PwCあらた有限責任監査法人 パートナー│公認会計士 執行役 リスク・デジタル・アシュアランス担当 丸山 琢永
日本企業の不祥事が頻発しており、その勢いは止まりそうにない。日本企業の不正の多くは内部で起きており、それは内部統制機能が十分に発揮されていないからで、不正発覚時の対応も不十分である。不正を防ぎ、損害を最小限に留めるために企業は何をすべきか。発生頻度は低いが、発生した際の損失額が大きいリスク「非期待損失」のマネジメントが今、企業に求められている。
〇不正は企業の内部で起こっている
２０１７年も、製品データ改ざんや無資格検査、談合、粉飾決算など、企業の不祥事が相次いで報じられた。ＰｗＣが２年に一度実施している「経済犯罪実態調査（２０１６年版）」では、日本企業の経済犯罪は、世界全体と比較して、「内部」の関係者によるものが多く、実に88％を占めている。一方、海外ではサイバー犯罪やマネーロンダリングなど、「外部」の人間による犯罪が日本に比べて多い。日本企業では不正は主に企業内部で起きる傾向がある。経営者はこの現実を直視し、内部関係者による経済犯罪への意識を高めると同時に、犯罪を予防・検知する内部統制システムをあらためて整備していく必要がある。同調査によれば、多くの日本企業において、不正の発見や防止のために導入している内部統制システムは、十分にその機能を発揮していないことが推察される結果となった。なぜなら、「経済犯罪が発覚した理由」を見ると、「偶然」という回答が44％と圧倒的に多かったからだ。
次に多かったのが「内部通報制度によらない報告（内部からの相談）」で、「定期的な内部監査」や「疑わしい取引の報告」が多い海外とは大きく異なる。つまり日本企業の内部統制システムは、社員一人ひとりの倫理観に依存する部分が大きく、統制環境の整備に対する意識が高いとはいえない。その結果、内部統制システムが本来想定されている機能を十分に発揮できていないと考えられる。日本企業の経済犯罪に対する意識の低さも大きな懸念材料だ。過去２年間で経済犯罪対策にかけた費用についての回答を見ると、「顕著に増加」「増加」と答えた日本企業は海外に比べて圧倒的に少なく、両者合わせて18％に留まった。
日本企業は不祥事が起こった後には再発防止対策などに費用をかけるが、問題が顕在化する以前に、予防や早期検知といったプロアクティブな対策に費用をかける企業は多くない。不正発覚時の対応も日本企業は後手に回ることが多い。「意識して静観」すると回答した企業の割合は海外に比べて格段に高く、これは、不正発覚時の対処法が確立されておらず、「とりあえず静観して対処法を探る」という日本企業の特徴の表れかもしれない。経済犯罪の脅威に対する危機意識は、多くの日本企業が海外企業の水準には達していないというのが現状である。
ここ数年のサイバー犯罪に見られるように、経済犯罪は高度化・複雑化している。企業は従来の対策の強化に加え、新たな脅威への対策も必要に迫られている。企業が経済犯罪を起こさないためには、内部統制システムの強化・見直しを継続的に行い、万が一犯罪が発生した場合には迅速かつ適切な対応を取ることで被害を最小限に留めるための備えをあらかじめしておかなければならない。そのためには、必要に応じて外部の専門家も活用し、予防から有事対応までの一貫した計画を立てておくことが、企業価値の下落を防ぎ、また向上を図るために重要なことは言うまでもない。
〇不正会計は過去最多件数に
不正リスクが発生する原因と解決策、コントロールの手法などについて、不正会計を例に説明してみよう。東京商工リサーチの調査によると、２０１７年に「不適切な会計処理」があったとして情報開示した企業は53社あった。これは全上場企業約３７００社の１・４％に相当し、調査開始の２００８年から倍増した。不適切な会計が発生した場所は、株式発行会社（上場企業本体）が21社、子会社・関係会社が23社である。
注意すべきは、不適切な会計処理の中には「不正」と「誤謬」の双方が含まれていることだ。発行会社においては、開示当事者の会計処理手続きの誤り（誤謬）が多く、意図的に不適切な会計処理を行うケース（不正）は子会社・関係会社で圧倒的に多い。不正会計が発生する頻度は確率的には低いことから、これを予防・発見する仕組みを導入してあらかじめ制御するよりも、「会計監査を受けていれば、善管注意義務は果たしている」「Ｊ—ＳＯＸ（内部統制報告制度）に対応しているから大丈夫だ」と考える経営者が多い。
しかし、一方で健全な会計意識の定着の遅れが不適切会計の温床になっていると指摘する不正調査委員会や第三者委員会の声も多い。では、なぜ不正会計が起こるのか。不正会計の発生理由を考える場合、原因と、不正を誘発する行動とを分けて検討するのが有用である。
不正の原因となる事象としては、「財務報告の信頼性とアカウンタビリティ意識の欠如・不足」や「ヒト・モノ・カネの配分に関する問題」「情報システムの配分に関する問題」などが挙げられる。
「財務報告の信頼性とアカウンタビリティ意識の欠如・不足」には、
①経営トップが財務報告の信頼性にかかるコミットメントを社内に示していない②財務報告に関わるワーストシナリオを想定していない
③危機発生後も意識が組織に浸透しないまま初期対応に留まる、
といった問題がある。
不正会計に限らず、不正リスクマネジメントは予防・抑制→初期対応→信頼回復・早期発見という一連のプロセスがなければ十分な効果を期待することはできない。ところが、不正会計が発覚した多くの企業は初期対応の段階でこの取り組みを止めてしまうため、不正会計が再発する可能性が高まってしまう。
「ヒト」に関する問題としては、
①経理の全体像を把握する人材の不足
②子会社の経理担当者の人事権限が当該子会社にある
③管理会計上の業績認識基準と財務会計上の収益認識基準が異なる
④「お客様第一主義」が例外的な会計処理を正当化する理由になっている
⑤コングロマリットのグループ本社の社長やコーポレート部門がカンパニーの事業を掌握し切れていない、などがある。
さらに「モノ（在庫）・カネ（資金調達・売上債権回収など）」に関する問題には、
①子会社に自社倉庫の管理を任せている
②資材調達と供給を同一人物が管理している
③子会社に資金調達の権限を委譲
④与信管理体制の未整備・不備が、
また、「情報システム」に関する問題には、
①子会社にシステム管理者の権限を委譲している
②システム監査をしたことがない、などがある。
これらの問題解決には、経営資源に関する権限委譲の状況検証や各種管理基準の整備、外部専門家の活用が不可欠である。
〇不正を誘発する行動にも注意すべき
次に、不正を誘発する行動について過去の事例から考察したい。大きくは２つ挙げられる。
一つは「重要な不正リスクのプロファイリング上の問題」だ。会計不正をはじめとした不祥事が頻発しているにもかかわらず、なぜ繰り返し起こるのか。それは、その他の会社で起きた事象が自社グループにも関連性が高い、あるいは重要なリスク事象と認識されていないことが大きい。この結果、重要な不正リスクの原因や結果を誘発する行動が自社グループのどこに潜在しているのか調査・分析も行われないし、リスクマネジメント方針やＫＲＩ（Key Risk Indicator：重要リスク指標）の設定・モニタリングも行われない。これらの解決には、ＲＣＳＡ（Risk and Control Self-Assessment：リスクと統制の自己評価）が有効だ。これはビジネスやリスクマネジメントに精通した人材を内外から集め、専門家の視点からビジネスに潜在するリスクを識別し、それを制御するための手法を文書化、さらに評価するプロセスである。
もう一つは「重要な不正リスクへの対応上の問題」だ。会計不正のような発生頻度の低いリスクは通常の内部統制システムでは検知しにくい。この解決策としては不正の抑止力としてデジタル技術を利用した発見的コントロールの活用が有効だ。具体的手法としては、ＣＡＡＴ（コンピュータ利用監査技法）を活用した内部監査が挙げられる。これは企業の業務データを、一部抽出ではなく、すべてを入手・分析し、データの揺らぎや異常値を検知するものだ。グループ・グローバルベースの内部通報システムの構築や、リスクコミュニティの設置による社内コミュニケーション体制の見直しなども重要だ。不正リスクの原因と誘発する行動、その解決方法は明らかになった。だが、コストを費やし立派な仕組みを導入したとしても、リスクをゼロにすることはできない。
不正発生時に起こる経済的・社会的損失を最小限に食い止めるには初期対応が重要になるが、ここでもいくつか問題がある。たとえば、経営トップや監査役に報告が上がらない、監査法人とのコミュニケーションが適時に行われない、不正事案の経験が少ない専門家に相談する、経営陣が不正調査委員会に対して事実を隠蔽するといったことが挙げられる。対応策は、自社グループ内でできることとできないことを明確に分けて、できないことは外部の専門家に関与してもらい、プロジェクトマネジメントを任せることだ。
〇発生頻度は低いが損失額は大きい
不正会計リスクのように発生頻度は低いが、発生した際の損失額が大きいリスクを「非期待損失」と呼んでいる。これを高度にコントロールしていくことで、発生頻度、損失額ともに引き下げていくというのが、非期待損失のマネジメントの要諦になる。
典型的な打ち手は４つある。
１つは社員教育。「何がよいことなのか」というコモングッド（共通善）の価値基準を設定し、社員一人ひとりが最善の判断を適時に行うこと。
２つ目は、前述した、リスクと内部統制システムの自己評価を行うＲＣＳＡの実行だ。
３つ目は、組織横断型のリスクコミュニティの構築を通じて、不正リスクに関するＫＲＩやコントロール手法を外部専門家とともに共同開発していくこと。
そして４つ目が、不正の抑止力や発見的コントロールとしてのＣＡＡＴを活用した内部監査の実施だ。
非期待損失は、不正会計のほかにも自然災害やシステムダウン、サプライチェーンの断絶などさまざまであるが、これらのリスクマネジメントについても、基本的なフレームワークは不正会計と同じだ。まずはリスクの要因を「見える化」し、リスクを誘発する行動やＫＲＩに着目してモニタリングを続けること。そして異常値が検出された場合に、適時、現場を調査しにいくような仕組みが不正リスクの早期発見や抑止力に、ひいては発生頻度や損失額の低下につながるのである。
エンジンオイル、メーカー、OEM仲間の経営塾
