織運営の視点

目的・基本思想の明確化

財務の視点

経営資源配分
ヒト・モノ・カネ・情報

業務プロセスの視点■何のためのコントロールか■基本思想にあった組織設計、ガバナンス、各種制度、業務プロセスとは何か

論点2
統制組織と業務の基本設計■組織の基本ミッション策定■組織構造、業務プロセスの設計■プロセスごとのコントロールの設定■役割・機能分担、権限と責任の設計

ITの視点

論点3
モニタリングの設計■役割・機能分担、権限と責任に応じたプロセス評価の設計■プロセスごとのＫＰＩの設定

事務手続
人事労務

法務

オペレーション

論点4
会計税務

運営ルールの整備■PDCAサイクルの設定

プロジェクトを進める上で最も重要であり、最初に行うべきことが、論点1の内部統制の目的・基本思想の明確化です。
「何のための内部統制か」という目的をはっきりさせることだと言えます。ここでは、企業の現在地を明確にし、企業価値棄損のリスクの有無、あるいは企業価値向上の可能性を評価し、次のレベルの内部統制を如何に確立するか、を定義します。現在地を曖昧にしたままプロジェクトを進行させた場合、結果として、企業価値向上に結びつかない大量の社内規定や業務文書の作成プロジェクトで終わってしまったり、あるいは企業価値棄損（法令遵守違反）リスクが見過ごされたり、といったことが起こりえます。
なぜそのようなことが起こるかというと、「内部統制」という言葉は非常に曖昧な

5/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/

ものであり、それが何を指し示すかについては各者各様のイメージ、対象範囲、目的を思い浮かべてしまい、なかなか言葉の共有化・共通認識が確立できないからです。
プロジェクトの議論の中でも、ある人は「財務報告の有効性」を念頭に置いて内部統制を語り、別の人は「業務の有効性」を念頭に置いて、事業上の管理指標を如何に適切に経営層に届け、経営層が事業予算達成に対する打ち手を講じられるようにするか、という意味で内部統制を語るということもありました。この場合、同じ「内部統制」というテーマで議論をしているのですが、その言葉の指し示す内容が各人で異なっているために、議論が噛み合わず時間だけが費やされる、という結果に終わってしまいます。
そこで CDI としては本格的な内部統制プロジェクトを実行する前に、「内部統制」という言葉の指し示す意味の統一を図る上で、「内部統制の簡易診断」を提案しています。
この簡易診断によって明らかにするのは、当該企業の内部統制のレベルです。内部統制のレベルを項目毎に6段階評価して結果を報告します。6段階の内容は、第１段階：内部統制の重要性を認識していない
第２段階：重要性を認識してはいるものの実施されていない
第３段階：内部統制が属人的には実施されているが、統制手続きが文書化されていない
第４段階：統制手続きは文書化されているものの、内部統制に対する評価結果が文書化されていない
第５段階：統制手続き・評価結果ともに文書化されている
第６段階：内部統制に対する評価プロセスそのものへの評価・改善プロセスが適用されているにレベル分けしています。曖昧であった「内部統制」という言葉が指し示す内容を明確にするためには、数値のように非常にはっきりとした指標が必要になります。簡易診断によって「現状レベル」を数値で共有し、目標とすべき統制レベルを数値目標として把握する。その上で、目標に向けて実行すべき課題は何か、どの部門・プロセス・項目が課題なのか、を明確にしていきます。この簡易診断を通じて「内部統制」という言葉が指し示す内容（すなわち取り組むべき「内部統制プロジェクト」の目的）が統一され、共有化されることにより、経営層並びにプロジェクト構成員のベクトルが一方向に収束され、本格的なプロジェクトへの着手が可能になるのです。
また、この簡易診断は、内部統制の現状が曖昧なまま（顧客も正確に把握できていない場合が多い）にプロジェクトを組成した結果、当初想定していた作業ボリュームや作業工数と実際が過度に食い違い、プロジェクトが混乱することを回避することができる有効な手段でもあると考えています。
次の本格的な内部統制プロジェクトにおいて、その内部統制の目的は企業の置かれている状況により様々です。1 つとして同じ目的・内容のプロジェクトは存在しません。例えば、ある企業では、現場の業務レベルは極めて属人的ではあるが、統制機能が適切に働いており、財務報告書に虚偽の報告がされる下地が発見されません

6/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/

でした。この企業の場合、内部統制に必要な事項は「属人的業務の文書化・標準化・IT化」であり、「内部統制確立プロジェクト」の目的は「文書化・IT 化そのもの」になります。
また別の企業では、内部統制のための文書は作成されているものの、毎年のように組織変更が行われているために、業務文書に載っている部門名が現状と合致していない、業務分掌を修正しても組織変更によりすぐに陳腐化してしまう、ということが判明しました。この企業の場合、内部統制に必要な事項は「文書メンテナンス業務の確立とその効率化・低コスト化」であり、それを直近の目標として「内部統制プロジェクト」は組成・実行されました。
このように、企業の内部統制レベル、状況に応じて内部統制プロジェクトの目標は大きく異なりますので、プロジェクトを進めるに当たっては「内部統制の現在地」を見極めることが非常に重要です。その見極めさえできてしまえば、その目的に応じて統制組織及び統制業務の設計（論点 2）を行い、監視及び運用ルールを整備していく（論点 3、論点 4）ことになります。注意すべきポイントは、内部統制の違反が 1
件でも明るみに出ると、それは企業価値の棄損に必ず直結することです。従って、監視及び運用ルールの整備に当たっては、現実的に機能するプロセスになっていること、更にルールを機能させる強制力を伴う組織を備えることが必要です。

おわりにこれまで見てきましたように「企業の内部統制確立」への取り組みにおいては、内部統制の現状を認識した上で、内部統制プロジェクトの目的を明確化することが最フェーズ0
簡易診断の実施■チェックリストによる内部統制状況の簡易診断の実施
・現状の内部統制レベルの概略評価

ＣＤＩ・内部統制上の主要課題（仮説）の抽出
・フェーズ1以降の作業規模感の把握
フェーズ1■現状調査（ヒアリング）の実施■現状の内部統制リスクの抽出
リスクの明確化と内部統制■内部統制の現状評価
システム構築計画策定■対応すべきリスクと対応の方向性検討■内部統制システム構築計画の策定
フェーズ2
あるべき内部統制システムの構築■内部統制システムの構築
・職務分掌・業務マニュアル・情報システム等の整備

7/9

フェーズ3

■内部統制システムの運用

内部統制システムの運用と改善■運用・監視の持続性の構築■運用上の有効性評価と改善

顧
客企業＋外部関係
企業（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/

も重要であると認識しており、CDI はこの計画フェーズを中心に内部統制確立への支援を行っていきたいと考えています。とは言え、実際の内部統制の実行段階においては、詳細な文書を作成する必要がありますし、IT を構築する必要もあります。
会計知識・法律知識はもとより、IT全般に対する知識や、セキュリティ等の個別のIT製品に対する知識も必要とされます。そこで CDI では、CDI- 内部統制専門チームを組成し、実行段階においても「内部統制百貨店」として、ワンストップサービスを提供できる体制を構築し、内部統制の確立・運用・その後のフォローアップまで、一貫して支援を行って参ります。
顧客の企業価値向上を現実のものとする内部統制の確立に向け、CDI は必要なスキルのワンセットでの提供を通じて、今後とも顧客企業の組織・制度・業務・IT整備を支援していきたいと考える所存です。
（はたなか かずひろ コーポレイトディレクション パートナー）（もりた かつみ コーポレイトディレクション アソシエイト・パートナー）

8/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.

http://www.cdi-japan.co.jp/

CDI ソリューションズの設立【畠中一浩】

去る7月3日に株式会社シーエーシー（以下CAC）、エーシーキャピタル株式会社（以下ACC）、及びCDIの共同出資で株式会社CDIソリューションズを設立いたしました。
顧客企業においては、IT による解決が求められる経営課題がますます増える中、従来のように業務効率化による IT 投資コストの回収が困難になる一方で、IT の投資目的の複雑化により、IT の ROI（投資回収性）が著しく低下しております。厳しい経営環境の中、IT に対しても他の投資と同様にROIの最大化が求められており、このような背景から、経営戦略に対する IT 課題の洗い出し段階から外部の専門家を入れ、改革の効果を担保するとともにそれに要する時間を短縮したいという企業のニーズが増えています。こうした中、CDI の経営コンサルティングのノウハウと CAC のシステム構築・運用サービスを融合することで、経営的な視点から IT の ROI に注力したコンサルティングを実践することができると判断いたしました。また、ACC においても、投資先およびコンサルティング先のニーズが高いシステム導入・リプレイスメント等に対応し得る体制の必要性が高まっていました。そこで、共同での事業展開が有効であるとの考えで3社が一致し、今回の合弁会社設立に至りました。
CDI では、従来から経営サイドから見た IT の ROI（投資回収性）に注目し、その ROI最大化のためのプロジェクトを数多く実践してまいりました。これらのプロジェク
トから、「ERP（業務統合パッケージ）の選定・評価」、「BPR−ROI（業務改革ROI）の算出」、「情報システムの将来構想の構築」などの手法（テンプレート）を開発し、CDIソリューションズでは、これらの経験・手法をベースにした、特に大規模あるいは複雑なプロジェクトの準備段階における事前診断をコンサルティング業務の柱にしております。大規模プロジェクトの実施前には必ず、準備作業としてプロジェクトのROI算出が義務付けられている企業が多いと思いますが、CDI ソリューションズの ROI
テンプレートを使うことにより、簡易・迅速に、更には実現性の高いROIの算出が可能になり、プロジェクトの成否を事前に現実的に議論することが可能になります。
最近では、当ニューズレターで紹介させていただいた日本版 SOX 法対応プロジェク
トの簡易診断ツールも用意しております。
また、ROIの算出だけでなく、具体的なITソリューションの提供も支援していきたいと考えております。共同出資元のCACは、システム構築において豊富な経験を持つシステム開発会社です。ROI算出後は、CACと協力して具体的なシステム開発を一貫して行うことが可能になり、システム化計画後の後戻りや協力会社間の調整に手間が取られることなく、計画した予算・スケジュールを遵守したシステム構築が実現できます。
今後も、IT 業界の最先端でコンサルティング業務を実践することにより経験を蓄積し、顧客企業の皆様を IT 面からサポートさせていただく予定です。皆様のご理解とご支援を賜りたく、引き続き宜しくお願いいたします。
（はたなか かずひろ コーポレイトディレクション パートナー、CDIソリューションズ 代表取締役CEO）

9/9（ http://www.cdi-japan.co.jp/ ）Copyright © Corporate Directions, Inc. All rights reserved.