内部統制構築のための「実施基準（ガイドライン）」がほぼ固まった。今月6日、金融庁でガイドライン作成を手がける企業会計審議会第14回内部統制部会が開かれ、同部会は「内部統制の基本的枠組み」など、3部で構成する約90ページ建ての実施基準案を公表。正式版ではないものの、大幅な修正が入る可能性は低く、この資料が骨子になるもようだ。対象企業は、このガイドラインを待っていたところが多い。企業の内部統制確立が急速に動き出し、内部統制関連ビジネスにも一気に拍車がかかりそうだ。

基準の公表遅れで対応に追われる

　11月6日開催の第14回部会では、（1）「内部統制の基本的枠組み」（2）「財務報告に係る内部統制の評価及び報告」（3）「財務報告に係る内部統制の監査」の3点について議論・意見交換があった。翌日7日に公表した同部会の資料は、正式なガイドラインではなく、あくまで「案」にとどまる。第14回部会では、財務報告に係る内部統制の監査について議論が不十分だったため、11月20日に開催予定の第15回部会に持ち越し、さらに基本的枠組みと評価および報告について、第14回部会で議論のあった点を一部修正する。その後に一般公開し、パブリックコメントとして業界団体や有識者などから広く意見を募った後、「正式版を年明けにも公表する予定」（金融庁の野村昭文・総務企画局企業開示課企業会計調整官）となっている。

　ただ、まだ案とはいうものの、08年4月1日から始まる会計年度から内部統制の外部監査が求められる。企業が対策を打つために残された時間は少ない。また、「同部会は少なくとも2回は大幅な書き直しをしており、ほぼ固まった」（関係者）という声もある。「大幅な修正は入らない」（野村調整官）との見通しが強く、この実施基準案が骨子になる公算が大きい。

　今回の実施基準案が示したなかで、とくに大きな特徴はその適用範囲だ。決算・財務報告に係る業務プロセスの評価については、上場企業本体およびその子会社だけでなく、関連会社（持分法適用会社）や委託業者（アウトソーシング先）も評価対象と初めて明確に示した。一方で、決算・財務報告以外の業務プロセスの評価は、事業目的に大きく関わる勘定科目（売上高、売掛金、棚卸資産）は原則的にすべてが対象となるものの、それ以外はグループ全体の3分の2程度を対象すればよいという指針も示された。IT統制については、外部監査人が設計書などドキュメントレベルで、IT統制監査を詳細まで行わなければならなくなった点も注目点だ。IT全般統制および業務処理統制については、具体的な評価項目例が示されており、情報システムが内部統制構築でどのような状況であるべきかについても触れられてる。

　内部統制の確立を求める「金融商品取引法」は今年6月に成立。上場企業約3800社など、法の適用対象となる企業は、08年4月1日から始まる会計年度から内部統制の確立が求められる。すでに残された期間は1年半もない。それでも、米国市場などに上場している一部大手上場企業を除けば、金融庁から公表されるガイドラインに基づいて内部統制に本格的に動き出す計画の企業が多かった。しかし、ガイドラインの公表は当初予定よりも大幅に遅れている。

内部統制ビジネスに拍車

　内部統制のガイドライン公表が遅れたため、「上場中堅企業の内部統制の準備は、予測していたよりも遅い」（日本ビジネスコンピューター＝JBCCの鈴木重保・理事・コンサルタント事業部エグゼクティブコンサルタント）。アビームコンサルティングの永井孝一郎・EBS事業部プリンシパルも「上場企業のうち構築を始めているのは1000社弱」と指摘する。途中段階とはいえ、ほぼ固まったガイドラインを基に、企業が内部統制構築に一気に動き出す可能性が高い。

　一方、内部統制関連で特需を狙うITベンダーも、ガイドラインに沿って自社の内部統制ビジネスの戦略を立案するはずだったが、ガイドラインの遅れによりその予定を狂わされた。“見切り発車”的に「日本版SOX法対応」や「内部統制支援」をうたい文句に提案活動を開始していた。正式版ではないものの、大筋の基準を示した資料が公表されたことで、ITベンダーも内部統制ビジネスに拍車をかけるつもりだ。SAPジャパンでは、「実施基準案と当社のソリューションとの関連性を明確に伝えていく」という。また、JBCCでは「ITに係る全体統制の評価とITに係る業務処理統制の評価のなかで評価項目の例が記述されている。SIerも内部統制の視点で、IT開発・運用、アクセス管理などを説明できるようにする必要がある」と意気込みを示している。

　ソフトメーカーやSIerなどITベンダーの話を総合すると、公表内容は「想像していた範囲内」だったようだ。NECネクサソリューションズでは「想定の範囲内。従来当社が提供してきた製品・サービスの裏付けができた」とし、また、ログ収集などでストレージ需要が期待できるEMCジャパンのナイハイゼル・エドワード社長も、「今回の公表で当社が推進してきた戦略を変更する必要がないことが分かった」と説明する。JBCCでも、昨年の基準案から大きく異なった点はないので意外性はない」としており、公表内容が内部統制ビジネスの戦略転換を迫るものではないことを印象づけている。

　案とはいえ、ようやく日の目を見た内部統制実施基準。08年4月1日から会計年度が始まる企業に残された内部統制構築までの期間は、1年半を切っている。ITベンダー側は、実施基準案と自社の提案や戦略との間に相違がないことを実感している。企業もITベンダーも待ち焦がれていた実施基準案の公表が需要に火をつけ、内部統制関連ビジネスを一気に活性化させそうだ。