遅過ぎた“お上のお達し”：[Analysis]

[大津心，@IT]

　2008年4月1日、いよいよ日本版SOX法の適用が始まった。これによって、上場企業は2009年3月期決算において、内部統制報告書とそれに対して監査を受けたことを証明する内部統制監査報告書を提出しなければならない。しかし、適用直後からさまざまな迷走や混乱が見えてきている。

　まず、さまざまな企業現場から「いまさら発表されても混乱するだけだ」との声が聞こえるのが、金融庁が3月11日に発表した「内部統制報告制度に関する11の誤解」だ。これは、同庁が内部統制対策において「一部で過度に保守的な対応が行われている」ことを懸念し、あらためて制度の意図を説明するために発表したもの。内部統制に取り組んでいる企業が判断に苦しんでいると思われる「11の誤解点」に対して同庁なりの見解を示しており、貴重な情報だ。しかし、いかんせん適用まで1カ月を切った段階での発表に対しては、「遅過ぎる」や「いまの時期の発表は、逆に混乱を招きかねない」と批判的な意見も多い。

　なぜなら、現在多くの日本版SOX法対象企業では一番工数が掛かるとされている文書化作業を終え、評価や内部監査の工程に入りつつある。すでにIT統制に向けた投資を終えている企業も多いだろう。その評価や内部監査にしても、社内だけでは判断が難しいため、コンサルティング会社などの協力を必要としているのがほとんどだ。しかも、最終的に監査する監査人の“判断基準のゆれ”も懸念材料だ。

　監査人をまとめる日本公認会計士協会はガイドラインを発表しているが、それも具体性に欠ける部分があるため、最終的には会計人が所属する監査法人の判断次第で厳しくも緩くもなる。そういった“判断基準のゆれ”があった場合、対象企業側は、安全策を取ってより厳しい基準に合わせるケースが多いはずだ。このような状況では、対象企業は万が一“重大な欠陥”を監査人に指摘された場合のリスクが大き過ぎるため、少なくとも初年度に関しては保守的にならざるを得ないだろう。

　そのようなタイミングで、「いまさら『過度に保守的な対応をしている』といわれても……」という思うのが企業担当者の本音だろう。適用年度初年度となる今年は、夏までに評価を終えて、欠陥の改善に入らなければ年度末までには間に合わないと言われている。特に業務フローに深くかかわる場合にはいまから改善に着手しなければならないケースもあるだろう。今年の日本版SOX法対策は、「評価」と「改善」がキーワードになりそうだ。