IT予算は日本版SOX法の統制対象か？

内部統制報告書、それは、日本版SOX法により上場企業が財務報告書と合わせて提出しなければならない企業活動報告書である。財務活動に関係する業務プロセスを監視してその正確性（正しいデータ）と正当性（正しい手続き）を監督した報告書である。

その統制対象は、財務諸表の勘定科目から逆引きされその項目が発生する業務が対象となると言われている。しかし、ここについて筆者には大きな疑問がある。

それは、企業におけるIT予算が日本版SOX法の統制対象になるかどうかである。実は、IT予算（＝IT投資）は財務諸表の勘定項目には独立しておらず大半は関連する業務の営業経費に按分されるか、資産として計上されるからである。そうするとIT予算は単独の勘定科目にはならず、かつ細分されて按分されているので大きな費用には見えない。IT予算は内部統制の対象から外されてしまうのか？

あるアナリストは言った。「その通り」。別のコンサルタントはこう解説した「予算決定プロセスは統制対象なので、そこで承認される予算項目は結果として全て対象となる」。しかし、筆者は釈然としない。

日本版SOX法は内部統制活動を義務化する法律であり、IT統制として業務システム（業務処理統制）とIT環境（全般統制）を統制対象としている。そして、そのためのIT業務も当然、統制範囲となり正しく行われなければならない。IT予算はその活動のために使われる費用である。しかし、業務だけが統制されてその予算が対象にならないということがあり得るのだろうか。

一方、ITガバナンスは経営戦略とIT戦略の整合を要求している。全体最適によるIT業務の最適化でビジネスにより強い競争力の提供を目指している。そのためにはIT投資の最適化は極めて重要な課題である。しかし、日本版SOX法ではIT予算は軽視されるのか？

しかし、その悩みは別のコンサルタントの言葉で氷解した。「あなたは本質を理解していない」。「内部統制が全ての基本であり中心です。そこから各制度をご覧なさい。あなたの視点は間違っています」。

COSOに代表される内部統制において投資プロセスは重要な管理項目であり、IT投資も例外ではない。しかし、法制度の一つである日本版SOX法は内部統制の全てをカバーするものではないのだ。そして、IT投資（＝IT予算）については別の法制度が既に準備されている。改正会社法のIT会計である。IT会計では関連するIT費用の分散計上を禁止している。例えば、ライセンス費用と保守費用を分離してはいけないのだ。開発費用も同様である。

日本版SOX法の対応は文書化を中心とした制度対応だけでは不十分だ。
内部統制のさらなる強化こそが、その本質なのだから。