J-SOX初年度はまだら模様、企業規模と業務で対応状況に差：アビームが300社に調査

[垣内郁栄，＠IT]

　アビーム コンサルティングが9月2日に発表した日本版SOX法（金融商品取引法の一部、J-SOX）の調査結果で、7割以上の企業が内部統制の実際の運用を始めておらず、準備段階にあることが分かった。対応状況は企業の規模と業務プロセスの複雑さで大きく変わるようだ。

　調査は上場企業が対象で、内部統制の担当役員、経理・財務の担当役員、部長が答えた。2800社に調査票を送付し、有効回答は302社だった。調査時期は2008年3〜5月で、本来は内部統制の構築が終了し、運用と評価が行われている時期だった。

　内部統制の整備・構築については、全社的統制の規定・マニュアル類の整備が「完了し、業務運用に着手した」という企業は24％だった。73％は「完了していない」「更新に未着手」「更新に着手」などで、まだ作業中。業務プロセス統制のリスクコントロールの洗い出しについても「完了し、業務運用に着手」は20％にとどまり、76％はまだ作業を行っている段階だった。

　内部統制の整備・構築については、企業の規模と業務プロセスの複雑度が影響しているようだ。アビームは回答企業を、連結売上高が1000億円以上で業務プロセスが複雑でない「G1」、1000億円以上の売り上げで業務が複雑（主要事業セグメント比率が67％以下、または海外拠点売上比率が33％以上）の「G2」、連結売上高が1000億円未満の「G3」の3つに分類した。

企業規模が大きく、プロセスが単純な企業が先行

　3分類のうち、内部統制の整備・構築がもっとも進んでいるのはG1。規定・マニュアル類では30％の企業が「完了し、業務運用に着手」としている。G2は27％で、G3は19％と出遅れている企業が多い。リスクコントロールの洗い出しでも同じ状況で、G3は対応が遅れ気味だ。

　G1は業務プロセスが単純な上に予算を用意でき、対応を進めることができた。対して、G2は予算は多いが、それを上回るほど業務プロセスが複雑で、全体的な整備の進ちょくを遅らせているようだ。G3は中堅企業が多く、予算、人員リソースとも不足している。

　このような企業の状況は内部統制の質にもかかわってくる。2008年3〜5月の段階で、全社的統制についてすでに「不備事項が散見される」「重要な欠陥が明らかになっている」と答えた企業は全体の50％。決算・財務報告プロセス統制の不備、欠陥は57％、業務プロセス統制の不備、欠陥は72％といずれも高い比率を示している。いずれの統制項目についてもG1とG3は比較的良好だが、G2は相対的に良好の比率が低く、不備が多い結果となっている。

　アビームの経営戦略研究センター ディレクターの木村公昭氏は「監査法人や監査部門から、さらに文書を詳細化するよう求められている。会計監査人に文書修正を求められている」と説明し、「不備の改善のために内部統制の整備・構築をさらにやらないといけないことを物語っている」と話した。

半数企業が人員リソースの不足に悩む

　全社的な内部統制の浸透が不十分なことも分かった。内部統制を浸透させるために行っている社内の取り組みで最多なのは「内部統制対応責任者（プロセスオーナー）の任命」で全体の46％が実行。次いで「定期的なトレーニング」（34％）、「経営者の積極的な関与」（33％）などが挙がったが、「7割の企業がこれらの1〜2項目しか実施していない」（木村氏）といい、アビームは「不十分」と指摘した。

　内部統制の構築・整備に手一杯で、その後の評価方針が決まっていない企業も多いようだ。各統制についての課題でもっとも多いのは「評価の実施手順が明確に定まっていない」で約4割の企業が答えている。加えて、評価を行うための人員リソースやスキルが不足している企業も半数以上あり、今後の対応に不安を残す。特にG2に属する企業は63％がリソース不足を課題に挙げている。木村氏は「おそらく状況はいまも変わらないだろう」と話した。

　リソースの不足は各担当者の作業量に跳ね返る。調査によると1社当たりの業務プロセス数は平均116。カテゴリ別ではG1が101なのに対して、G2は334と3倍。G3は50の業務プロセス数となっている。業務プロセス上のリスクを抑制するキーコントロール（統制上の要点）は、業務プロセス数に比例して増えるため、G1は535、G2は2104、G3は265だ。

　G2はG1と比較して業務プロセス数で3倍、キーコントロール数で4倍だが、評価担当者数の平均は1.4倍の12.4人に過ぎず、リソース不足が顕著だ。担当者1人当たりのキーコントロール数は全体平均で95。G2に限っては170となっていて木村氏は「かなり多い」と指摘した。

　アビームのプロセス＆テクノロジー事業部 FMCセクタープリンシパル J-SOXイニシアチブ 統括 中野洋輔氏は「G1の企業は非常にうまくやっている。十分に準備しすぎた面もあり、効率化できるだろう」と指摘した。G2については「多くの評価をしないといけないが、追いつくだけの人員が割かれていない」と問題点を説明。G3については「対応が遅れている。G3の企業の中では初年度には重要な欠陥を出さないくらいの整備（の水準）でいけないかと検討している企業もある」と話した。