誤用していませんか「内部統制」と「ガバナンス」の違い（前編）

2023-05-30

※この記事は公開から１年以上経っています。

ガバナンスは「株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で」といった利害調整が要素として加わっている

ビズサプリグループの三木です。

先日、ある報告書を取りまとめていくための会合に出席していたところ、報告書の草案として「内部統制（ガバナンス）」という表現が出てきました。内部統制とガバナンスは別なのでこの表現は修正となったのですが、実はその原稿を作成したのは公認会計士でした。

専門家なのだからもう少し勉強して欲しいと感じる一方で、ふだん馴染みがない人にとっては区別が難しいのかなとも改めて感じました。そこで今回は、今さらながら内部統制やガバナンス、その他混同されやすい関連用語について整理してみたいと思います。

その中で内部統制とガバナンスの違いは、次回により深く掘り下げていきます。（分かりやすさのために簡略な表現にしている箇所があります。ご容赦ください）

１．内部統制とは

内部統制とは、「事業活動にかかわる従業員すべてが遵守すべき社内ルールや仕組み」です。

例えば、決裁権限規程に基づく承認や、予算によるコスト管理などはその代表的なものです。大雑把に言えば社内をきちんと管理する仕組みと言って差し支えありません。

内部統制で有名なのは4つの目的と6つの構成要素から構成されるという説明です。これは金融庁が「財務報告に係る内部統制の評価及び監査の基準」の中で行っている説明で、多少の日本向けアレンジはしているものの、概ね海外諸国と同じ定義となっています。これについては検索すると解説がたくさん出てくるので、興味ある方は探してみてください。

内部統制でよく出てくるのが内部統制報告制度（J-SOX）です。上場企業は「財務報告に係る」内部統制を自らチェックし、更に外部の監査法人による監査を受ける義務があり、この仕組みをJ-SOXと言います。

気を付けたいのは、J-SOXはあくまでも財務報告に係る内部統制だけに焦点を当てていることです。例えば品質検査の改ざん防止の内部統制は、内部統制ではあってもJ-SOXの対象ではありません。ネット記事などではJ-SOXのことを内部統制と呼んでいるケースもありますが、あくまでもJ-SOXは財務報告、すなわち決算情報につながる部分の内部統制だけが対象ですので、内部統制の一部分にすぎません。

実は内部統制には単純なチェックのようなものだけでなく、組織構造だとかコミュニケーションの良し悪しといった高度な内容も含まれています。また、金融商品取引法と会社法で内部統制を別々に定義していて、少々ややこしさがあります。これらについては次回に掘り下げます。

２．コーポレート・ガバナンスとは

コーポレートガバナンス・コードによれば、コーポレート・ガバナンス（以下、ガバナンスと略します）とは「会社が、株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で、透明・公正かつ迅速・果断な意思決定を行うための仕組み」を指します。

「仕組み」である点は内部統制と共通ですが、ガバナンスでは「株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で」といった利害調整が要素として加わっていることと、「透明・公正かつ迅速・果断」といった経営に関わる業務品質の要素が強調されています。

内部統制とガバナンスは以下のような違いがあり、ガバナンスのほうがより上の階層で、透明性の確保や、リスクテイクを促すことによる企業価値の向上に主眼に置いています。

主役：内部統制は主に従業員が主役、ガバナンスは主に役員や機関（取締役会や監査役会など）が主役
対象：内部統制は主に従業員の不正や誤処理を防ぐ仕組み、ガバナンスは経営者の不正や暴走を防ぐ守りだけでなく、攻めの面も重要視
目的：内部統制は報告や法令遵守などの目的を達する、ガバナンスは株主や従業員、地域住民などの利害関係者のためのもの

３．リスクマネジメントとは

リスクマネジメントとは、読んで字のごとくリスクを管理する活動のことです。

事業活動では、風水害、テロや戦争などの外部の事件、サイバー攻撃、経済状況の変化、従業員が事件に巻き込まれるor事件を起こす、風評など、様々なリスクがあります。

営業、生産、出荷といった事業活動を行いつつリスクに備えることも経営のひとつであり、リスクマネジメントとは経営のうちのリスク対応部分を切り出したものと言えます。

具体的には、リスクの識別、リスクの大きさの評価、リスクへの対応方法の検討（予防する、保険をかける、被害軽減策を講じる、諦める・・・）、対応策の実行といった内容になります。

これらを一覧表を作って管理している会社もあれば、日常の経営の中で自然と行われていることもあるでしょう。

内部統制とリスクマネジメント、あるいはガバナンスとリスクマネジメントでは、重複部分があります。例えば「不良品をお客様に出荷してしまい重要顧客を失う」というリスクの管理のために厳重な製品検査という内部統制を構築する、「役員の利益相反取引」というリスクの管理のために役員が関わる取引の実行には取締役会決議を求める、といった具合です。

ただし、保険をかけて損害をカバーするというリスク対応も考えられます。そうした対応は内部統制とは少し異なりますが、リスク管理委員会の設置の世にリスクを評価し対応を考える仕組み自体は内部統制であり、境目が判然としないところもあります。

リスクマネジメントは「リスクをどう管理するか」という切り口で経営や業務遂行を切り出したもので、それが内部統制やガバナンスと重なることもあれば重ならないこともある、と言えるでしょう。