IPOを目指すような会社には社歴が浅い会社が多く、内部統制が有効に機能していないようなケースが結構あります。そのような会社から内部統制の構築方法に関する相談を受けることがあります。そこで改めて内部統制の目的やその構築方法を考えてみました。
内部統制の目的
内部統制の目的とは何なのでしょうか。財務報告に係る内部統制の評価及び監査の基準では以下のとおり規定されています。
内部統制とは、基本的に、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令などの遵守並びに資産の保全の4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動） 及びIT（情報技術）への対応の6つの基本的要素から構成される。
引用元：財務報告に係る内部統制の評価及び監査の基準
これが内部統制の基準で定義されている内部統制ですが正直長いし分かりにくいです。
そこで、もっと簡単に言ってしまうと、内部統制の目的とは会社が業務を効率的・効果的に進めるために皆が順守すべき仕組みなのかと思います。
法令などの順守も内部統制の目的の１つではあるのですが、もっと大事な内部統制の目的は会社が業務を円滑に進めるための仕組みを構築することだと言えます。
内部統制の構築の仕方
では、具体的にどうやって内部統制を構築していくのでしょうか。監査法人がアドバイザリーに入る場合には3点セット(業務記述書、フローチャート、リスクコントロールマトリックス)と呼ばれるものを作成して構築していきます。
3点セットは3つとも似たような内容なのですが、内部統制の構築にとって一番重要なのはリスクコントロールマトリックスかと思います。これは、それぞれの業務に関連するリスクを洗い出し、それに対応するコントロール(内部統制)をマトリックスにしたものです。
それをひとつひとつ書き出していくことで内部統制を構築していきます。
内部統制が存在しない場合の弊害を考える
まずリスクの洗い出しからですが、リスクといっても難しいものではなく、業務を進めるうえで内部統制が存在しない場合の弊害を考えることから始まります。販売のプロセスを考えた場合、売上計上に至るまで様々なリスクが想定されるかと思います。例えば、受注金額を誤るリスク、出荷日を誤るリスク、出荷数量を誤るリスク等々です。
内部統制が存在せず全ての作業を一人の人で完結しようとした場合、上記のそれぞれの箇所で間違えるリスクが存在するでしょう。
リスクへの対応(内部統制の構築方法)を考える
上記で記載したリスクに対してどのように対策を講じるかで内部統制を考えていくこととなります。
例えば、受注金額を誤るリスクであれば担当者が注文内容を販売システムに登録した際に上席者が承認する、異常な金額の注文であればシステム上アラートを設定するなどです。システム上のアラート等はそういったシステムを導入する必要がありますが、上席者の承認などであればシステム導入せずとも人力で対応することも可能でしょう。
また、出荷数量を誤るリスクであれば、日次や月次で倉庫会社の出荷データと販売数量を合わす、上席者の毎日の出荷内容を承認する等の対応が考えられます。
この様にそれぞれのリスクに対してどういう対応を取るかを一つ一つ考えていくことで内部統制構築していくこととなります。そして構築した内部統制を実践し、内部統制をより強固にしていきます。
内部統制の基本
とは言っても何を内部統制にすべきかわからないケースもあるかと思いますが、内部統制は基本的に以下の3つのケースが多いかと思います。そこで迷ったら以下3つで対応するのがいいと思います。
一般的な以下の内部統制3つです。
- 職務分掌
- 上席者の承認
- システム上の制限
職務分掌
職務分掌とは担当者により職務権限を分けることを意味します。例えば販売を取った場合でも、受注を取ってくる営業部門と受注をシステムに入力する営業管理部門を分けることがありますが、これが職務分掌です。また、システムでは実際に入力するものと承認するものは分かれていますが、これも1つの職務分掌です。
職務分掌する趣旨は、すべての作業を同一の部門で行った場合、不正につながる可能性が高くなるためです。それぞれの部署や担当者での職務を最低限分けることで不正を防ぐことが可能となります。
上席者の承認
上席者の承認とは、そのまま担当者の作業を上席者が承認することを意味します。単純なミスを減らす意味でも担当者と別の上席者が承認するのは重要です。
システム上の制限
他にも有効な内部統制としてシステム上の制限があります。例えば、入力できる得意先はマスタ登録したもの、受注入力金額の上限を権限によって分ける、一定以上の金額については月次でアラートをかけるなどです。システムを導入する必要があるため一定の投資が必要となりますが、単純な誤りを防ぐ意味でもシステム上の制限は重要です。
このように様々な内部統制を構築することによってリスクに対処することにより内部統制を構築します。内部統制は他にもいろいろな手法が存在しますが、上記のような内部統制を行うことから始めるのがいいのではないでしょうか。
