キヤノンITソリューションズ
コンサルティングセンター
After J-SOX研究会会員
関田 良二
多くの企業がJ-SOX（日本版SOX法、内部統制報告制度）初年度における対応を終えて、2年目以降に向けた作業を進めつつある。その際に、これまで内部統制の構築を主導してきた組織（以下、事務局組織）の役割を見直す必要がある。同時に、事務局組織の要員をどのように確保するか、要員のキャリアパスをどうすべきかを検討することも大切だ。
企業がJ-SOX2年目以降も内部統制を継続的に維持・運用していくためには、こうした組織や要因育成の体制の見直しが欠かせない。今回はこの点についてポイントを説明する。
プロジェクト組織から常設組織への改変が必要
日本監査役協会が2009年4月に公表した「第2回 財務報告に係る内部統制報告制度に関するインターネット・アンケート」によれば、J-SOX初年度に専門の事務局組織を設けた会社は、全体の8割以上に上った。これら事務局組織の組織形態としては、「内部統制プロジェクト」「J-SOXプロジェクト」のようなプロジェクト型組織か、「内部統制推進室」「内部統制室」のような常設組織のいずれかが考えられる。
J-SOX2年目以降は、こうした事務局組織をどうすべきだろうか。「2年目以降は、内部監査部門が有効性評価（整備状況や運用状況の評価）作業だけを実施すればよいはずだ。プロジェクト組織を解消するか、常設組織をもっと小規模なものにしてよいのばないか」。このような意見もあるようだ。
しかし、事務局組織を無くしたり規模を縮小したりすると、2年目以降のJ-SOX対応に支障が生じる可能性が高い。2年目以降にも当然、業務や組織の変更に伴って文書を変更する必要が生じる。新たに内部統制を整備しなければならないケースも出てくる。そもそも内部監査部門は、内部統制の評価や監査作業を推進するのが役割である。独立性が必要であることからも、内部統制の整備を推進するのは難しい。
つまりJ-SOX2年目以降も、全社の内部統制の構築を推進する部門として事務局組織が欠かせないことになる。その際に、常設的な組織とするのがポイントだ。J-SOX初年度をプロジェクト組織で対応していた企業は、2年目以降に常設組織へと変更しなければならない。
常設的な事務局組織を作るやり方は様々である。新たに専門部署を設けてもよいし、既存の部門内に新たな役割を設定するのでもよい。
比較的小規模な企業では、兼務を含め数人の担当者でJ-SOX対応作業すべてを進めているケースが多いとみられる。その場合、数人のメンバーだけがJ-SOX対応の知識やノウハウを持つことになり、担当者が異動したりすると作業に多大な影響が出てくる可能性がある。J-SOX対応作業を担当者個人でなく、組織にひも付けて進めることが重要になる。
業務部門に作業を移管する
J-SOX2年目以降の事務局組織は、単に常設組織であればよいわけではない。2年目以降は、初年度に比べると作業量が減少する。しかも、有効性評価作業のピーク時とそれ以外で、業務量に大きな差が生じる。この課題に対処しなければならない。
そのためには、業務量の削減と役割分担の見直しの双方を図っていく必要がある。まず、ピーク時における事務局組織の作業量を削減することが大切だ。文書の修正や有効性評価といった作業を、各業務部門が実施するようにしていけばよい。
役割分担とは、これまで事務局組織あるいは内部監査部門が担っていた作業を業務部門にある程度、肩代わりさせていくことを指す。その前提として、文書の作成や有効性評価などの作業をJ-SOX対応のためだけでなく、本来の意味での内部統制構築のために実施するというスタンスに変えていかなければならない。事務局組織はその際の推進部門となる。
例えば、J-SOX対応の際に作成した業務フロー類を、各業務部門でマニュアルの一つとして利用してもらう。さらに業務部門が文書類を利用して、財務報告にかかわるリスクだけでなく、業務全般にかかわるリスクを洗い出してRCM（リスク・コントロール・マトリックス）を作成する。こうすることで、業務の有効性・効率性の阻害リスクやコンプライアンス（法令順守）リスクを含む内部統制の全領域をカバーできるようになる。
有効性評価の作業は、業務部門が自己評価（CSA：Control Self Assessment）を実施することで、自ら自己改善を進めていくのが望ましい。内部監査部門は、業務部門などを直接評価するよりも、評価方法の教育や評価結果の再確認といった作業に注力できるようになる。
以上によって、業務量の平準化を図ることが可能になる。少数の専任担当者でJ-SOX対応の業務を実施してきた企業でも、同様に役割分担を見直すことで、他の業務との兼務が可能になるなど負荷の平準化が図れるはずだ。
