キーコンの定義

キーコントロールとは

「実施基準」におけるキーコントロールの定義

いわゆる「実施基準」においては、キーコントロールという言葉は用いられておらず、それを直接定義したものはない。しかし、以下の記述部分がいわゆるキーコントロールを定義した部分であると考えられる。

【?３（３）】

[経営者は、]・・・・財務報告の信頼性に重要な影響を及ぼす統制上の要点（以下「統制上の要点」という。）を選定し、当該統制上の要点について内部統制の基本的要素が機能しているかを評価する。

【?４（２）?イ．ｄ．】

［監査人は、］・・・・経営者が虚偽記載の発生するリスクを低減するために中心的な役割を果たす内部統制（統制上の要点）をどのように識別したかを把握する。

以上から読み取れることは、実施基準で用いられている｢統制上の要点」という用語を通じて、経営者と監査人はそれぞれの立場において、「財務報告の信頼性に重要な影響を及ぼす」統制、「虚偽表示リスク低減に中心的な役割を果たす」統制を選定、識別しなければならないということである。換言すれば、単に手広くやればよいということではなく、｢要点｣を絞らなければ実施基準に則して評価・監査を実施したことにならないということである。

Guidance on Monitoring Internal Control Systems

COSOから発行された「監視活動」に関するガイダンス。

そこには「鍵となる内部統制の識別」として以下のように記載されている。

重要なリスクに対処する鍵となる内部統制の選択は、内部統制の有効性に関する結論について、過度ではなく適度な裏付けを提供するものに焦点を当てることにより、モニタリングの有効性および効率性を高める。

鍵となる内部統制は、次のいずれかまたは双方の特性を有する。

　−内部統制の機能不全は、評価者が責任をもつ目標に重要な影響を与えるおそれがあるが、他の内部統制により適時に発見されない可能性があること、

および／または

−内部統制の運用により、他の内部統制の機能不全が防止され、もしくはかかる機能不全が組織目標にとって重要となる前に発見される場合がある

鍵となる内部統制を識別する目的は、当該内部統制が、内部統制システムにとって、他の内部統制よりもより一層重要であることを示唆することではなく、もっとも大きな価値をもたらす内部統制に、組織がモニタリング資源を投入できるようにすることである。

本稿の定義

財務報告の虚偽記載に繋がる会計処理ないし開示上の誤謬や不正の発生（＝財務報告上のリスク）を未然に防止し適時に発見訂正することを意図して経営者により設計された業務上の諸手続の組合せや業務環境であって、財務報告において経営者が要求する最低限度の品質が確保される（すなわち受容する最大限度のリスクが防止される）ために必要不可欠な手続や業務環境を言う。

 ポイント

1. 会計処理、開示に係るものである
2. 財務報告上のリスク（誤謬や不正）を未然防止し適時に発見することを目的とする
3. 経営者が設計運用主体である（財務報告における二重責任）
4. 最高水準ではなく、必要最低限を満たすレベル（つまり必須のレベル）の品質を意図

 解説

会計処理、開示に係る

これは制度が「財務報告の適正性に係る・・・」という建付けになっているから。しかし誤解してはならないのは、会社内のあらゆる手続は特定目的のためにあるものではなく、ある目的から見たときに結果的にその目的を果たしているものです。したがって、広い意味（COSO定義）での内部統制における、コンプライアンスとか資産の保全といった他の目的も同時に果たしているものが結構たくさんあります。

よって、目的からコントロールを探すことはできますが、コントロールがどの目的を果たしているかを探そうとしても大した意味はありません。但し、コントロールが実際に所定の目的を果たしているかどうかを検証することは、必要なことであり、制度の趣旨でもあります。ここを混同しないように。

誤謬や不正を未然防止、適時発見

よく「予防的統制」「発見的統制」という用語が使われます。財務報告の虚偽表示の原因となる誤謬や不正を未然に防止し、適時に発見するという目的は、分かるようで分からない部分で、とても誤解があるようです。

「未然防止適時発見」はあくまでもある統制行為の目的との関係での位置づけであるため、統制行為自体を予防的か発見的かという形で分類することは生産的ではありません。

経営者が設計運用主体

リスクを認識するのが経営者であるため、識別されたリスクを「制御する」のも経営者の意図となります。もちろん実際はそれを組織の行動に落とし込んでいくわけですが、その過程を「統制の整備（デザイン）」と言い、その実践を「統制の運用（オペレーション）」と言っています。そして実践を確認し問題点を識別する行為が「統制の評価」となり是正措置（すなわち、次の段階の整備）へとつながるわけです。つまり、経営者による一連の経営管理サイクルと言うことです。

必要最低限

「キー」という言葉に表象されているのはこの部分です。経営は常に業務改善を目指す一連の行動ですから理想を追い求めます。他方、コントロールというのはリスク対応活動であるため、直接的には付加価値生産に結びつかないことから、コスト要因となります。畢竟、経営者は最大限の効果を最低限のコストで発揮させる活動を選択しますが、そこでクリアすべき要件を最大限許容可能な水準を満たすことを必要条件とします。

十分なコントロールというのは限度がありませんが、十分なキーコントロールというときには、最大限許容可能な水準以下のリスクレベルが確保されている状態であり、キーコントロールが十分でないときは、許容可能なリスク水準を超える虚偽記載が顕在化する可能性があることを示唆します。

※ちょっと一言