経営者視点の内部統制　第2回　会社法とJ-SOX（1）　会社法が定める内部統制

内部統制を求める法律として、会社法とJ-SOX（日本版SOX法）の2種類があることは良く知られているところです。両者は、目的や対象範囲、適用企業が微妙に異なるため、ただでさえ掴み所のない内部統制という概念の理解を妨げる一要因になっていると言えます。

本稿では、今回と次回にわたって、会社法で定める内部統制、J-SOXで定める内部統制について、形式面に拘らず、経営者にとって注意しなくてはいけない部分を取り上げていきたい、と考えています。

会社法では、内部統制について、取締役会がその基本方針を決定し、事業報告にて開示しなければならない、と規定しています。（会社法362条、会社法施行規則100条等）では、企業はどのような内部統制システムを構築すべきなのでしょうか？

意外なことに、このことに関して会社法は一切言及していません。つまり、会社法では、内部統制システムの方針決定と開示を義務付けているだけで、内部統制システムの内容や水準については何も示していないのです。極端な話になりますが、「当社は内部統制を整備しない」という基本方針であっても、取締役会による決定と事業報告における開示が行われれば、会社法の違反にはならないことになります。

また、会社法では、J-SOXと異なり、内部統制の未整備に関する罰則規定がないことも、よく知られるところです。それゆえ、とりあえず開示義務を満たすために、内部統制に関する規定を形式的でいいので作成しておこう、というスタンスの会社が多いのが現状です。

内部統制システムの内容や水準について、会社法は特に定めていないことがわかりました。では、内部統制

システムの整備状況が不十分であったために、会社に損害をもたらした場合は、どのような責任が発生するのでしょうか？

この場合は、内部統制システムが未整備であったことに対する責任ではなく、取締役の善管注意義務に関する責任が問われることになります。

善管注意義務とは、民法644条で規定されている「委任契約の受託者は、善良なる管理者の注意を持って委任事務を行う義務を負う」というのが略されたものです。また、善良なる管理者の注意とは、「その地位にあったら通常払うべき注意」を指します。つまり、取締役というのは、会社経営の委任を受けたものであり（会社法330条）、経営のプロフェッショナルとして通常期待されるレベルを払うべきなのですが、内部統制システムが未整備であるとは、これができていない、ということを意味するわけです。

具体例として、大和銀行事件を取り上げてみます。これは、大和銀行ニューヨーク支店で証券取引業務を担当している行員が、取引で生じた損害を取り返そうとして、無断かつ簿外で米国財務証券の売買を行って、11億ドル(当時為替レート、1ドル＝90円換算で990億円)の損失を出したという事件です。

この事件に対する判決が2000年に大阪地裁より出されたのですが、12名の取締役に対し合計で800数十億円もの損害賠償が課せられた、ということで記憶に残っている方も多いのではないでしょうか。ただ、ここで議論にしたいのは、金額の大きさではなくて、「従業員の不祥事により会社が損害を被った場合、取締役に損害賠償の責任が生じる」という事実です。そして、この事実のベースとなるロジックが、取締役の善管注意義務ということになるのです。

取締役は、善管注意義務の一つとして、従業員に対する監督義務を負うことになっています。監督義務とはいっても、会社が大きくなればなるほど、取締役が個々の従業員の行動を監督するのは不可能になるわけで、それではどうすべきか？・・ということになります。そこに登場する考え方が、内部統制システムの整備による制度的対応になるのです。

大和銀行事件にあてはめてみると、米国財務証券の保管残高に関する現物確認という内部統制システムが機能していれば、従業員に対する監督義務を果たせていたことになるわけです。ここで、内部統制システムの未整備が、取締役の善管注意義務に関する責任に繋がることが分かりました。

大阪地裁による判決を引用してみましょう。

「重要な業務執行については取締役会が決定することを要するから、会社経営の根幹に関わるリスク管理体制の大綱については、取締役会で決定することを要し、業務執行を担当する代表取締役及び業務担当取締役は、大綱を踏まえ、担当する部門におけるリスク管理体制を具体的に決定するべき職務を負う。

この意味において、取締役は、取締役会の構成員として、また、代表取締役又は業務担当取締役として、リスク管理体制を構築すべき義務を負い、さらに代表取締役及び業務担当取締役がリスク管理体制を構築すべき義務を履行しているか否かを監視する義務を負うのであり、これもまた、取締役としての善管注意義務及び忠実義務の内容をなすべきものと言うべきである。」

判決文に記載されている「リスク管理体制」は内部統制システムを意味しており、内部統制システムを構築することが、取締役の「善管注意義務」である、というわけです。

会社法には、内部統制が未整備であることに関する罰則規定はないとはいうものの、「善管注意義務」のロジックにより、内部統制の整備に関する潜在的な責任があることを経営者は自覚すべきでしょう。ところで、このように書くと、どこまでが取締役の善管注意義務に当たるのだろうか、と神経質になってしまうかもしれません。たとえば、新規事業が失敗して、10億円の損失が明らかになった場合、取締役は善管注意義務が問われることになるのでしょうか？

そもそも新規事業は成功の確率が低いわけであり、一律に「新規事業失敗→善管注意義務違反」という図式が成り立てば、リスクをとって新規事業を行おうとする人はいなくなってしまいます。これは、企業の自由な活動を阻害するものです。そこで、法律は、取締役に対しては結果だけで責任を負わせないような仕組みになっています。これを「経営判断の原則」と呼びます。具体的条文はありませんが、経営判断の原則は、善管注意義務の「通常の期待されるレベル」を支える理論的枠組みといっていいでしょう。

日常的にリスクの伴うビジネスの世界で経営者を保護する原則とも言えますが、この原則による保護を受けるためには、以下の2つの条件を満たす必要があります。

（1）経営判断の前提となる情報について、収集、分析、検討がキチンと行われていること

（2）事実認識に基づく経営判断について、著しく不合理な点がないこと

要件（2）について、わざわざ「著しく」と強調しているのは、企業経営のプロでない裁判所が、経営判断に細かく口を挟むことにより、自由な企業活動を阻害してしまわないようにする効果を持っています。つまり、合理的経営判断から著しく逸脱した場合以外は、問題にならない、と考えていいでしょう。

そうしますと、裁判所で厳しくチェックされるのは、要件①ということになります。ここで、新規事業が失敗して、10億円の損失が明らかになったケースに戻りますと、要件（1）については、事業の採算分析を行ったか、経済環境、競合、自社の財務状況などの会社内外のリスク分析を行ったか、そしてこれらをもとに投資回収に関するシミュレーションを行ったか等が、判断材料になります。

ところで、事業の採算分析など一連の作業を行った結果、何らかのリスクの存在が確認されたとします。にもかかわらず、新規事業に踏み切って失敗した場合は、取締役は賠償責任を負うのでしょうか？

答えは、Noです。賠償責任は、「リスクの存在を知っていたこと」ではなく、「リスクの検討をしていなかった、あるいは検討が不十分であったこと」に課せられます。（もちろん、リスクの存在を知りながら、著しく不合理な経営判断をした場合は別ですが。）したがって、リスクの検討を十分にしていることを示す経営資料を残しておくことは、経営者（取締役）を訴訟から守るために不可欠であるといえます。

取締役会を通すために、バラ色の予測だけをした資料を作成するなどという行為はもっての他でして、事業が失敗した後に起こされた訴訟に対しては、紙切れ同然になってしまうことを肝に銘じる必要があります。

以上、会社法の定める内部統制については、362条などで明記されている決定と開示よりも、善管注意義務に関わる問題の方が、経営者にとってより真剣に取り組まなければいけない課題であることが分かりました。

次回は、J-SOXの定める内部統制について、述べさせていただきます。