内部統制へようこそ！
こんにちは！今日は、ビジネス・テクノロジー（BT）シラバスの中で最も重要なトピックの一つ、「内部統制（Internal Controls）」について深掘りしていきます。名前を聞いて身構える必要はありませんよ。内部統制とは、いわば「家のルール」や車の「安全装置」のようなものだと考えてください。車でシートベルトを締めるのが自分を守るためであるように、内部統制は企業をミスや不正、無駄から守るための仕組みなのです。
このガイドを読み終える頃には、企業がいかにして組織を整え、資金を守り、全員が本来の役割を果たせるようにしているのかがしっかりと理解できるようになります。それでは、始めましょう！
1. 内部統制とは何か？
一言で言うと、内部統制とは、事業目標の達成に関して合理的な保証を提供するために、統治責任者（取締役会）および経営陣によって設計、導入、維持されるプロセスやシステムのことです。
経営陣の責任：
事業全体において効果的な内部財務統制を設計、導入、見直し、維持することは、外部監査人ではなく、経営陣の主要な責任です。監査人はそれらを評価し、報告するに過ぎません。
なぜ必要なのか？
忙しいカフェを想像してみてください。もし何のルールもなかったら、店員が顧客への請求を忘れたり、誰かがレジからお金を盗んだりしてしまうかもしれません。内部統制（すべての売上を記録するレジの導入や仕入先への発注の承認など）は、こうした問題を未然に防いでくれます。
主な目的（SOREの覚え方）：
なぜ統制が必要なのかを覚えるには、SOREという言葉を使いましょう：
• Safeguarding assets（資産の保全）：現預金、在庫、備品などの会社の財産が盗まれたり、悪用されたり、破損したりしないようにすること。
• Orderly and efficient conduct（業務の有効性と効率性）：時間や経営資源を無駄にすることなく、事業をスムーズに運営すること。
• Reliability of records（財務記録の信頼性）：会計帳簿や財務諸表が完全で、適時に作成され、正確であることを確保すること。
• Edherence to laws（法令の遵守）：会社の規定、税法、政府の規制に従って事業を行うこと。
クイック復習：内部統制は企業の「安全ネット」です。資産を守り、情報の正確性を保証する役割があります。
2. 内部統制の構成要素（「CRIME」の枠組み）
COSOフレームワークは、内部統制を理解するための「黄金律」です。その5つの構成要素は、CRIMEという覚え方でマスターしましょう。難しそうに見えても大丈夫、一つずつ分解していきますよ。
C – Control Environment（統制環境）
これは組織の「トップの姿勢」です。上層部がルールを軽視すれば、従業員も同じようになります。リーダーシップの誠実さや倫理的価値観、権限の割り当て方が含まれ、すべての基盤となります。
R – Risk Assessment（リスク評価）
問題を解決するには、まず何が問題なのかを知る必要があります。企業は常に「何がうまくいかなくなるか（リスク）」を特定し、それをどう管理するかを決めなければなりません。
I – Information and Communication（情報と伝達）
システムを機能させるには、適切な情報を適切なタイミングで共有する必要があります。つまり、明確な報告体制を整え、各従業員が統制システムにおける自分の具体的な役割を理解している状態を作ることです。
M – Monitoring（モニタリング）
統制が今も機能しているかを定期的に確認する必要があります。もし店舗が現金支払いからクレジットカード決済へ移行したら、以前の「現金数え」の統制は役に立ちませんよね。内部監査は、多くの場合このモニタリングを支援します。
E – Control Activities（統制活動）
これは実際のポリシーや手続き（「実行」部分）のことです。非常に重要なので、次のセクションで詳しくリストアップします！
重要なポイント： 強固な統制システムのためには、CRIMEの5つの要素がすべて連携している必要があります。
3. 統制活動の種類（「SPAMSOAP」の覚え方）
これはACCA試験の定番です！企業がミスを防いだり発見したりするために取る具体的な行動のリストです。SPAMSOAPで覚えましょう：
S – Segregation of Duties（職務の分離）： 一人にすべてを任せないこと。例えば、新規在庫を発注する人と、仕入先に支払いをする人は同一人物であってはなりません。これで不正を防げます。
P – Physical Controls（物理的統制）： 鍵をかけて保管すること。例：現金の金庫、倉庫周囲のフェンス、サーバルームへのカードキーによる入室制限など。
A – Authorization and Approval（承認と認可）： 取引には「上位者」のサインが必要なこと。例えば、500ドルを超える支出にはマネージャーの承認が必要な場合など。
M – Management Controls（経営的統制）： 管理職が業績を確認すること。例えば、今月の実績売上を「予定」予算と比較することなど。
S – Supervision（監督）： 手続きが正しく守られているか確認するために、他者の日常業務を見守ること。
O – Organisation（組織）： 誰が誰に報告するのかを示す明確な組織図を作成し、責任と権限委譲の境界を極めて明確にすること。
A – Arithmetical and Accounting（算術的・会計的統制）： 計算や帳簿が一致しているか確認すること。例：残高試算表や銀行残高調整表の作成など。
P – Personnel（人的資源）： 適切な資格を持つ信頼できる人材を採用し、適切な教育訓練を行うこと。
豆知識：職務の分離は、不正に対する「最強の武器（弱点を突く特効薬）」です。多くの金融犯罪は、一人の人間が一連の取引サイクル全体をチェックなしで掌握していたために発生しています。
4. 予防的、発見的、是正的統制
統制は、プロセスのどのタイミングで機能するかでも分類できます：
1. 予防的統制（Preventive）： ミスや不正が起こる前に防ぐよう設計されたもの。
例：支払いを実行する前にマネージャーの承認を義務付けることや、在庫を施錠された保管室に保管すること。
2. 発見的統制（Detective）： 起こってしまったミスや不正を後から発見するよう設計されたもの。
例：毎月の銀行口座明細を照合することや、抜き打ちの在庫実地棚卸を実施すること。
3. 是正的統制（Corrective）： 発見的統制によって問題が特定された際に、それを解決して業務を正常に戻すよう設計されたもの。
例：誤った帳簿記入を修正すること、事務員を再教育すること、バックアップから破損したファイルを復旧すること。
重要なポイント： 優れたシステムはこれら3つを組み合わせています。予防がベストですが、発見と是正も欠かせないバックアップです！
5. 内部統制の限界
完璧なシステムは存在しません！どれほど優れた内部統制にも弱点はあります。以下の理由で問題が起こる可能性があります：
• 費用対効果： 5ドルを守るために1,000ドルの金庫を買うことはしませんよね。統制を導入するには、それに見合う費用対効果がなければなりません。
• 人的ミス： 人は疲れたり、単純な計算ミスをしたり、指示を誤解したりするものです。
• 共謀（Collusion）： 二人以上の人間がシステムを不正にすり抜けるために共謀した場合（例：発注担当と支払い担当が手を組んで架空の請求書を作成するなど）、職務の分離は機能しなくなります。
• 経営者による無効化（Management Override）： 上層部の役職者が権力を濫用して、確立された統制ルールを回避するケース。
• 非定型取引： 異例または想定外の事象は、標準的な統制手続きの対象外となってしまうことがあります。
よくある間違い： 内部統制があれば不正は絶対に起きないと考える学生がいますが、それは誤りです！統制は合理的な保証（reasonable assurance）を提供するものであり、絶対的な保証ではないことを覚えておきましょう。
6. 内部統制 vs. 内部牽制（および内部監査）
シラバスでは、内部統制、内部牽制、内部監査の明確な役割の違いを理解することが求められます：
内部統制（Internal Control）： 事業を円滑に運営し、資産を守り、信頼性の高い記録を確保するために経営陣によって構築された、財務および非財務の両面にわたる包括的で全体的な統制システムです。
内部牽制（Internal Check）： 内部統制の業務上の下位区分（サブセット）です。日常の通常の業務手順の中で、作業の重複を招くことなく、ある従業員の作業が別の従業員の作業によって自動的かつ継続的にチェックされるような業務分担の仕組みを指します。
例：仕入先元帳担当者が受け取った請求書を、支払処理を進める前に、倉庫の受領担当者が作成した物品受領証と独立して照合すること。
内部監査（Internal Audit）： 組織内の独立した評価機能であり、日常業務から一歩引いた視点で内部統制システム全体の有効性をレビューおよび評価し、その結果を上級経営陣や監査委員会に直接報告します。
7. 財務システムとIT統制：全般統制 vs. 業務処理統制
現代の会計業務はコンピュータや財務ソフトウェアに大きく依存しているため、内部統制は情報技術（IT）も保護しなければなりません。IT統制は主に2つの区分に分類されます：
全般統制（General Controls）
全般統制は、IT環境全体、インフラ、およびポリシーに関連します。企業全体において、すべてのソフトウェアとハードウェアが安定的、安全、かつ信頼性の高い環境で稼働することを保証します。主な例は以下の通りです：
• アクセスおよびセキュリティ統制： 強固なパスワード、ユーザーID、多要素認証、ファイアウォール、サーバルームへの物理的な立ち入り制限。
• 災害復旧および事業継続： 外部拠点への定期的なデータバックアップ、無停電電源装置（UPS）、システム障害に対する正式な復旧計画。
• システム・ソフトウェア統制： オペレーティングシステム、ネットワーク構成、またはデータベース管理システムを変更できる担当者を制限すること。
• 開発および保守統制： 新しい会計ソフトウェアの導入や既存コードの改修を行う前の、正式なテスト、承認、文書化手続き。
業務処理統制（Application Controls）
業務処理統制は、取引が完全、正確、かつ正当に処理されることを保証するために、個別のコンピュータ・ソフトウェア・アプリケーション（販売請求、給与計算、総勘定元帳など）に直接組み込まれた特定の自動または手動の手続きです。これらは3つの段階に分類されます：
• 入力統制（Input controls）： 発生源でのミスを防ぐために、データがシステムに入力される際に実行されるチェック。例として、リミット・チェック／範囲チェック（従業員の時給が15ドルから80ドルの間であることを確認する）、フォーマット／文字チェック（日付フィールドに数字のみが含まれていることを確認する）、妥当性チェック（顧客口座コードが実際に存在することを確認する）、バッチトータル／ハッシュトータル（データ入力の前後で参照番号の合計や合計金額を照合する）などがあります。
• 処理統制（Processing controls）： データの脱落なしに処理手順が正しく実行されていることを保証するチェック。例として、処理ステップ間でのコントロールトータルの照合（ラン・ツー・ラン・トータル）や、一連番号が付与された取引バッチの連続性チェックなどがあります。
• 出力統制（Output controls）： 印刷または配布されたレポートや支払いデータが、承認された担当者のみに届き、正確であることを確認するチェック（例：例外レポートやエラーログのレビュー）。
重要なポイント： 全般統制が脆弱な場合、業務処理統制を信頼することはできません。権限のない人物がシステムの基礎となるプログラムコードを変更できる状態（全般統制の不備）にあれば、入力チェックや処理チェック（業務処理統制）はいとも簡単に回避されてしまいます！
クイック復習まとめ
• 内部統制： 事業目標を達成し、資産を保全し、正確な財務記録を確保するために経営陣が構築する全体的なシステム。
• 内部牽制： 日常の業務手順に組み込まれたチェック体制で、ある従業員の作業が別の従業員の作業を継続的に検証する仕組み。
• CRIME（構成要素）： 統制環境（Control Environment）、リスク評価（Risk Assessment）、情報と伝達（Information & Communication）、モニタリング（Monitoring）、統制活動（Control Activities）。
• SPAMSOAP（統制活動）： 職務の分離（Segregation of duties）、物理的統制（Physical controls）、承認（Authorization）、経営的統制（Management controls）、監督（Supervision）、組織（Organisation）、算術的・会計的統制（Arithmetical checks）、人的資源（Personnel）。
• 統制のタイミング： 予防的統制（事前に防ぐ）、発見的統制（後から見つける）、是正的統制（問題を解決する）。
• IT統制： 全般統制はIT環境全体とデータセキュリティを保護し、業務処理統制は個別の取引データの完全性と正確性をチェックする（入力、処理、出力）。
よく頑張りました！これでビジネス・テクノロジー試験における内部財務統制の全範囲をカバーしました。CRIME、SPAMSOAP、そして全般統制と業務処理統制の違いをしっかりと頭に入れて、CBE試験の問題に臨みましょう！応援しています！