COSOって何？内部統制の5つの構成要素とキューブをやさしく整理

「統制環境は、内部統制の基盤です」

そう言われても、「基盤って、どういうこと？」「そもそも内部統制のフレームワークって何？」と、ピンとこないことはありませんか？

もしかすると、統制環境という言葉だけを見ていて、内部統制の全体像がまだつながっていないのかもしれません。

そんなときは、少し引いて全体を見てみましょう。今回はCOSOの内部統制フレームワークを使って、統制環境がどこに位置するのか、会社でありそうな場面と一緒に整理していきます。

前の記事：統制環境って何？「チェックの仕組み」との違いを考えよう

まずは、この問題を考えてみよう

Asami

そう。正解はBです。「誠実に行動しましょう」と書いてあっても、実際には虚偽報告を認めていたら、社員は何を優先すると思う？

Asami

そうだよね。経営者が言葉や行動で何を大切にしているかは、統制環境を考える手がかりになるよ。

COSOって、そもそも何？

COSO（コソ）は、アメリカの会計・内部監査などの専門団体が支える民間の組織です。内部統制やリスク管理の枠組み・ガイダンスを公表しています。

今回見るのは、「内部統制の統合的フレームワーク」。1992年に公表され、2013年に改訂されました。COSOにはERMのフレームワークもあるので、調べるときは「内部統制の方だな」と確認してみてください。

参考：COSO公式 ／ フレームワークの沿革

CIAのシラバスにも、内部統制フレームワークを使う目的や利点の理解が含まれています。だから、試験勉強でも全体像を知っておく意味があるんですね。シラバス・参考文献・グローバル内部監査基準との関係は、別の記事で整理します。

参考：日本語版CIA Part 1シラバス・Section C 8.b

Asami

チェックリストを作るときの「整理する観点」に近いかな。承認ルールだけでなく、人や組織、情報の伝わり方まで含めて見ていくための枠組みだよ。

内部統制を考える、5つの構成要素

言葉だけだと難しく感じるので、会社の場面に置き換えてみましょう。

統制環境には、倫理観のほかに、取締役会の監督、権限と責任、人材の能力、説明責任なども含まれます。「経営者の人柄」だけの話ではないんですね。

参考：COSO公表の実装ガイド・本文5〜6頁

Asami

手続も大事だよね。でも、経営者が「売上のためなら虚偽報告も仕方ない」と認めていたら、手続が形だけになるかもしれない。だから、統制環境が「基盤」と呼ばれるんだ。

キューブは「3つの問い」を重ねたもの

教材で立方体の図を見たことはありませんか？あれがCOSOのキューブです。いろいろな言葉が並んでいますが、まずは次の3つに分けると分かりやすいと思います。

たとえば「営業部の報告の信頼性」を考えるときも、承認手続だけでなく、経営者の姿勢やリスク、情報の伝わり方、運用の評価まで見ていきます。この重なりを表しているのがキューブなんですね。

ちなみに「報告」は、財務報告だけに限りません。

参考：COSO公表の実装ガイド・本文5〜7頁

Asami

そこ、気になるよね。「基盤」は役割を表す言葉なんだ。キューブでは上に描かれているけれど、意味は変わらないよ。図の上下は、作業の順番ではないと考えてね。

行動規範や、会社からのメッセージもつながっている

行動規範は、組織として期待する行動や倫理的な基準を示すものです。Tone at the Topは、経営トップが言葉や行動で示す、倫理や統制に対する姿勢、と考えるとイメージしやすくなります。

Asami

うん、関係あるよ。Zoomの研修やeラーニングで行動規範を説明したり、受講率を確認して未受講の人に案内したり。そういう取組も、組織の考え方を伝えることにつながるね。

Asami

受講率は、教育が届いたかを確認する手がかりにはなるよ。でも、理解して実践できているかは別だよね。理解度や普段の行動、違反が起きたときの対応も見たいところ。

「誠実さを大切に」と伝えながら、成績のよい人の違反は見逃す。それでは、冒頭の問題と同じになってしまいます。

また、倫理的な姿勢を示すことは統制環境に関わりますが、研修で伝えることには「情報と伝達」の側面もあります。一つの取組が、複数の構成要素につながると考えてみてください。

今回は、統制環境をCOSOの全体像の中で見てみました。次の記事では、CIAの学習で「問題文のどこに注目して、構成要素を読み分けるか」を一緒に考えていきます。