IT業務処理統制の準備と対策のポイント：IT担当者のための内部統制ガイド（5）（1/3 ページ）

前回はIT全般統制対応の準備作業として、既存システムの棚卸しについて説明した。今回は、IT業務処理統制の準備作業について説明する。

　金融庁は2008年度に導入する内部統制ルールについて、企業の規模や時価総額などに関係なく、東証マザーズなど新興株式市場などに上場するすべての企業に対して内部統制対応を一律適用する方針を固めたとのことです。

　当初業界関係者は、企業規模の小さい企業や新興株式市場に対しては米国同様（米国での適用は約2割の大企業のみ）に、適用の先送りや猶予措置を設けるものと予測していたのですが、ライブドア事件やベンチャー企業による粉飾決算、不祥事による決算報告の修正が後を絶たないことより、行政側は厳しい姿勢で臨むことにしたと推測されます。

　内部統制対応には、それなりの対策費用と作業負担が避けられません。米国のケースでは初年度における内部統制対応に必要なコストは数億円、作業時間も数万時間にも及んだと報告されています。当然のことながら決算書の作成にかかわるIT情報システムへの投資も膨大な投資と負担を強いられました。

　中堅中小企業の大半は、堅固な基幹システムを完備していないことが多く、上場後も業務アプリケーションと決算処理用の会計ソフトやExcelなどを使って決算書を手作りしているケースも多いと思います。むしろ、大手企業でも子会社や孫会社では、連結決算用の財務データは担当者がたった1人でPCを使って作っているというのが実情かもしれません。

内部統制対応方針とIT整備準備の選択肢

　2006年9月現在、残された時間はあと1年半となりました。遅くとも年内には内部統制の対応方針とともに、IT情報システムの整備準備計画も同時に立案する必要がありますが、具体的な作業に取り掛かっている企業は、対象企業3800社の5％程度という話もあります。前回の連載でIT全般統制対応の準備作業として、既存システムの棚卸しについて説明しましたが、今回はIT業務処理統制の準備作業についてご説明したいと思います。しかし、その前に自社の内部統制対応方針の違いによって、IT統制の対応方針が異なることをご説明します。

方針例1. 内部統制整備を必要最低限しか行わないケース

　このケースでは、基本的に現行の業務の見直しを最低限で行い内部統制整備作業も文書化（職務記述書、PFC、RCMなど）作業にのみフォーカスするという決定になります。IT統制に対しては文書化ツールの導入と、既存システムの改修および記録（ログ管理）システムへの投資が中心となります。

　このケースのメリットは、作業やコストが最低限で済むということになりますが、デメリットとして不備が発覚する可能性が高いこと、初年度はクリアしても継続して維持運用することが難しいことが挙げられます。

方針例2. 全社レベルの業務改革（BPR）レベルで行うケース

　このケースでは、内部統制対応というテーマに対して抜本的に業務プロセスと基幹システムの全面的な見直しを行います。IT統制に対しては文書化ツール、プロジェクト管理ツール、コンテンツ管理・情報共有ツール、全社ポータル（育成・情報共有）、そしてERPを中心とした基幹システムの再構築を行うことになります。

　このケースのメリットは、内部統制をきっかけとした強力な事業基盤の構築が可能であることですが、デメリットとして高額な投資と時間的な余裕が必要となります。中堅規模の新興企業に適したアプローチだと思われます。

方針例3. 本社レベルと子会社レベルに分けて対処するケース

　このケースでは、内部統制対応というテーマに対して中長期的な視点で取り組むアプローチです。本社グループはコストも手間も掛けて集中的に業務プロセスと基幹システムの徹底的な見直しを行います。子会社グループはトップダウンで業務プロセスとIT情報システムを強制的に標準化します。子会社グループの管理手段として、シェアードサービス化する場合と会社自体を統廃合してまとめてしまうという選択肢があります。

　IT統制に対しては、本社グループに対して至急の予算確保、外部ベンダの確保を行います。子会社グループに対しては、ERPをベースとしたシェアードサービスで基幹システムをすべて置き換えるか、またはアウトソーシング会社のサービスにこれを置き換えます。

　対象となる大半の企業はこのケースで臨むと思われます。本社レベルと子会社レベルの境界線をどこに置くかがポイントです。IT対策のポイントは、どれだけ他社に先駆けて優秀なベンダや要員を確保できるか、投資コストを抑制することができるかということになります。