内部統制プロジェクトには,専門の外部コンサルタントが参画する場合が多い。リスク・コントロール・マトリックスや業務記述書などプロジェクトの成果物は,監査人による監査を受ける。成果物が一般に公正妥当と認められる監査の基準に照らして適正かどうかは社内の人間では分かりにくいため,専門家の知見は役に立つ。また,効率良くプロジェクトを進める上で,ドキュメントのテンプレートなど専門家が用意しているツールを利用するのは有効である。

 だからといって,ヒアリングや文書化といった内部統制の構築作業を外部のコンサルタントに丸投げしてはいけない。コストが高く付くだけでなく,様々な問題が出てくるからだ。

 第一に,コンサルタントが来社する日にしか関連部門へのヒアリングが進まない。リスク・コントロールを設計したり文書化したりする前に,現状の業務を分析し,リスクを評価する必要がある。その際,関連部署へのヒアリングが必要になるが,その作業が遅れてしまうのだ。

 ヒアリングを実施するには,その業務に精通したキーパーソンとヒアリングの日程を調整する。キーパーソンというくらいだから,当然日常業務に追われているわけで,コンサルタントが来る時間に合わせてもらうといっても,なかなかそうはいかない。

 第二に,ヒアリングの効率が悪い。効率よくヒアリングを実施するには,業種業態や商習慣,その企業特有の文化,業務ルール,組織や現状の業務に至るまでの経緯など,ヒアリングを受ける側にとっては当たり前のことを知っている必要がある。外部のコンサルタントにとって,これはかなり高いハードルである。

 第三に,心理的な壁がある。ヒアリングを受ける側にすれば,いきなり外部の専門家と称するコンサルタントがあれこれ質問をするのだから,尋問されているような状況になりがちである。ありのままの業務を話すといっても抵抗があるだろう。

内部統制は構築がゴールではない

 しかし,だからといって,社内のメンバーだけで内部統制を構築するのもつらい。社内業務にある程度通じている事務局のメンバーが,叩き台としての業務フローを作成し,それを材料に業務の実態についてヒアリングを実施するケースを想定してみよう。スケジュール調整,ヒアリングは効率よく進むに違いない。だが,業務フローの妥当性やリスクの評価,統制手続きの整備などが課題となるだろう。実は,このあたりがコンサルタントが補完すべき領域なのである。

 とはいえ,専任者を含め,社内に十分な要員をそろえることは困難な場合も多い。文書化の要員として,社外のリソースを利用せざるを得ない場合もあるだろう。その場合も,内部統制構築の主体はあくまでも自社であるという姿勢は大切にすべきである。

 内部統制は構築がゴールではない。企業は構築した内部統制がシステムとして有効に機能しているか,ということを評価し続けなければならない。リスクは時代や環境によって変化するものである。本番運用開始後は,ビジネス環境の変化や法令改正,経営方針や組織の変更,新システムの導入といった社内外の環境の変化による新たなリスクを評価し,統制を見直す必要がある。また,重要性の観点から先送りした課題にも取り組む必要がある()。

図●内部統制が有効に機能しているかを評価し続けなければならない
図●内部統制が有効に機能しているかを評価し続けなければならない

 本番運用開始後のメンテナンスも視野に入れると,文書化やリスク評価,適正な統制の導入といったノウハウを習得することも,重要な課題である。丸投げをせず,社内要員が主導で文書化の作業を進めることは,企業にとって価値あることといえるだろう。


野田伊佐夫
株式会社豆蔵 IT戦略支援事業部 内部統制サービスセンター(C.I.S.C) 所長 主幹コンサルタント
 1994年,大手建設会社に入社。情報システム部に所属し,財務会計,事務管理,建設生産管理など基幹システムの開発を担当。オブジェクト指向による設計,開発手法のエンタープライズ・システムへの適用に取り組む。2006年株式会社豆蔵に入社。現在,内部統制サービスセンター所長として内部統制構築に関するコンサルティング・サービスを展開するとともに,コンサルタントとして数社の内部統制構築プロジェクトに参画している。