アビーム コンサルティング（東京・千代田）は2008年3～5月に実施した「J-SOX対応状況調査」の結果を9月に発表している（関連記事）。調査を担当した同社の西山清史マネージャーに、企業が内部統制実現に向けて取り組むべきポイントとして示した「5つのアクション」について解説してもらった。

　5つのアクションとは、「1. 内部統制推進機能の確立・維持」「2. 統制レベルの維持と業務効率向上の両立に向けたBPR（ビジネスプロセス改革）の推進」「3. 統合リスクマネジメントの構築」「4. 評価業務の共通化・標準化」「5. 評価人員の拡充」である。

　アビームの西山マネージャーは、「文書化が済んだ時点でプロジェクトチームを解散させる企業が少なくない。通り一遍の法対応はできても、将来的には形骸化したり、統制が効かなくなってしまう。現場部門に内部統制維持を丸投げするのではなく、本社部門などに組織を作るべきだ」と指摘する。

　調査によると、5つのアクションのうち1の取り組みにおいては、約8割の企業が『実施基準』に忠実にリスクコントロールの洗い出しなどに取り組む一方で、運用推進体制はぜい弱なことが浮き彫りになった。内部統制対応責任者（プロセスオーナー）を任命している企業は46％、内部統制推進組織を設置している企業は26％にとどまる。内部統制対応責任者を任命していても、兼務などで人員が限られ、現場部門の質問や要望に対応しきれないケースがあるようだ。

　5つのアクションのうち3について、西山マネージャーは「『実施基準』に忠実に取り組むことは、法対応のためには確実だが、経営上の効果は出にくい。法の範囲外でも、原材料の安定的確保や、為替・貿易関連業務など、全社でリスク統制すべき分野は多い」と説明する。リスク統制の作業に慣れた今のうちに、金融・財務上のリスクや災害リスク、評判リスクなど他種のリスクへも管理体制の整備を拡大することを勧めている。

　調査は、東証・大証の1部・2部上場企業と東証マザーズ・ジャスダック上場の従業員300人以上の企業約2800社に質問票を郵送し、302社から回答があった。J-SOX（金融商品取引法）により内部統制報告書の提出が2008年4月1日以後に開始する事業年度から義務付けられているが、調査時点では、まだ法対応作業中の企業が多いことが分かった。「業務プロセス統制に関するリスクコントロールの洗い出し状況」については、「統制上必要な業務改善は既に完了し、業務運用に着手」した企業は全体の20％にとどまり、76％が作業途上だった。特に連結売上高1000億円未満の小規模企業において遅れが目立つことも分かった。