内部統制は決して完璧ではなく、そこには限界が存在します

内部統制システムは一度構築してしまえば、企業不祥事や粉飾決算が生じることはないという「絶対的」なものではなく、その目的を合理的に達成しようと言うものです。つまり完璧だと思われる内部統制であっても、そこには「限界」が存在し、いくらシステムが十分に整備され、意図したとおりに運用したとしても誤りが生じる可能性はゼロではないのです。「内部統制基準」では、その限界として以下の4つのケースを挙げています。

担当者の不注意、判断ミス、共謀による場合

まず考えられるのは、担当者が不注意などによって事務処理やパソコン操作を間違えたり、判断ミスをしてしまう場合が考えられます。内部統制には、こうした不注意や判断ミスの発生をダブルチェックなので減少させる機能を備えていますが、その行為を行なうのが人間である以上、ミスが発生する可能性をゼロにすることはできません。

また内部統制には、担当者同士の相互牽制を通じて適切な統制活動やモニタリングが行なわれるようになっていますが、社内のある担当者が、同じ社内の別の担当者が共謀して記録を改ざんしたりする場合も考えられます。さらに、取引先の担当者と共謀して不正を行なえば、内部統制が機能しなくなる可能性はさらに高くなります。

組織内外の環境の変化や非定型的な取引

内部統制は、構築された時点での業務プロセスに基づいて設計されていますので、システムの構築後にITインフラに大規模な変更が生じた、あるいは新しい法律が施行されたなどの外部環境に変化が生じた場合、またM&Aや部署間の統廃合など、企業の内部環境に変化が生じた場合には、内部統制の有効性が期待できないことがあります。

さらに、これまで対企業との取引（BtoB）のみを行なってきた企業がはじめて対個人消費者との取引（BtoC）を行なう場合、取引の前に行なう信用調査の方法などのプロセスがまったくことなることから従来の内部統制では対応しきれないでしょう。ほかにも、企業規模の拡大に伴い海外に進出した企業が、現地の企業と提携したり、現地の従業員を雇用するなど、これまでとは全く異なる業務においても、既存のシステムでは機能しない可能性が高くなります。

このような場合は、内部統制の運営と整備を行いながら、システム自体を時間をかけてチェックして改善してゆく必要があります。また突発的な事象が起きて、内部統制が機能しなくなったケースに備えて、上司・経営者への報告や決裁権限委譲の方法をあらかじめ決めておけば、対応がスムーズに行えます。

効果に比べてコストが極端に上回る

内部統制の整備と運用を行なうことは経営者の義務ですが、営利活動を行うという企業の特性上、内部統制ばかりにコストを掛けているわけにはいかず、効果とコストを天秤に掛けて経営判断を行なう必要があります。日本版SOX法にも、内部統制システムの構築水準や対策費用などの具体的指標は提示されておらず、法制化されているのは必要最小限のルールです。

資産管理の業務で考えてみると、ボールペンやコピー用紙のような安価な事務用品に対して、施錠を行い、受払簿を作成するといった厳重な管理を行なっている企業はないでしょう。コストの安い資産にたいして、それ以上のコストを掛けて管理を行なうことは企業にとってむしろ損失となるからです。

また、不正アクセスや情報流出の防止を目的に、セキュリティ・システムの導入を検討する場合を考えてみると、導入にかかる費用とそこから得られる効果を勘案する必要があります。いくらセキュリティ・システムが完璧でも、アクセス権限をもつ担当者の教育が不十分なら、情報漏洩が起きる可能性は高くなります。そうであるなら、アクセス制限の実施や研修・教育など、コストがかからない方法で情報管理の重要性を啓蒙をする方が、情報管理という点で、より高い効果が得られるかもしれません。

ある内部統制システムを導入するかどうかを検討した結果、そのコストが得られる効果を極端に上回ると判断される場合には、その導入を断念するかもしれないというのが、内部統制の限界となります。

経営者による不正

内部統制が適切に整備・運用されていれば、重大な法令違反が見つかった場合、直ちに経営者に伝達がなされることになります。しかし経営者は、内部統制を構築する立場であるがゆえに、これを握りつぶしたり、自らが不正な目的のために内部統制を無視することも可能なのです。これが内部統制の4つ目の限界となります。

SOX法導入のきっかけとなったアメリカのエンロン事件やワールドコム事件、国内に目を向けると西武鉄道やカネボウ、ライブドアなど、利益追求を重視するあまり、経営者が自らが株価を上げるために粉飾決算を指示する、あるいは他の役員や従業員が法令に違反していることを知りながら放置するなどの事例が、この数年で多く見られました。

どんなに不祥事や違法行為を防止するための仕組みが整備されていても、経営者が利益を上げることを優先し、法令に抵触するような指示をすれば、内部統制も何もあったものではないでしょう。内部統制システム以前の問題として、取締役会や各種委員会が正常に機能していることが重要です。

内部統制の構築を進める場合、その有効性はあくまで「合理的な」証明であり、「絶対的な」証明ではないことを理解しておく必要があります。