内部監査と内部統制がよく分からなくなってしましました。内部統制が適正にできているかを監査するのが内部監査ですよね？内部監…

Question

内部監査と内部統制がよく分からなくなってしましました。内部統制が適正にできているかを監査するのが内部監査ですよね？内部監査の中には業務監査と会計監査があり、この会計監査がJ-soXだと思っていましたが違いますか？J-SOXの評価項目にCOSOのフレームをよく使用されていますが、（統制環境、リスク評価と対応、統制活動、情報と伝達、モニタリング、IT対応）これは内部監査の中の業務監査内では使用しないものですか？J-soxは財務諸表監査ってITも含まれるのですか？

Answer 1

ちょっと長くなりますが。一般に内部監査は、事業目標の達成に影響を及ぼす「リスク」にフォーカスして、それを低減するためのコントロールが有効かつ継続的に実行されているか否かを評価するものです。この評価にあたって、目的と評価基準をマトリクスに表したものがＣＯＳＯフレームワークです。ＣＯＳＯフレームワークはコントロールの目的を「業務の有効性・効率性」「財務諸表の信頼性」「コンプライアンス」の３つに絞っています。
例えば、経営者が事業目標を達成するためには、第一にその業務が有効かつ効率的に行わなければなりませんよね。
業務が有効に行われているか？或いは効率的に行われているか？を評価する時に「統制環境ってどうなの？＝経営者が経営方針を明確に打ち出して、その部下の人達が経営者と心を一つにして、一致団結して仕事をするような社風になってるんでしょうか？」「リスクの評価と対応ってどうなの？＝事業の先を見通して様々な危険性を想定して、ちゃんと事前に手を打ってるの？」「統制活動ってどうなの？」「情報は伝わるべき人に伝わってる？」等々・・の観点から順に見て行くわけです。この視点が「構成要素」と呼ばれるものです。
2番目に挙げられているのが「財務報告の信頼性」の観点です。事業目標を達成する上で重要ですよね。政府は、金融商品取引法で、金融市場の健全性を維持するため、特にこの部分に焦点をあて、公開企業の経営者に対し（財務報告の信頼性に係る）「内部統制報告書」の提出を法律で義務付けました。米国は既にＳＯＸ法で同種報告書の提出を義務付けていたので、日本版ＳＯＸ法と言う意味でＪ－ＳＯＸと名づけられます。これも同様に「構成要素」で見て行く必要があります。
ただ、「内部統制報告書」はあくまで経営者が作成するものなので、もしかしたらウソが混じってるかもしれない。まあ、実際「内部統制は有効である」と言っておきながら、後で粉飾が見つかった企業もありましたからね。
そこで、既に決算書や有価証券報告書が正確に作成されているか監査していた会計士（監査法人）に、「財務報告のチェックのついでに経営者の言ってることにウソが無いか監査証明しなさい」と言うことになったわけです。これが監査法人の「内部統制監査報告書」です。ところが、ややこしい事に日本では会計士が直接「内部統制が有効か否か」を判定することはまかりならんとなった。それなりに大変で、コストがかかりますので。
会計士がやるのは、「経営者が有効である（或いは有効でない）」と言ってることが正しいか否かをジャッジすることのみです。
当然判定の根拠が必要になりますので、経営者の側で「内部統制は有効である」と会計士に主張するための証拠を揃えなければなりません。そのための手続きとして「整備状況の評価：財務報告の信頼性を確保するための内部統制の仕組みが有効にデザインされているか？」「運用状況の評価：その仕組みが継続的に実行されているか？」を行わなければならないわけです。その時に「構成要素」の視点も重要です。例えば、仰っている「ＩＴ」についてですが、財務報告を正確迅速に作成するためには、ＩＴも使いますよね？そのアプリケーションに誰でも好き勝手にアクセスされて数字をいじられると困るでしょう？ですからアクセス権の管理がきちんと行われているかＩＴの観点からチェックするわけです。
このような評価やチェックの一連の仕組みが「内部監査」です。ですから、業務監査においてもＣＯＳＯのフレームワークは通常使われます。
内部監査にあたって「個々の業務」を主題にすれば「業務監査」になりますし、財務報告を含む会計プロセスやアウトプットに特にフォーカスすれば（内部監査の）「会計監査」になります。
会計士の行う監査には会計監査と内部統制監査がありますが前者はあくまで財務報告が正確に作成されているかを検証するのが目的で、経営者の内部統制報告書を検証するのが内部統制（Ｊ－ＳＯＸ）監査。両者は似て異なるものです。

ご参考までに「業務監査」を行うとき、例えば「一つの視点（例えばＢＣＰ）で全ての営業拠点を横通しに見よう」とすれば「テーマ監査」になり、「一つの拠点を様々な視点（例えば営業秘密の保全、契約書の管理、人事管理・・）で包括的に見よう」とすれば「営業店監査」と言ったりします。