確実な業務統制にはIT統制が不可欠

日本版SOX法に象徴される内部統制の実施は、企業にとっては規制強化ではない。

これまでの業務改革は競争力の強化を主眼とした業務効率化が中心だったが、ここに企業の社会的責任と市場での信頼の高まりに対応すべき活動として内部統制活動が求められている。この結果、業務の効率性とリスクの把握が可能となり、より高度な業務改革の推進が可能になった。

既に上場企業においては内部統制の体制や専任委員会を設置しているが、最新の中間決算短信を拝見させていただくと、多くの企業では内部統制システムの整備へと展開を進めている。いよいよ、情報システム部門の登場である。

内部統制は業務統制とIT統制に区分されるが、それは別々に独立しているわけではない。
今日の業務がITの利用で支えている状況から、業務統制の延長としてIT統制が求められるのだ。そうなると、業務統制に力を入れれば、IT統制は現状（低い管理レベル）のままでいいのではないかと思われるかもしれない。

しかし、現実は反対である。IT統制の管理レベルが低いままでは、業務統制の領域と作業が過剰に大きくなり、内部統制活動を極めて過酷な作業にしかねない。

例を挙げて考えてみよう。
業務統制において資材の過剰購入のリスクを低減するために上限金額を設定したとしよう。そして、購買システムは現状のまま伝票入力時のみにおいて上限設定ができるものとする。この場合の統制活動はどうなるだろうか。上限金額の条件には通常、期間・品目・購入先が設定される。しかし、購買システムが伝票単位での上限管理とすると、特定期間ごとに全伝票を人手により品目別・購入先別に集計する作業が必要になる。しかも、仮に上限金額を大きく超えてもその発見は事後の集計時となり予防的効果はない。

もし、この上限金額設定処理をIT統制（業務処理統制）として購買システムに追加すればどうなるだろうか。そう、上記の手作業は一切不要となり予防的措置も可能となる。更に、システムの追加開発は1回で済むが手作業は毎期・毎年継続しなければならない。コスト的にも作業負荷からもどちらの対応策が適当であるかは明確ではないだろうか。

このように、業務統制で定めた統制活動を可能な限りIT統制で対応する、つまりITの管理レベルを上げることで業務統制が容易にそして確実になるのである。