経営者視点の内部統制　第4回　J-SOX対応プロジェクトの勘所（1）　方針策定

J-SOX対応は全ての公開企業に共通する悩みですが、中でも人的リソースに限りのある新興市場上場企業、あるいは上場を目指している経営者にとっては、大きな心理的負担になります。

「こんな所にコストをかけていられない」等といった愚痴が聞こえそうですが、さりとて内部統制の整備と運用の責任は、経営者の責任であるという厳然たる事実があります。J-SOX対応プロジェクトを丸投げにすることなどできないのです。

ここでは、連載テーマが経営者の視点に立った内部統制であることを思い起こし、J-SOX対応プロジェクトにおいて、経営者が注意すべき点を述べていきます。

J-SOX は、経営者に対し会社の内部統制の構築と評価を義務付けていますが、この対応のために下図のようなプロジェクトを組みます。

【J-SOX 対応プロジェクトの流れ】

さて、経営者にとってプロジェクトの中で最も重要なフェーズはどの部分でしょうか？

ここで、プロジェクトの目的は、内部統制監査でOKを貰うことでした。そして、同じOKを貰うにしても、費用や時間がかからずにできることが望ましい筈です。

こうした考えに立てば、プロジェクトの目的を設定し、目的実現のためのチームを編成し、何をどのような時間軸で行うかを決めていく「プロジェクト方針策定」フェーズが最も重要であることは明らかです。では、このフェーズで経営者は具体的にどのような点を注意すべきかと見ていきたいと思います。

プロジェクトの方針とは、内部統制監査に完璧な形つまり100点でパスするか、あるいはギリギリの70点でパスするレベルにするかということです。これにより、全作業量が大きく変わるので、費用対効果でプロジェクトを考える場合、非常に重要な問題になります。

また、よく言われることですが、J-SOX対応を社内の旧態依然とした体制を是正する好機と捉え、BPR（ビジネス・プロセス・リエンジニアリング）やBSC（バランス・スコア・カード）などの手法と同時に導入するという考え方があります。これに対して、筆者は反対の立場をとります。J-SOX対応プロジェクトは大量の文書化を伴いますが、各部門間で文書の標準化していく作業は結構大変なことであり、BPRだとかBSCなどの複数の目的をクリアする余裕などがなくなるからです。

プロジェクトチーム編成にあたっては、内部リソース（社員）と外部リソース（監査法人やコンサルタント）をどのような組合せで使うかがポイントになります。内部リソースを使えば、時間がかかりますし、外部リソースを利用すれば費用がかかります。

常識的に見ると、内部リソース、つまり社員が内部統制に関して十分な知識を持っていることはないので、まずは研修に行かせ、その上で試行錯誤しながらプロジェクトを進めていくことになります。また、外部リソース、つまりコンサルタントなどを利用する場合は、一日当り20万円前後かかると言われています。時間軸で考えてみることも重要です。

J-SOX初年度の立ち上げ期に当っては、外部リソースを積極的に利用し効率的にプロジェクトを進め、次年度以降のメンテナンス・フェーズでは、コスト面を重視し内部リソースの比率を高めていくなどの手法が考えられます。

次に、内部リソースの中味について考えてみましょう。社内のプロジェクトチームの編成にあたっては、次の3部門からの参加が必要になるといえます。

（1）各事業部門 
（2）経理・財務部門 
（3）内部監査部門

プロジェクトチームのメンバーには、内部統制を構築していく業務的スキルと、構築した内部統制を評価していく監査的スキルが求められますが、（1）の各事業部門が業務的スキルを、そして（3）の内部監査部門が監査的スキルを保有していることは言うまでもありません。

そして、「財務報告」に係る内部統制の評価を行うJ-SOX対応プロジェクトにおいて、（2）の経理・財務部門は、各事業部門の取りまとめ役になります。以上より、経理・財務部門と内部監査部門が中心となり、各事業部門から協力者を募るというのが、一般的なチーム編成と考えられます。

外部リソースについては、外部監査人を用いるか、外部監査人とは別の専門家（監査法人あるいはコンサルタント）を用いるかという選択があります。J-SOXは、外部監査人との協議を認めており、外部監査人にとっても内部統制監査における監査リスクを低減させることができるという利点がありますが、独立性の観点から、アドバイスはできても作業面での支援はできないという限界があります。

他方、外部監査人以外の専門家は、様々な面でサポートは可能ですが、外部監査人の重視するポイントが不明なため、保守的な対応＝必要以上の工数にならざるを得ないという側面があります。

評価範囲の策定とは、企業の連結グループのどこまで（どの事業拠点のどのプロセスまで）を評価対象にするかということで、これもプロジェクトの全作業量に大きく影響します。

実施基準によれば、全社的な内部統制の評価、および決算・財務報告に係る業務プロセスの評価は全拠点を対象とします。（下図参照）また、決算・財務報告以外の業務プロセスでは、全社的な内部統制が有効である場合、連結売上高の概ね2/3程度までを占める事業拠点が評価対象とされます。

連結売上高の2/3を計算するにあたっては、各事業拠点の内部取引消去後の売上高が使用されますが、例えば、製造子会社の内部売上が消去された結果、評価対象から外れる可能性があります。製造業において製造子会社の役割は非常に大きいため、個別に評価対象への追加を検討する必要があるでしょう。

重要な事業拠点が選定されると、次は企業の事業目的に大きく関わる勘定科目とそれにいたる業務プロセスを識別する必要があり、実施基準では、一般的な事業会社の事業目的に大きく関わる勘定科目として、売上、売掛金、および棚卸資産が例示されています。これらは、製造業や物販販売業などではあてはまりますが、その他の業種では判断を要する場合があります。
たとえば、サービス業では労働集約的であるという特性上、棚卸資産は重要性を殆ど持たず、かわりに人件費が重要になってきます。また、装置産業では、固定資産に関わる勘定科目が重要性を持っています。

このような形で、個別に判断する箇所がでてくるため、評価範囲の策定にあたっては、マニュアル的対応ではなく、主体的に取り組むことが求められます。

【財務報告に係る内部統制の評価・報告の流れ】 （「実施基準」の参考図2を加工）

J-SOX対応プロジェクトにおいて作業量の大半を占めるのが、「文書化と整備状況の評価」と「運用状況の評価」のフェーズです。これら2つのフェーズで、合計で6～8ヶ月かけるのが一般的です。

ここで、具体例として運用状況の評価を3ヵ月間で終わらせるスケジュールを組み立ててみましょう。運用状況の評価、即ちテスティングは、テスト計画とテストの実施、そしてテスト結果の評価というサイクルからなりますが、この一連のプロセスに評価者（テスター）は約2時間要すると言われています。比較的小規模な企業を想定して、内部統制の評価をすべき箇所が1500ポイントであるとすると、テスティングに要する総時間数＝2時間×1,500ポイント＝3,000時間
これを3ヶ月間で行う場合、1ヶ月で1,000時間となります。評価者一人当たりに与えられている時間は、1ヶ月当り180時間（≒8時間×22日）であるため、6人（≒1,000時間÷180）のスタッフが必要になる、という計算になります。

拠点が各地に散らばっている場合は、これらのスタッフの移動時間などもあわせてスケジュールや予算を組み立てる必要があります。

スケジューリングに当っては、 【J-SOX対応プロジェクトの流れ】に描かれていない研修のフェーズを入れておくことも考慮に入れてください。プロジェクトチームの数名を外部研修会に行かせ、その知識をその他のメンバー、延いては各事業部門の作業スタッフに伝達してくための研修期間として3 ヵ月ほどを割り当てておくとよいでしょう。

次回は、引き続き、 J-SOX対応プロジェクトの勘所を、述べさせていただきます。