もう少し早く発表してよ！ 政府のSOX法Q＆A：[Analysis]

[大津心，＠IT]

　金融庁は6月24日、「内部統制報告制度に関するQ＆A」について新たに47問のQ＆A集を発表した。追加されたQ＆Aの中では、中小企業向けの質問にいくつも答えているほか、「3点セットは必要なのか？」という質問もあり、日本版SOX法対象企業にとって貴重な情報となっている。一方で、適用後の発表は遅すぎるという声も多い。

　今回発表されたのは、金融庁が2007年10月に発表した「内部統制報告書に関するQ＆A」に加え、新たに47の質問に対して同庁が答えを示した形となっている。追加された質問は、発表後に対象企業から寄せられた質問などを基にして作成したという。日本版SOX法は、上場企業を対象に4月から適用が始まっているが、監査法人のトーマツが3月下旬に発表した調査結果によると、日本版SOX法対応への進ちょく状況が「文書化実施段階にある」と回答した企業が、42.5％もあることが判明している。

　文書化が終わっている企業でも、評価や内部監査の結果から、業務改善の必要が出てきている企業も多いと聞く。先述のトーマツの調査結果などからも、一部の大企業を除いた多くの企業では、まだまだ日本版SOX法に追われているのが現状のようだ。このようなタイミングでの追加発表は、「1年前、いや数カ月前に発表してくれたら対応できたのに……」という声が聞こえてくる。

　追加質問の中には興味深い質問もある。例えば、「3点セットをすべて作成しないと重要な欠陥に該当するのか」という問いに対しては、「経営者は必要に応じて図や表を活用して整理・記録することが有用だ」や「実施基準で図や表の例を挙げているが、必ずしもこの様式による必要はない」と答えており、最終的には「3点セットとして作成しなければならないのではなく、3点セットを作成しない場合でも直ちに重要な欠陥に該当するものではない」と回答している。

　また、中小企業におけるIT環境については、「パッケージソフトウェアをそのまま利用しているような比較的簡易なシステムの場合には、個々のITにかかわる業務処理統制よりも、ITにかかわる全般統制に重点を置く必要がある」や「重要なシステム変更がない場合には、ITにかかわる全般統制が有効であることを確認したうえで、ITにかかわる業務処理統制については、毎期評価を実施しないで過年度の評価結果を利用できる」と回答している。

　このような回答を見ると、これまで各方面でいわれていた対策内容よりも“ゆるい”印象を受ける。すでに日本版SOX法対応を行っている企業で、3点セットを作っていない企業はほとんどいないのではないだろうか。

　米国SOX法は、当初厳しすぎたために対策費用が莫大になって企業の財政状態を圧迫し、その後多少ゆるくなった傾向がある。日本版SOX法では、その点を見越して作成されたはずだが、恐らく当初金融庁が予想していたよりも各企業がより保守的に対応したために対応コストが増加し、米国のケースと同じ結果になる可能性が出てきたことから金融庁が追加発表したのだと推測される。コスト負担が厳しい、中小企業向けのQ＆Aが多いことからもこの当たりの事情が伺える。

　この追加Q＆Aは基本的に実施基準から推測できる内容ではあるものの、紹介したもの以外にも役立つと思われるものが多い。“運よく”日本版SOX法対応が遅れていて、「これから本格的な対策を始める」というような企業は、ぜひ一読することをお勧めする。