内部統制の限界

　この記事では、たとえ適切に整備・運用されていたとしても、内部統制がうまく機能しない状況に陥る「内部統制の限界」について簡単にまとめました。

内部統制の限界
４つの「固有の限界」

内部統制の限界

　「財務報告に係る内部統制の評価及び監査の基準」（以下「内部統制基準」という）には、内部統制について以下のように定義されています。

　内部統制とは、基本的に、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の４つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びＩＴ（情報技術）への対応の６つの基本的要素から構成される。

　内部統制とは、「４つの目的を達成するため」ではなく、あくまで「４つの目的が達成されているとの合理的な保証を得るため」のものです。

「合理的な保証を得る」ってどういうこと？

　内部統制がうまく機能していれば、４つの目的が達成されていると認める、ということです。

　これは、内部統制が絶対的なものではないことを意味しています。

　内部統制には、適切に整備・運用されていたとしても、ときには有効に働かない「固有の限界」が存在します。

４つの「固有の限界」

　内部統制基準では、この「固有の限界」として、以下の項目を挙げています。

内部統制は、判断の誤り、不注意、複数の担当者による共謀によって有効に機能しなくなる場合がある。
内部統制は、当初想定していなかった組織内外の環境の変化や非定型的な取引等には、必ずしも対応しない場合がある。
内部統制の整備及び運用に際しては、費用と便益との比較衡量が求められる。
経営者が不当な目的の為に内部統制を無視または無効ならしめることがある。

　これらの限界を踏まえながら、内部統制を整備・運用・評価していくことになります。

１．内部統制は、判断の誤り、不注意、複数の担当者による共謀によって有効に機能しなくなる場合がある。

　どんなに厳重な内部統制を敷いたとしても、人間がすることですので、勘違いやミスの発生はどうしても避けられません。

　また、たとえば担当者と承認者が共謀して不正を働いた場合、単独での不正よりも発見が難しくなります。

２．内部統制は、当初想定していなかった組織内外の環境の変化や非定型的な取引等には、必ずしも対応しない場合がある。

　新規事業を始めるにあたって、その企業では前例のない取引形態が発生する場合があります。

　ベンチャー企業であれば今まで世の中になかったサービスの提供に取り組む場合もありますので、これまでの内部統制では対応できないことがあります。

　より経験値の高い担当者を配置したり、必ず稟議申請して検証する人の目を増やすなどの対象方法によりある程度リスクを低減することができます。

３．内部統制の整備及び運用に際しては、費用と便益との比較衡量が求められる。

　企業を取り巻くすべてのリスクに対応できればいいのですが、実際にそんなことをすれば、お金や人員、時間がいくらあっても足りません。

　ですので、リスク対応に優先順位を付ける必要があり、リスクの高いものから内部統制の構築を充実させていくことになります。

　その結果、どうしても手薄になる部分が出るため、不正などを完全になくすことはできません。

４．経営者が不当な目的の為に内部統制を無視または無効ならしめることがある。

　内部統制基準では、経営者について、以下のように説明されています。

　経営者は、組織の全ての活動について最終的な責任を有しており、その一環として、取締役会が決定した基本方針に基づき内部統制を整備及び運用する役割と責任がある。
　経営者は、その責任を果たすための手段として、社内組織を通じて内部統制の整備及び運用（モニタリングを含む。）を行う。
　経営者は、組織内のいずれの者よりも、統制環境に係る諸要因及びその他の内部統制の基本的要素に影響を与える組織の気風の決定に大きな影響力を有している。

　経営者が内部統制についての最終責任者になるため、その経営者自身がルールを無視して暴走（マネジメント・オーバーライド）して誰も止められない、ということが起こり得ます。

　ベンチャー企業のような中小規模企業の場合は、特にオーナーである経営者の牽引力が強い傾向にありますので、歯止めが効きづらいといえます。

　実際に昨今発生した企業の不祥事では、経営者による内部統制の無効化がよく見られます。

　マネジメント・オーバーライドを抑止するには、株主に代わって取締役会や監査役等が経営者を監視する「コーポレート・ガバナンス（企業統治）」が重要です。

　「財務報告に係る内部統制の評価及び監査の実施基準」（以下「実施基準」という）では、経営者による内部統制の無効化への対策として、以下のものを挙げています。