 |
|||||||||||||
|
いまや「日本版SOX法」というキーワードを聞いてピンと来ないという読者はおそらく皆無だろう。個人情報保護法と同様に業務全体に関わる法律だけに、IT系のウェブサイトに限らず、一般の新聞やビジネス誌などでも頻繁に見かけるキーワードとなっている。ただ、ITに関する項目が盛り込まれているだけに、IT業界におけるシステム構築のキーワードとなっている部分も大きい。そこで本特集では日本版SOX法とITの関わりを見ながら、ツール導入を実践する際の留意点などを見ていくことにしよう。
2005年7月、日本の企業に大きな衝撃が走った。その理由は、「日本版SOX法」の元となる「財務報告に係る内部統制の評価及び監査の基準（公開草案）」が金融庁より公表され、しかもその適用が2008年3月期、つまりは2007年4月までに用意すべきものであったためだ。同法案は米国で2002年に実施されたSOX法が元になっていることも、日本企業にも大きなインパクトをもたらした。なぜなら米国のSOX法に準拠した日本版SOX法の内容は米国同様に厳しく、企業にとって大きな負担になる可能性が高いものだったからだ。 野村総合研究所（NRI）が2006年2月21日に発表した日本版SOX法についての調査を見ると、80％以上の企業が日本版SOX法の施行によって、のしかかる負担が「非常に大きい」「大きい」と悲観的な見方をしている。この法案に盛り込まれた内部統制の構成要素は「統制環境」「リスクの評価と対応」「統制活動」「情報と伝達」「モニタリング」「IT統制」の6つとなっている。このIT統制の部分が、米国SOX法とは大きく異なる部分であるが、企業経営にITが不可欠になっている現状では、当然のことといっていいだろう。このようにITが盛り込まれる事象は当然のこととはいえ、それを実践するのも難しいのも事実である。実は、NRIの調査で企業が「対応が難しい」と答えた結果を見ると、「情報システムの改変」が上位に位置しているのだ。 一方、日本版SOX法は米国と同様に上場企業が対象と見られているため、内容の厳しさに驚かされたものの、自社には関係ないとほっとしている企業も多いという。しかし、連結決算の対象となる上場企業の子会社や関連企業は、最終的には日本版SOX法の適用対象となる。また、株式上場とは無縁であっても、大手企業の取引条件に「企業をまたいだシステム間連携を果たすには日本SOX法に対応したシステムを持っていることが必須」などの項目が加わることや、将来的に日本版SOX法の適用範囲が広がることも考えられる。このため、ビジネスにITを活用している企業のすべてがその範疇に入る可能性を持っており、早めの対応を果たすことが望ましい状況になっているのだ。 なお、直近の動きを見ると、2006年4月に日本版SOX法が閣議決定された際に、十分な準備期間を取るには時間が必要であろうという配慮があったことからか、実際の適用は2009年3月期決算から、体制構築のデッドラインは2008年4月へと先延ばしになった。だが、日本版SOX法に対応できる体制構築に時間がかかることを考えると、決して猶予はなく早急に取り組まなくてはならない課題となっている。
それでは、実際にSOX法に対応するために、企業はどのようなIT環境の整備を行うべきなのか？ 大まかには2つに分けられる。1つ目が個々の業務処理を行うためのシステムやアプリケーションの開発・保守などが、適正に行われるための統制を指す「全般統制」となる。全般統制を実現するには、不正が発生する可能性のある処理が起きないようにするために、セキュリティ強化はもちろんのこと、ハードやソフトだけでなく、そこで取り扱うデータを含む資産管理体制の整備・強化といった要素が求められる。 2つ目が「業務処理統制」で、財務会計報告に関連した承認や決済などの業務処理が適正化されていて、かつすべてのプロセスが記録されるための統制を指す。こちらは、業務フローのなかで財務面での不正が発生しないようにするのが目的となる。これを実現するには、ERPをはじめとする会計や生産・販売管理系のソリューションの導入・見直しを行い、データ入力の際に二重チェックしたり、処理工程の整合性チェックなどが行える環境を整備する必要がある。 このような流れから、企業がIT面での日本版SOX法対応を果たすには、全般統制と業務処理統制という2つの統制を各種のツールを使って、いかに効率的に進めるかがポイントとなる。ただ、気をつけなくてはならないのが、現在の世の中には日本版SOX法対応を謳う製品が多数存在している点だ。ITソリューションを提供しているベンダーにとって、日本版SOX法の施行は大きなビジネスチャンスと捉える向きが多分にあるのだ。 実際にビジネスとITが深く結びついている現状において、日本版SOX法への対応や内部統制の実現するために、ITが深く関わってくる領域は非常に広い。そもそも日本版SOX法が求めているものが、各業務プロセスの適正な運用であり、そこにITが絡めばすべて関わりを持つといっても間違いではない。それだけに、「日本版SOX法対応」や「日本版SOX法に不可欠」といった言葉に惑わされず、自社の必要な部分に適応するツールやサービスの選択が必要となるのだ。 |
||||||||||||
