内部統制

会計と監査によって定義される内部統制は、業務の有効性と効率性、信頼性の高い財務報告、法律、規制、ポリシーの遵守における組織の目標を保証するプロセスです。広い概念である内部統制には、組織に対するリスクを管理するすべてのものが含まれます。

これは、組織のリソースを管理、監視、および測定する手段です。不正行為を検出して防止し、組織の物理的リソース (機械や資産など) と無形リソース (評判や商標などの知的財産など) の両方を保護する上で重要な役割を果たします。

組織レベルでは、内部統制の目標は、財務報告の信頼性、業務目標または戦略目標の達成に関するタイムリーなフィードバック、および法律や規制の遵守に関連しています。特定の取引レベルでは、内部統制は特定の目標を達成するために講じられる措置を指します (たとえば、組織が第三者に支払う支払いが、提供された有効なサービスに対するものであることを確認する方法など)。内部統制手順は、プロセスの変動を減らし、より予測可能な結果を​​もたらします。内部統制は、 1977 年の海外腐敗行為防止法(FCPA) および2002 年のサーベンス・オクスリー法の重要な要素であり、米国の公開企業の内​​部統制の改善を義務付けました。企業体内の内部統制は、運用統制とも呼ばれます。実施されている主要な統制は、「主要財務統制」(KFC) と呼ばれることもあります。^[1]

内部統制は古代から存在していた。ヘレニズム時代のエジプトでは、税金を徴収する官僚とそれを監督する官僚の二重行政が行われていた。中華民国では、政府の五権のうちの一つである監察院（检察院、ピンイン：Jiǎnchá Yùan）が、他の政府部門を監視する調査機関である。

内部統制は、組織のさまざまな構成員（利害関係者）にさまざまな方法で、さまざまな集約レベルで影響を及ぼすため、内部統制には多くの定義があります。

米国だけでなく世界中で広く使用されている COSO内部統制統合フレームワークでは、内部統制は、企業の取締役会、経営陣、およびその他の人員によって実行され、業務、報告、コンプライアンスに関連する目標の達成に関して合理的な保証を提供するように設計されたプロセスとして広く定義されています。

COSO は、内部統制を 5 つの要素で定義しています。

1. 統制環境 - 組織の雰囲気を決定し、従業員の統制意識に影響を与えます。これは、内部統制の他のすべてのコンポーネントの基礎となります。
2. リスク評価 - 目標達成に関連するリスクの特定と分析、リスクの管理方法の基礎の形成
3. 情報通信 - 人々が責任を遂行できるように、情報の識別、取得、交換を形式と時間枠でサポートするシステムまたはプロセス
4. 管理活動 - 管理指示が確実に実行されるようにするポリシーと手順。
5. 監視 - 長期にわたる内部統制パフォーマンスの品質を評価するために使用されるプロセス。

COSO の定義は、多くの個別の制御手順で構成される組織の総合的な制御システムに関連しています。

個別管理手順、または管理は、SEC によって次のように定義されています。「... 目的を達成するために設計された特定のポリシー、手順、およびアクティビティのセット。管理は、プロセス内の指定された機能またはアクティビティ内に存在する場合があります。管理の影響は... エンティティ全体またはアカウント残高、トランザクションのクラス、またはアプリケーションに固有の場合があります。管理には独自の特性があります。たとえば、自動化または手動、調整、職務の分離、レビューと承認の権限、資産の保護と説明責任、エラーまたは詐欺の防止または検出などがあります。プロセス内の管理は、財務報告管理と運用管理 (つまり、運用目的を達成するために設計された管理) で構成される場合があります。」^[2]

より一般的には、目標、予算、計画、その他の期待を設定することで、管理の基準が確立されます。管理自体は、パフォーマンスや状況を期待、許可、または容認される範囲内に維持するために存在します。プロセス内に構築される管理は、本質的に内部的なものです。従業員の行動に影響を与える社会的環境、管理に必要な情報、ポリシーと手順など、相互に関連する要素の組み合わせによって行われます。内部管理構造は、内部管理がこれらの要素からどのように構成されるかを決定する計画です。^[3]

コーポレート ガバナンスの概念は、内部統制の必要性にも大きく依存しています。内部統制は、プロセスが設計どおりに機能し、リスク管理におけるリスク対応 (リスク処理)が実行されることを保証するのに役立ちます (COSO II)。さらに、前述の手順が意図どおりに実行されることを保証する環境、つまり正しい姿勢、誠実性と能力、管理者による監視が必要です。

COSO フレームワークによれば、組織内の全員がある程度の内部統制の責任を負います。実質的にすべての従業員が内部統制システムで使用される情報を作成したり、統制に影響を与えるために必要なその他の行動を取ったりします。また、すべての従業員は、業務上の問題、行動規範の不遵守、その他のポリシー違反や違法行為を上層部に伝える責任があります。コーポレート ガバナンスにおける主要な各組織には、果たすべき特定の役割があります。

組織の最高経営責任者 (トップ マネージャー) は、効果的な内部統制の設計と実装の全体的な責任を負います。他の誰よりも、最高経営責任者は、誠実さや倫理、および積極的な統制環境のその他の要素に影響を与える「トップの姿勢」を設定します。大企業では、最高経営責任者は、上級管理職にリーダーシップと指示を与え、彼らのビジネス管理方法を見直すことでこの義務を果たします。上級管理職は、次に、より具体的な内部統制ポリシーと手順を確立する責任を、ユニットの機能を担当する人員に割り当てます。小規模な組織では、多くの場合オーナー マネージャーである最高経営責任者の影響は通常、より直接的です。いずれにせよ、カスケード責任では、マネージャーは事実上、自分の責任範囲の最高経営責任者です。特に重要なのは、財務担当者とそのスタッフです。彼らの管理活動は、企業の運営部門とその他の部門を横断し、上下に及んでいます。

経営陣は、ガバナンス、指導、監督を行う取締役会に対して説明責任を負います。効果的な取締役会メンバーは、客観的で、有能で、探究心があります。また、企業の活動や環境に関する知識を持ち、取締役会の責任を果たすために必要な時間を費やします。経営陣は、統制を無視し、部下からのコミュニケーションを無視または抑制する立場にある場合があり、故意に結果を偽る不正な経営陣がその痕跡を隠すことを可能にします。強力で活動的な取締役会は、特に効果的な上層部へのコミュニケーション チャネルと有能な財務、法務、内部監査機能と組み合わせると、多くの場合、このような問題を特定して修正する能力が最も高くなります。

組織の内部監査人および外部監査人も、自らの努力を通じて内部統制の有効性を測定します。監査人は、統制が適切に設計され、実装され、効果的に機能しているかどうかを評価し、内部統制を改善する方法について勧告を行います。また、組織の IT システムに関連する情報技術統制も検討します。財務報告プロセスに関係する内部統制が有効であるという合理的な保証を提供するために、外部監査人 (組織の公認会計士) が内部統制をテストします。外部監査人は、会社の内部統制と財務報告の信頼性について意見を述べることが求められます。

監査委員会の役割と責任は、一般的に、次のとおりです。(a) 経営陣、内部監査人、外部監査人、および主要な利害関係者と、組織の内部統制システムとリスク管理プロセスの品質と妥当性、およびそれらの有効性と結果について話し合い、内部監査部長と定期的に非公開で会合を持つ。(b) 経営陣および外部監査人と検討および協議し、組織の監査済み財務諸表を承認し、それらの財務諸表を公開書類に含めることについて勧告を行う。また、経営陣および独立監査人と、規制および会計イニシアチブの影響、ならびに組織の財務諸表におけるオフバランスシートの問題についても検討する。(c) アナリストおよび格付け機関に提供される会社の収益プレスリリース、財務情報、および収益ガイダンスに関して開示される情報の種類と行われるプレゼンテーションの種類について検討および協議する。(d) 外部監査人および内部監査人が実施する監査の範囲を確認し、進捗状況を監視し、結果をレビューし、料金と経費を検討する。重要な発見事項や不十分な内部監査報告書、または外部独立監査人が遭遇した監査上の問題や困難をレビューします。すべての監査結果に対する経営陣の対応を監視します。(e) 会計、内部会計管理、監査事項に関する苦情を管理します。(f) 最高経営責任者、最高財務責任者、および会社の他の管理委員会から、内部管理の設計または運用の欠陥、および経営陣または内部管理で重要な役割を担う他の従業員が関与する不正行為に関する定期的な報告を受け取ります。(g) 経営陣が利益相反を解決できるようサポートします。組織の内部管理の適切性を監視し、すべての不正行為が確実に対処されるようにします。

人事福利厚生部門の役割と責任は、一般的に、次のとおりです。(a) 会社の役員報酬プログラムの管理を承認および監督する。(b) 最高経営責任者、最高執行責任者 (該当する場合)、最高財務責任者、法律顧問、上級人事責任者、財務担当役員、取締役、コーポレート リレーションズおよびマネジメント、および取締役の特定の報酬事項を検討および承認する。(c) 上記の役員の報酬事項の変更を必要に応じて取締役会と検討する。(d) 業績管理システムを含む、人事関連の業績およびコンプライアンス活動とレポートをすべて検討および監視する。また、福利厚生部門は、組織の経営陣が福利厚生関連の業績評価基準を適切に使用していることを確認します。

すべてのスタッフ メンバーは、業務上の問題の報告、パフォーマンスの監視と改善、企業ポリシーやさまざまな職業規範への不遵守、またはポリシー、標準、慣行、手順への違反の監視に責任を持つ必要があります。スタッフの特定の責任は、各自の人事ファイルに文書化する必要があります。パフォーマンス管理活動では、スタッフはさまざまな組織ユニットの一部であるため、すべてのコンプライアンスおよびパフォーマンス データの収集と処理活動に参加し、組織のさまざまなコンプライアンスおよび業務関連の活動にも責任を負う場合があります。

スタッフおよびジュニアマネージャーは、コントロール自己評価を使用して、自分の組織単位内のコントロールの評価に関与する場合があります。

テクノロジーとデータ分析の進歩により、内部統制の有効性を自動的に評価できるツールが数多く開発されました。継続的監査と組み合わせて使用​​することで、継続的統制監視はビジネス プロセスを通じて流れる財務情報に対する保証を提供します。

財務報告に関連する内部統制に関する法律や規制は、多くの法域で存在しています。米国では、これらの規制はサーベンス・オクスリー法の第404条および第302条によって具体的に規定されています。これらの統制の監査に関するガイダンスは、

• 米国公認会計士協会（AICPA）発行のSSAE No. 18
• 公開会社会計監視委員会（PCAOB）が発行した監査基準第5号
• SEC ガイダンスについては、SOX 404 トップダウン リスク評価でさらに詳しく説明されています。

内部統制は、組織の目的が達成されることを絶対的ではなく合理的に保証します。合理的保証の概念は、増分的な管理手順を確立するためのコストと利点によって制約される高度な保証を意味します。

有効な内部統制とは、組織が信頼できる財務報告を作成し、適用される法律や規制に実質的に準拠していることを意味します。ただし、組織が業務目的や戦略目的を達成できるかどうかは、競争や技術革新など、企業外の要因に左右される可能性があります。これらの要因は内部統制の範囲外であるため、有効な内部統制は、業務目的や戦略目的の達成に向けた進捗状況に関するタイムリーな情報やフィードバックを提供するだけで、その達成を保証するものではありません。

内部統制は次のように説明できます。

a) 関連する目的または財務諸表の主張

b) 管理活動自体の性質。

主張とは、財務諸表に具体化された経営陣による表現です。たとえば、財務諸表に固定資産の残高が 1,000 ドルと記載されている場合、これは、財務諸表の日付時点で固定資産が実際に存在し、その評価額がちょうど 1,000 ドル (報告フレームワークと基準に応じて取得原価または公正価値に基づく) であり、企業がそのような資産から生じる完全な権利/義務を有している (たとえば、リースされている場合は、それに応じて開示する必要がある) ことを経営陣が主張していることを意味します。さらに、そのような固定資産は、会社に適用される財務報告フレームワークに従って、財務諸表で正しく開示および表現する必要があります。

コントロールは、関連する特定の財務諸表アサーションに対して定義できます。このようなアサーションは 5 つあり、頭字語「PERCV」(「パーシーブ」と発音します) を形成します。

1. 提示と開示: 会計と開示は組織の財務諸表に適切に記載されます。
2. 存在/発生/有効性: 有効または承認されたトランザクションのみが処理されます。
3. 権利と義務: 資産は組織の権利であり、負債は特定の日付時点での義務です。
4. 完全性: 必要なすべてのトランザクションが処理されます。
5. 評価: 取引は、指定された計算手段や計算式などの適切な方法を使用して正確に評価されます。

たとえば、妥当性管理目標は、「支払いは承認された製品およびサービスに対してのみ行われます。」などです。一般的な管理手順は、「支払いシステムは、支払いを承認する前に、注文書、受領記録、およびベンダー請求書を比較します。」などです。管理者は、責任範囲内のすべての取引に適用される適切な管理を実施する責任があります。

管理活動は、活動の種類や性質によっても説明できます。管理活動には次のようなものがあります (ただし、これらに限定されません)。

• 職務の分離- 承認、保管、記録保持の役割を分離して、1 人の人物による不正行為や誤りを防止します。
• 取引の承認 – 適切な人物による特定の取引の確認。
• 記録の保持 – 取引を証明するための文書を維持します。
• 業務の監督または監視 - 進行中の業務活動の観察またはレビュー。
• 物理的な安全対策 - 商品在庫などの資産を保護するためにカメラ、ロック、物理的な障壁などを使用します。
• トップレベルのレビュー - 組織の目標または計画に対する実際の結果の分析、定期的かつ定期的な運用レビュー、メトリック、およびその他の主要業績評価指標(KPI)。
• IT 一般管理 – 次の項目に関連する管理: a) セキュリティ (パスワードの使用やアクセス ログの確認など、システムおよびデータへのアクセスが承認された担当者に制限されていることを確認する)、b)変更管理(実稼働環境とテスト環境の分離、承認前の変更のシステムおよびユーザー テスト、コードの実稼働への移行の管理など、プログラム コードが適切に管理されていることを確認する)。
• IT アプリケーション制御 – データ入力を検証するための編集チェック、数値シーケンスでのトランザクションの記録、ファイル合計と制御アカウントの比較など、IT アプリケーションによって実施される情報処理の制御。

制御精度は、特定の制御手順と特定の制御目標またはリスクとの整合性または相関関係を表します。目標の達成 (またはリスクの軽減) に直接影響を与える制御は、目標またはリスクに間接的に影響を与える制御よりも正確であると言われています。精度は十分性とは異なります。つまり、制御目標の達成またはリスクの軽減には、精度の程度が異なる複数の制御が関係する場合があります。

精度は、 SOX 404 のトップダウン型リスク評価を実行する上で重要な要素です。特定の財務報告の重大な虚偽記載リスクを特定した後、経営陣と外部監査人は、リスクを軽減するコントロールを特定してテストする必要があります。これには、リスクを軽減するために必要なコントロールの精度と十分性の両方に関する判断が含まれます。

PCAOB のガイダンスでは、リスクとコントロールはエンティティ レベルまたはアサーション レベルのいずれかになります。エンティティ レベルのコントロールは、エンティティ レベルのリスクに対処するために特定されます。ただし、アサーション レベルのリスクに対処するために、エンティティ レベルとアサーション レベルのコントロールの組み合わせが特定されるのが一般的です。PCAOB は、エンティティ レベルのコントロールの精度を検討するための 3 レベルの階層を設定しました。 [4]その後、PCAOB は小規模上場企業に関するガイダンスで、精度を評価する際に考慮すべきいくつかの要素を示しました。 [ ^{5 ]}

内部統制は、不正行為の防止と検出において重要な役割を果たします。^[6] サーベンス・オクスリー法では、企業は不正リスク評価を実施し、関連する統制を評価することが義務付けられています。これには通常、盗難や紛失が発生する可能性のあるシナリオを特定し、既存の統制手順がリスクを許容レベルまで効果的に管理しているかどうかを判断することが含まれます。^[7] 上級管理職が重要な財務統制を無視して財務報告を操作するリスクも、不正リスク評価の重要な焦点です。^[8]

AICPA、IIA、ACFEも2008年に発行されたガイドを後援しており、これには組織が詐欺リスクを管理するのに役立つフレームワークが含まれています。^[9]

管理を評価および改善することで、業務をより効果的かつ効率的に実行できます。たとえば、本来は手動で行う管理を自動化すると、コストを削減し、取引処理を改善できます。経営陣が内部統制システムを不正行為の防止と法律および規制の遵守の手段としか考えていない場合、重要な機会を逃す可能性があります。内部統制は、特に有効性と効率性に関して、ビジネスを体系的に改善するためにも使用できます。

• 最高監査責任者
• 3つの防衛ライン

• 最高監査機関機構 (INTOSAI) ^{[永久リンク切れ‍ ]}
• トレッドウェイ委員会支援組織委員会：内部統制 - 統合フレームワーク（1992）
• ニューヨーク州内部統制協会 (NYSICA)
• Rafik Ouanouki1 および Alain April (2007)。「IT プロセス適合性測定: サーベンス・オクスリー法の要件」(PDF)。IWSM - Mensura 2007 の議事録。{{cite web}}: CS1 maint: 数値名: 著者リスト (リンク)