内部統制とは、平たく言えば「不祥事が起こらないようにするための体制作り」のことであり、あらゆる企業にとって必要といえる取り組みです。

実は、大手企業などには法的に義務付けられている内部統制ですが、それ以外の企業・組織にとっては、少なくとも法的には、必ず取り組まなければならないものというわけではありません。

しかし、内部不正などのニュースに事欠かない今日、そうした不祥事を防止するための取り組みは事実上必須であり、たとえ義務付けられていなくても積極的に内部統制を図るべきといえるのです。

「そうはいっても、何をどうすれば良いのかわからない……」というのが正直なところという方はきっと少なくないでしょう。

そこで本記事では、下記について解説します。

この記事を読むとわかること

読み終えたときには、内部統制の基礎知識や、企業経営における内部統制の意義や必要性を理解できるだけでなく、実際のアクションへの落とし込み方までイメージできるようになっているはずです。

内部統制について網羅的に知っておきたいという方はもちろん、これから内部統制に取り組もうとお考えの方にも役立つ内容となっていますので、ぜひ最後までお読みいただき、ご参考になさってください。

内部統制とは、社内で不祥事（粉飾決算、リコール隠し、表示偽装、情報漏洩など）が起こらないようにルールを整備すること、つまり企業を健全に運営していくための社内体制を構築することを指します。

顧客や取引先から、もっと言えば世間からより一層信頼してもらうための仕組みを作り、それを運用していくことと言い換えてもよいでしょう。

具体的にどういった施策を打てば良いのかについては後述しますが、そうした仕組みを構築・運用することで、結果的に部門間の有機的な連携が強化され、組織全体の活性化にもつながります。

内部統制とは、前述の通り、企業を健全に運営していくための社内体制の構築という視点で進めるものですが、その目的としては下記の4つがあります。

「この目的を達成するためにこれを行う」といったように具体的な内容や手順が定められているわけではなく、業種ごとの特性、企業ごとの運営方針や実情などに適合する形で上記目的を達成していきます。

（※後述しますが、内部統制が法令によって義務付けられている企業・組織については、その法令が要求している特定の書類の作成などの対応が必須のケースもあります）

そのため、進め方は企業ごとに変わってきますが、たとえば以下に挙げるような対応を実施します。
（下記対応の詳細については「5. 内部統制のための具体的方策6つ」で解説しています）

これらの目的を達成した状態にある組織は、透明性が増し、業務効率が上がり、不祥事が起こるリスクが最小限となり、客観的に見たときに「信頼できる健全な組織」となっているということです。

内部統制は、一部の企業・組織に対しては、法令によって義務付けられています。

具体的には下記条件に当てはまる企業・組織です。

義務付けられている企業・組織とは、ざっくり言うと「不祥事が起きた場合の影響が大きいため、社会秩序の観点から自ら組織内の統制を図ってもらわないと困る」ような企業・組織です。

なぜ上記の企業・組織には義務付けられているのかという視点から想像される「自社が内部統制不在の状態にある場合」のリスクの大きさをぜひイメージしてみてください。

規制されているかいないかではなく、リスクがあるかないかで判断すべきということです。

内部統制は全ての企業・組織に義務付けられているわけではないものの、リスク管理の観点からいえば、全ての企業・組織に推奨されることは前述の通りです。

それに加えて、下記の理由も挙げられます。

これら3つの理由について以下で解説しますので、貴社の現状と照らし合わせながらお読みいただければと思います。

貴社にとっての内部統制の必要性がどの程度かが、きっと見えてくるはずです。

4-1. 不祥事リスクを低減できるから

内部統制を図ることで、大小のコンプライアンス違反、法令違反、社会的に非難されるような不適切な行為などが起こるリスクを低減できます。

内部統制の一環として実施する次に挙げるような施策が、不祥事の発生防止につながるからです。

どれだけビジネスが好調であっても、不祥事ばかり起こしていては企業・組織として信頼してもらえません。

したがって、不祥事リスクの低減は「自社の信頼性を高めるための仕組みづくり」である内部統制の主目標であるといえます。

今日、不祥事は往年と比較してずっと大きな不利益を組織にもたらすようになってきていますが、内部統制を図らないのは、そうしたリスクを放置することに他なりません。

その意味において、不祥事リスクの低減につながる内部統制は、今や選択肢というよりもマストに近くなってきているともいえるのです。

4-2. 業務効率化・生産性向上につながるから

内部統制を図ることで、業務の効率化や生産性の向上が期待されます。

内部統制の一環として実施するマニュアルの整備や、全社的な情報伝達ルールの構築、承認フローの見直しなどの過程において業務の流れが可視化され、問題点がクリアになり、改善が見込まれるからです。

たとえば、業務マニュアルを作成する際、まず業務手順を改めて確認するので業務の流れが可視化され、さらに細かくステップを洗い出していく中で課題点が浮かび上がってくるでしょう。

業務効率化や生産性向上は、より良い業務環境の実現にも密接に関わってきますので、組織全体の底上げにつながる大きなメリットです。

4-3. 社員のモチベーションが上がるから

内部統制を図ることで、社員のモチベーションアップにもつながります。

業務マニュアル整備などにより明確なルールが定められれば働きやすくなり、業務効率化が進めば負担が軽減され、自社の社会的評価が高まればやる気につながるからです。

社員のモチベーションの向上は、内部統制の直接的な効果というよりは、諸々の施策の結果として得られる副産物的メリットです。

「組織全体が整っていけば、その組織で働く社員たちの心持ちも変わってくる」という表現がより近いともいえるでしょう。

ただし、ひたすら理想を追い求めて内部統制を進めると実務に悪影響が及び、かえって社員のモチベーションを下げてしまいかねないので、その点には注意が必要です。

義務付けられていない企業を含め、全ての企業が内部統制を検討すべきとお伝えしましたが、では実際に内部統制を図るとなった場合、何から始めればよいのでしょう。

「2. 内部統制を実施する4つの目的」で述べたように、内部統制というものの具体的な内容や手順が定められているわけではありません。

会社法には、内部統制システム構築に当たり整備が必要であるとされる体制が、

といった具合にずらりと挙げられていますが、いずれも抽象的な表現にとどまります。
（［参照］会社法施行規則第100条1項）

思い切り丸めるとすれば、「経営陣や現場の社員の職務が、各種規程や法令に適合する形で効率的に行われるようにするのに必要な体制全部」が必要であると言っているということです。

「これではさっぱりわからない……」というのが、多くの人の正直な気持ちではないでしょうか。

そこで本章では、内部統制を図るために何をすれば良いか、どういった方策を講じれば良いかを、具体的にイメージし検討できるレベルにまで落とし込んでご説明します。

ご紹介する方策は6つですが、これらはそれぞれ内部統制の6つの要素に対応しています。（下表）

各方策について以下で解説していきます。基本的には全方策を講じる必要がありますが、まずは貴社にとって必要度の高い方策、比較的容易に実践できる方策から検討・実践してみてください。

5-1. 方策1｜組織の方針・目標を設定し、周知する

まずはじめに、組織としての方針や目標を設定し、周知します。

統制環境（統制が適切に機能するような環境）を整えるに当たっては、企業として重視する内容を明確化しておかないことには方向性が定まらないためです。

逆に言えば、方針や目標を定めれば、向かうべき方向が自ずと見え、内部統制に関わる万事をスムーズに進められるでしょう。

そして、その際忘れてはならないのは、方針や目標を設定するだけでは不十分で、それを社内に周知するのが不可欠だということです。

内部統制は経営陣だけで取り組むものではなく、全社員で取り組む必要があるため、せっかく方針や目標を設定しても、社員が知らないのでは設定していないも同然となってしまいます。

また、社員一人ひとりのレベルで考えても、「組織としての決意表明」であるともいえる方針や目標を知らせもしない相手に対し、企業倫理意識の向上や法令遵守を一方的に望むことはできません。

どこにどうやって向かっていくのかを決めて、決めたら周知する —— 内部統制のはじめの一歩として行いましょう。

5-2. 方策2｜リスク管理体制を整備する

企業・組織の運営における様々なリスクをコントロールできるようにするため、上図の流れに沿った対応を行い、リスク管理体制を整備します。

（※体制整備の流れをごくおおまかに示したものが上図ですが、詳細については、『リスク新時代の内部統制』（リスク管理・内部統制に関する研究会）、『稼ぐ力を支えるリスクマネジメント』（中小企業白書 2016、中小企業庁）などをご参考にしてください）

リスクをゼロにすることはできませんが、適切に備えることで低減することができ、万一の場合の損失を最小化することにもつながるからです。

手の打ちようがない種類のリスク（自然災害、感染症拡大等）でさえ、起きたときにどうするかをあらかじめ考えておけば、非常事態の乗り切り方が変わってくるはずです。

ポイントとしては、適切な初動で被害拡大を防ぐため、そして立て直しに要する時間をできる限り短くするために、予防的対策だけでなく、リスクが現実となった場合の事後対策も整備しておきます。

なお、リスク管理体制整備フローの各ステップのうち一番時間をかけるべきは、ブレストなどにより「リスクを洗い出す（リスクの特定）」ステップです。

5-3. 方策3｜権限および職責の付与、職務分担を行う

経営者の命令や指示が確実に実行されるような仕組みを構築するため、権限や職責の付与、業務の分担を行います。（決めた内容は社内規定や業務マニュアル中に組み込みます）

権限や職責、職務の偏りが遠因となる不祥事のリスクを低減するためです。

たとえば、全ての会計処理をただ1人の社員が行うとすれば、不正やミスに容易につながる環境であると言わざるを得ません。

業務を適切に分担し、各担当者がその権限や職責の範囲において遂行していくからこそ、不正やミスのリスクを減らせるのです。

気をつけたいのは、ミスの早期発見や不正防止に効果的だからといって、チェック体制を複雑化し過ぎないようにという点です。

1つの業務を1人だけで担当し、確認・承認者もいなければ、チェック機能が働きません。
しかし、だからといって1つの業務を10人で担当すれば、確認・承認プロセスに時間がかかり過ぎます。

実務とのバランスをよく考えた上で分担するようにしましょう。

5-4. 方策4｜適切な情報共有・伝達のための環境を整備する

以下に挙げるような対応を通じ、情報共有とコミュニケーションが円滑かつ適切に行われるような環境を整備します。

社内外の信頼できる最新の情報を正確に把握できなければ、業務遂行に支障をきたすからです。

注意したいのは、誰もが全ての情報にアクセスできることを目指すのではなく、権限に応じて必要な人に必要な情報が素早く正確に行き渡ることを目指すべきであることです。

本来その権限を持たない人まで情報を入手できる環境は、コンプライアンス違反や情報漏洩を誘発しかねません。

円滑なだけでなく「適切」でもある情報共有とコミュニケーションを実現しましょう。

5-5. 方策5｜運用状況のモニタリングを実施する

内部統制が有効に機能しているかどうかを監視するため、日常的モニタリング（担当者が作成した請求書を管理者が確認する等）および独立的評価（定期監査等）を実施します。

仕組みを作っておしまいではなく、問題なく機能しているか、状況が変化したのであればそれを仕組みに反映する必要がないかといった点に継続的に目配りする必要があるためです。

単にモニタリングの頻度や手順を決めて実施するだけでなく、モニタリングにより不備が見つかった場合の方針や取るべき手続きも定めておきましょう。

5-6. 方策6｜安全・安定・確実なIT環境を整備する

下記条件を満たすようなIT環境を整備し、内部統制が機能するのを妨げることがないようにします。

業務とITが切り離せなくなっており、それに伴い情報セキュリティリスクも高まっている今日、セキュアで安定していて確実なIT環境が内部統制を機能させる上で欠かせないからです。

業務におけるデータ処理・管理を通じた対応だけでなく、ITインフラの構築や保守・整備という側面からの対応も必要である点に留意しましょう。

この方策は、内部統制のための方策の一つというよりは、内部統制を成立させるための大前提というのが実態に近く、他方策とは「重要性の質」が異なりますが、決して手を抜けない部分といえます。

内部統制の具体的な取り組み方について解説しましたので、本章では内部統制に取り組む上で押さえておくべき以下の4つのポイントをご紹介します。

ちょっとしたコツや考え方を知ることによって、推し進めようとしていることが驚くほどスムーズになる場合は多々あります。

上記の4つのポイントについて、以下で解説していますので、内部統制への取り組みにぜひ活かしてください。

6-1. 難しく考え過ぎない

「内部統制」という名称がついた途端に難しく考えてしまっていませんか？
もっとシンプルに捉えてみましょう。

というのも、内部統制の一環として必要となる対応の中には、貴社で既に実践している取り組みも含まれているに違いなく、「全く新しいことに一から挑む」という図式では必ずしもないからです。

たとえば、ウイルス感染や情報漏洩の経路となりやすいUSBメモリは使用禁止という社内ルールが存在するなら、「方策2｜リスク管理体制を整備する」の一部を既に実践しているということです。

あるいは、あなたが使っている社用PCにウイルス対策ソフトウェアがインストールされているなら、「5-6. 方策6｜安全・安定・確実なIT環境を整備する」は既に部分的に対応済みということになります。

全て刷新、従来とは完全に異なるアプローチで臨むのだと捉えてしまうと、往々にして難易度が高く非現実的な解に辿り着きがちという懸念もあります。

「現状足りていないところを補う」というイメージで臨むと、地に足のついた取り組みを実現しやすく、おすすめです。

6-2. あらゆるリスクに対応しようとしない

あらゆるリスクに対応しようとしているなら、もとより無理な話なのだということを理解し、諦めましょう。

元来リスクというものは、常に「もしかしたら起こるかもしれない不穏な何か」として存在し続け、完全に防ぐことはできないからです。

リスクを洗い出したら、その中で対策できそうなものから対策していくというスタンスで十分です。

内部統制は一時のものではなく、この先ずっと継続していく取り組みです。少しずつ改善していきましょう。

6-3. 組織全体への浸透を図る

経営陣やマネージャー層だけが熱心でも仕方ありません。
内部統制の考え方やその実践を、組織全体に浸透させましょう。

内部統制は、組織の全員がそれぞれの役割を持って行動することで実現されるものだからです。

内部統制を必要とするのは、

といった辺りであって、それ以外の部門は無関係なのではないかと考える向きもあるかもしれません。

ですが、

と、どんな部門のどんな業務にも何かしらの不祥事の種子はあるものです。

内部統制は部門問わず取り組む必要があります。ただ、実務への落とし込み方が異なるだけです。
組織全体として取り組めるよう、浸透を図りましょう。

6-4. アウトソーシングする業務も内部統制の対象とする

近年では外部への業務委託やアウトソーシングが広く行われていますが、外部に任せた業務であっても内部統制の対象とするのを忘れないようにしましょう。

なぜなら、「委託先で起こった不祥事は委託先の責任」とは限らないからです。

委託した業務が委託者のものである以上、委託者としての責任は残っています。

だからこそ、下請け企業が製造した不良部品を使った商品を販売したメーカーは、下請け企業に謝罪させて済ませるのではなく、自社が製造したわけではない不良部品が原因の品質事故を詫びるのです。

「監督が行き届かなかったという責任」をイメージしづらいとしても、少なくとも「連帯責任」や「そんな下請け企業に任せた責任」はイメージできるのではないでしょうか。

委託した業務のアウトプットは最終的に自社に戻ってきます。
委託したから内部統制の対象外というわけではない点に留意しましょう。

▼内部統制とは、社内で不正・不祥事が起こらないようにルールを整備すること、つまり企業を健全に運営していくための社内体制を構築することを指す。

▼内部統制を実施する目的は以下の4つです。

▼内部統制が義務付けられているのは、下表の条件に該当する企業・組織。

▼義務付けられていない企業も内部統制を検討すべき理由は、次の3つです。

▼内部統制を図るために実際に実施すべき方策の例は下記の通り。

▼内部統制において押さえるべきポイントは下記の3つ。

本記事が、内部統制について網羅的に知っておきたいという方、これから内部統制に取り組もうとお考えの方、既に内部統制を図っている方のお役に立つことを願っております。