エンタープライズ・リスク対策としての内部監査

内部不正対策

不正・不祥事の防止に不可欠な内部監査とディフェンスライン構築の要点

企業の不祥事、内部不正へのペナルティは、法令違反に対する課徴金など、短期的な損失だけでなく、ブランドイメージの毀損や企業価値の低下、株主への損害賠償など、中長期的に影響を及ぼすものです。さらに、ビジネスがグローバル化している今日、活発化する域外適用や海外のステークホルダーたちによる集団訴訟など、企業が抱えるコンプライアンス・リスクはこれまで以上に拡大していくものだと想像できるでしょう。

全社的なコンプライアンス意識向上の必要性は言うまでもないことですが、その階層化と担うべき役割を明確化させることもまた、重要です。一般的に、コンプライアンス体制の基本は次のような3つのディフェンスラインを取り決め、それぞれに合わせた強化策を実践することだとされます。

第 1 線: 顧客や取引先などと直接接点をもつ部門部署に相当。そのため、最もリスクに接する機会が多い。規制動向や疑わしい取引の傾向を知り、高リスクに対する鋭敏な察知能力を発揮することが求められる。

第 2 線: 第1線を管理監督する部門部署に相当。第1線では判断できない高度かつ複雑なリスクを冷静に判断する能力が求められる。

第 3 線: 企業のコンプライアンス対策の最後の砦となる存在。すべてのリスクに対して怜悧に対応する必要があり、他のディフェンスラインを監査したり、役員や経営者を含む社内における内部不正の取締を徹底する部門部署でもある。

不確実性が高く、新しい考え方や技術が勃興する今日のビジネスシーンにおいて、過去の情報を元にリスク評価をしたり、判断することが必ずしも適切とは言えない場合が多々あります。加えて、グローバル展開が珍しくない昨今、国内企業も各国の規制と無関係ではいられません。そのうえ、近年ますます社会的評価や社会の要請が当局の規制強化を促すような傾向も見られます。

たとえば、それまでは商習慣として半ば公認されてきたことも、ある日を境に「重大な問題である」と判断される場合が挙げられます。また、新興国では急速に法整備が進んでおり、先進国でも新技術に適応するために新たな法規制を創出するなど、ビジネスを推進する上での基本ルールは日々激変し続けている状況です。

故意であるかどうかに関わらず、一度でも不正を行なったと認定されれば、当局や社会の目はますます厳しく企業を監視します。

そうした中、新たな不正が見つかった場合、経営者の中には「ひとつの事件が発覚し、社会的に批判を浴びたのだから新たに発覚した事案を自ら明るみに出したくない」という心理が働くこともあるでしょう。

しかし、これを許せば、二重三重のリスクを自ら生み出すことになりかねません。そうした心理を慮ることなく内部不正を厳しく監査し、外部の専門家と連携して、当局やステークホルダーにしっかりと説明責任を果たす役割が、第 3 線には強く求められます。

第 3 線がその力を発揮するにあたり「リスク・ベース・アプローチ (リスクに基づく考え方) 」を旨として行動することが重要です。リスク・ベース・アプローチとは、リスクを評価した上で、それを行なう事による損益度合いを勘案し、決定を下すもので、先行きが不透明な今日のビジネスシーンに適したものだと考えられるでしょう。

リスク・ベース・アプローチをより洗練させるには、複雑な方程式を解くような取り組みが不可欠です。

ある事案に対し、自社の経営理念やビジネスの有り様と合致しているかどうかだけでなく、業界の趨勢や商習慣、規制の動向、社会の風潮などを加味しながら起こり得るリスクを想定し、その発生原因から波及するさらなるリスクまでを推測、さらに「起きる恐れがあるリスクについて、自社がどこまでリスクテイクできるか」を確認しながら、自社にとって最適なリスク評価や線引きを定め続けることが肝要となります。

特に、どれだけ対策を講じてもリスクをゼロにすることは不可能であると理解し、組織にとって許容できる残留リスクであるかどうかを明確に判断することは、撤退を含めた経営戦略の策定にも役立ちます。そのため、内部監査は「最後の一線を超えていないか」だけでなく、「いま、この問題のリスク度合いはどのレベルか」や、現在構築しているコンプライアンス体制が最適であるかを評価し、対策の PDCA サイクルを回転させ続ける必要があります。このことが、結果的に企業の損失や損害に迅速に対応することへと繋がるわけです。