内部統制評価再構築のポイント
～品質向上と効率化を両立する実践事例～

 

近年、内部統制評価には「品質の向上」が強く求められています。一方で、事業の多様化やITインフラの刷新に伴い、評価部門の役割や期待は大きくなっています。限られたリソースの中で品質と効率化をどのように両立させるかが、多くの企業に共通する課題となっています。

J-SOXの導入から年数が経過し、制度対応が定着した一方で、運用の「形骸化」が進んでいる状況も見受けられます。ビジネス環境が大きく変わる中、3点セットや評価方法を微修正するだけの運用を続けることは、実態との乖離を生み、評価品質の低下を招きます。

 

現場の実態と文書の乖離を解消し、評価の品質向上と効率化を両立させる「業務プロセス統制」の再構築事例をご紹介します。

 

業務プロセス統制における再構築の必要性～再構築が必要な兆候～

ビジネスやITインフラが進化する一方、過去の「3点セット」を微修正するだけの運用を続け、現場の実態と文書の間に乖離が生じている企業は少なくありません。この乖離を放置することは、単なる業務の非効率にとどまらず、ガバナンスの形骸化や現場の疲弊を招き、重大なリスクを見落とす「評価品質の低下」に直結します。

抜本的な再構築の時期を迎えているかを見極めるには、社内のサインを見逃さないことが重要です。以下の兆候が見られる場合は、場当たり的な修正ではなく、全体を見据えた再構築を検討すべきタイミングと言えます。

 

【兆候1】範囲選定の形骸化

「なぜこのプロセスを評価するのか」という本質的な説明ができず、過去の資料を踏襲するだけの範囲選定が常態化している。

 

【兆候2】形式的な文書更新

システム導入や組織変更など実務が変化しているにもかかわらず、3点セットの更新が形骸化し、実態を反映していない。

 

【兆候3】評価手続の形骸化と現場の負担増

目先の評価手続を消化することが優先され、不必要な資料提出を求めるなど、現場に過度な負担を強いている。

 

内部統制の形骸化を示すサインに的確に対応し、実態に即した評価を行うことは、ガバナンスと業務効率の両立に不可欠です。過去の「3点セット」に縛られず、自社の変化に対応した評価へ再構築するために、まずは自社の現状に即した課題の洗い出しと、具体的なアプローチの策定を進めていく必要があります。

 

業務プロセス統制における再構築事例～評価範囲の検討・見直し～

以下では「評価範囲」→「リスクとコントロール」→「評価方法」の順で再構築事例をご紹介します。
まずは、大きな効果を見込める「評価範囲の選定基準の見直し」です。「過去の監査法人との合意事項だから」と、連結ベースにおける売上割合が小さい子会社や取引が縮小したプロセスに対して、毎年証憑を収集し続けている状況も見受けられます。これは内部監査部門や現場の疲弊を引き起こす要因となります。

 

事例①：量的重要性の見直し（主要拠点内プロセスの最適化）

主要拠点数社で売上高の3分の2という基準を満たしているものの、拠点内の全サービスを一律に対象としていたため、重要性の低い事業区分まで毎年評価する過剰な運用となっていました。

【施策】

事業セグメントごとの売上割合とリスクを再分析しました。主要拠点内であっても、財務報告への影響が軽微な小規模サービス（事業区分）は明確に評価範囲外としました。

【成果】

全体のカバー率（売上高の3分の2）を維持したまま評価対象プロセスを削減し、最適化を実現しました。

 

事例②：質的重要性の見直し（外部指摘への主体的アプローチ）

不正リスク等の自主的な検討を十分に行わないまま監査法人からの指示に従い、小規模な海外拠点を機械的に評価対象としていたため、言語や時差の壁も重なり現場と評価部門の負担となっていました。

【施策】

「指摘されたから追加する」という受け身の姿勢を改め、自社主導でリスクを再評価しました。対象の海外拠点は売上規模が数％未満で質的重要性も低いことを定量的に立証しました。また、J-SOXの評価対象外とし、「親会社による定期的な業務監査」へ切り替えるロジックを提示して監査法人と合意しました。

【成果】

範囲の無駄な拡大を防ぎ、限られたリソースをリスクの高い領域へ集中させる体制を構築できました。

 

過去の検討資料をなぞるだけの評価対象の選定や受動的な対応から脱却し、現在の事業リスクに基づいた施策を講じることが、形骸化した内部統制を実効性のあるものへと蘇らせる第一歩となります。

 

業務プロセス統制における再構築事例～リスクとコントロールの見直し～

続いて「リスクとコントロール」の見直しです。システム導入や組織変更といった実質的な変化を無視し、3点セットの微修正だけで運用を続けることは、リスクの見落としや評価品質の低下に直結します。過去の文書をなぞるだけの更新から脱却し、関係性をゼロベースで見直した2つの事例をご紹介します。

 

事例①：アサーションを軸としたリスクの再検討

組織変更や業務の属人化により、RCMにおけるリスク定義が曖昧になっていました。「何のための統制か」という目的が形骸化し、前年通りのチェックシートに押印するだけの形式的な運用が常態化していました。

【施策】

アサーション（実在性、網羅性、評価の妥当性など）を軸に、リスクを再検討しました。対象業務ごとに「架空計上の防止（実在性）」か「計上漏れの防止（網羅性）」かを明確にし、防ぐべきリスクとコントロールの関係性を見直しました。

【成果】

リスクとコントロールの関係が明確になったことで、慣例で残っていた「どのリスクにも対応していない不必要な統制」を整理し、不要な評価手続を削減しました。これにより、実態に即したRCMへ再構築できました。

 

事例②：予防的統制へのシフトによるコントロールの検討

ITシステムによりエラーの自動検知が可能な環境にもかかわらず、3点セットは手作業の運用のまま放置されていました。その結果、システム出力帳票を目視で突き合わせる事後チェックが発生し、現場と評価部門の負担となっていました。

【施策】

事後チェック（発見的統制）から、ミスの発生を防ぐ「予防的統制」へのシフトを図りました。システム上の入力制御や自動照合機能をキーコントロールとして再設定し、手作業によるチェックを排除しました。

【成果】
評価対象が手作業からシステムによる自動制御へ移行したことで、ヒューマンエラーが減少しました。評価手続も「システム設定の有効性検証」で完結できるようになり、現場と評価部門双方の工数を削減できました。

 

実務の変化を放置したまま形だけの3点セットを維持することは、ガバナンス上のリスクとなります。アサーションに立ち返ってリスクを再定義し、ITを活用した予防的統制へ再設計することが、ガバナンスと業務効率の両立につながります。

 

業務プロセス統制における再構築事例～評価方法の見直し～

最後に「評価方法」の再構築事例をご紹介します。評価範囲やコントロールの設計を見直しても、評価手続自体が非効率なままでは負担は軽減されません。前年踏襲から脱却し、限られた工数で有効性を評価する体制への再構築が必要です。

 

事例①：評価手続の見直し

従来の評価手続は「関連資料を一通り確認する」など抽象的で、評価者による確認のバラつきがありました。その結果、コントロールと無関係な資料提出まで求めてしまい、現場の不満と評価工数の増加につながっていました。

【施策】

「何を、誰が、どのポイント（日付・金額等）で確認すべきか」を具体化しました。リスクに直結する確認ポイントに絞り込み、不要な作業を評価手続から排除しました。

【成果】

評価の属人化が解消されて品質が均一化しました。また、提出資料が最低限に絞られたことで現場の負担が軽減し、評価スピードも向上しました。

 

事例②：キーコントロールの絞り込みによるサンプル数の圧縮

重要性の低い手作業までキーコントロールに設定されており、サンプル数が膨大になっていました。そのため、監査部門はタイトな日程の中でサンプル回収と評価に追われていました。

【施策】

「虚偽記載を防ぐ最も重要な統制はどれか」という視点で再検証しました。システムの自動制御や上位者による分析が機能していれば、手作業のチェック統制は一般コントロールとして再設定しました。リスクに応じた強弱を分析し、キーコントロールを絞り込みました。

【成果】

キーコントロールを約4割削減し、サンプル数を大幅に圧縮しました。これにより、削減された工数をリスク分析や改善提案といった本質的な業務へシフトさせることが可能になりました。

 

形骸化した手続きで現場に負担を強いる運用から脱却し、実態に即した評価方法へ見直しを図ることは、ガバナンスと業務効率の両立に不可欠です。古い手続に縛られず、確認ポイントの明確化やサンプルの圧縮を通じ、価値ある内部統制への再構築を進めていく必要があります。

 

業務プロセス統制における留意事項

これまでご紹介した「評価範囲」「リスクとコントロール」「評価方法」の再構築を進めるにあたり、推進する過程で直面しやすい3つの懸念事項があります。これらをあらかじめ把握し、事前に手を打つことが再構築を成功させる鍵となります。

 

懸念①：監査法人との合意形成

評価範囲やキーコントロールの削減を進める際、懸念となるのが「監査法人の同意を得られるか」という点です。リスク評価のロジックや代替コントロールの有効性を客観的な証拠（システム設定や過去の実績）とともに説明できなければ、計画が停滞するおそれがあります。

 

懸念②：現場部門への説明

実態に即した更新やIT統制へのシフトには、現場の協力が不可欠です。しかし、再構築の目的（ガバナンスと業務効率化の両立）が共有されないまま進むと、日常業務の多忙さを理由に反発を受け、形だけの変革に終わる懸念があります。

 

懸念③：社内評価リソースの不足とスキル偏重

リスクに基づくアサーションの再検討やIT統制の最適化には、定型業務とは異なる知識と分析力が求められます。ノウハウ不足や属人化が放置されている場合、目先の通常評価に追われ、改革まで手が回らない懸念が生じます。

 

これら3つの懸念（監査法人・現場・推進体制）を乗り越えるには、社内の理解を得た上でプロジェクトとして計画を進めることが重要です。予測されるハードルに先手を打ち、関係者を早期に巻き込みながら、実態に即した内部統制評価への再構築を進めていく必要があります。

 

まとめ

形骸化したJ-SOX運用から脱却し、実効性のある評価体制へ再構築するためのポイントを解説します。過去の慣例にとらわれず、「評価範囲」「リスクと統制」「評価方法」の3つの軸でゼロベースから見直すことにより、持続可能な運用の推進が可能です。予想される阻害要因にあらかじめ対策を講じ、内部統制評価の品質向上と業務効率化の両立を実現していきましょう。

 

■業務プロセス統制における再構築の必要性～再構築が必要な兆候～

・前年の資料を踏襲するだけの選定が常態化している。

・システムや組織が変化しても3点セットが更新されず、実務との乖離が放置されている。

・目先の評価作業に追われ、リスクを捉えた本質的な評価が実施されていない。

 

■業務プロセス統制における再構築事例～評価範囲の検討・見直し～

・影響度が低い小規模事業を範囲外とし、カバー率を維持したまま対象を最適化しました。

・影響が薄い海外拠点を直接評価から親会社の定期モニタリングへシフトしました。

 

■業務プロセス統制における再構築事例～リスクとコントロールの見直し～

・アサーションを軸にリスクを再定義し、慣例で残っていた不必要な統制と手続を排除しました。

・手作業の事後チェックを廃止し、システム内の自動照合などをキーコントロールに再設定しました。

 

■業務プロセス統制における再構築事例～評価方法の見直し～

・証跡や確認ポイントを極限まで具体化し、評価の属人化解消・過剰な資料提出の排除を行いました。

・重要な統制を絞り込み、約4割のキーコントロール削減とサンプル数の圧縮を達成しました。

 

■業務プロセス統制における留意事項

・監査法人に対して主体的なリスク評価と論理的な根拠を示し、事前の合意を得る必要があります。

・目的（効率化とガバナンス強化）を共有し、現場からの反発を防ぐ必要があります。

・高度な分析力が求められるため、ノウハウ不足や属人化を解消する体制構築が必要です。