近江正幸・中里拓哉著『中堅・中小組織の内部監査（改訂版）』2021年３月26日、白桃書房、274頁3,500円

「チンパンジーの笑顔」雑読雑感　その９０

チンパンジーは、プロセスとかシステムという一連の用語をとらえがたく思っていましたが、この本の中で、プロセスとは一連の対応（活動）と、システムとはコントロールするための仕組みと学んで、やっとストンと落ちましたよ。

著者略歴は、次の通り。

「近江　正幸（おおみまさゆき）第１部・第２部担当

JF全漁連・JF全国監査機構監査委員長，日本工業大学技術経営専門職大学院客員教授。農業協同組合内部監査士検定試験・試験委員（内部監査担当），監査役研究会主宰。1951年生まれ，成蹊大学大学院博士後期課程満期退学。

中里　拓哉（なかざとたくや）第３部・第４部担当

公認会計士，税理士。安田莊助税理士事務所（現仰星税理士法人），東京赤坂監査法人（現仰星監査法人）を経て中里会計事務所を設立。監査関連業務，会計指導業務，税務業務に従事。農業協同組合関係の講習会講師。F財務諸表監査の実務（第３版）」（中央経済社）他を執筆。1969年生まれ，早稲田大学教育学部卒業。」（著者略歴より）

幾つか抜粋しておきます。

「この内部統制の定義に基づき分析すれば，内部監査の目的は，組織体の理念や目標の効果的な達成に役立つことです。理念や目標を実現するためには戦略や戦術を採用しますが，戦略や戦術に対する監査要点（チェックポイント）としては「合法性」と「合理性」を置き，組織の戦略・戦術の採用に際しての「ガバナンス・プロセス」やそれに伴い発生するリスクを経営者が許容できる範囲に収める「リスク・マネジメント」および厂コントロール」に関連する経営諸活動（遂行状況）を対象とし，諸活動について「アシュアランス（保証）」および「アドバイザリー（コンサル）」業務を実施します。」（第１部　内部監査の基礎知識、12頁）

「参考1　有効なリスクマネジメントとコントロールにおける三つのディフェンスライン　内部監査に関する理論・実務一研究といった各方面で指導的な役割を担っている世界的な組織であるIIA (The Institute of Internal Auditors.Inc.)のポジションペーパーやIIAの日本の代表機関である「日本内部監査協会（ｎＡＪａｐａｎ）」等の権威ある刊行物の中に「三つのディフェンスライン」という用語を目にすることがあります。

　「三つのディフェンスライン」とは，組織における有効なリスクマネジメントとコントロールの態勢を維持するための三つの防衛ラインを意味します。第一のディフェンスラインは「業務の現場における管理及び監督」，第二のディフェンスラインは「コンプライアンスやリスク管理等を所管する部署（コンプライアンス部門，リスクマネジメント部門）による監視」,第三のディフェンスラインは「内部監査部門による監視および監査」です。現代の組織はこの三つのディフェンスラインで，リスクマネジメントとコントロールの有効性の維持という目標を達成できるということです。

　この用語が内部監査の文献に頻繁に登場するのは，この言葉が三種類のディフェンスラインの役割の違いを明確にし，また三つのディフェンスラインの中での内部監査の立場と意義を説明するの忙有用と考えられるからです。内部監査が客観的かつ独立の立場を活かし，第一のディフェンスラインと第二のディフェンスラインの有効性を検証および評価をし，かつ第一と第二のディフェンスライン間の調整を行うにも適切な立場にあるということを関係者に説明するのに三つのディフェンスラインの説明は有用なので，再三登場すると思われます。」（第１部　内部監査の基礎知識、16頁）

「内部統制とは組織の業務を有効かつ効率的に行うための一連の管理プロセスを実行するための組織が備えるべきシステムです。おおまかに言えば，組織の約束事といっても良いでしょう。

　「プロセス」とか「システム」という用語は，よく使うものの意味が抽象的な用語です。そこでここではこれらの意味を内部統制に関連させて明確にしておきます。

　組織が持続的・安定的に成長するためには，組織に潜む不測の事態である「リスク」によって組織の目的を達成できない可能性をコントロールしなければなりません。

　リスクをコントロールするためには，管理対象となる事象を認識・評価し，その事象への適切な対応を決定し，その決定に基づいて行動しなければなりません。この一連の対応（活動）を「プロセス」といいます。

　「システム」とは，このような事象をコントロールするための組織の制度あるいは仕組みです。ルールといってもよいでしょう。」（第１部　内部監査の基礎知識、20頁）

「参考6　改訂COSO

　2013年５月にＣＯＳＯは，改訂版「内部統制の統合的フレームワーク（新フレームワーク）」を公開しました。1992年に「内部統制の統合的枠組み（ＣＯＳＯフレームワーク）」として公表されたＣＯＳＯフレームワークは20年を経て，企業経営を取り巻く環境や規制等の変化に対応するため改訂が数年前より計画され，ドラフトの公表，その後の修正作業を経て正式に公表されました。

　新フレームワークでは，基本的な定義やＣＯＳＯフレームワークで示された目的や構成要素を踏襲しています。しかしながら，従来のフレームでは内部統制の報告目的を財務報告に限定していたのに対して，新フレームでは非財務情報も取り込みました。そして原則主義アプローチを基本に，構成要素を支援する17の原則，81の属性（原則に関連した特徴）を示しています。 17の原則には従来のフレームワークでは明確になっていなかった内部統制と不正の関係も明示されました。また，リスク評価の着眼点にはリスク許容度との関係など，この20年間に進化した考え方や実務に関ずるガイダンスや考え方が整理されました。

　そして，そこでは内部統制が有効である要件として，五つの構成要素および全ての関連する原則が存在し，ともに機能し，重要な不備がないことと明示しました。

　なお2013年に公表された改訂ＣＯＳＯでは，内部統制と全社的リスクマネジメント(ERM)とガバナンスの関係について，内部統制は全社的リスクマネジメント(ERM) に包含され，そのＥＲＭはガバナンスに包含されるという形で示しています。

　今後，このCOSO新フレームワークが我が国の監査基準や内部統制基準等に影響を与えることも十分に考えられます。」（第１部　内部監査の基礎知識、37～38頁）