COSOフレームワークの改訂

（「企業リスク」リスクの視点　2013年7月号　創刊10周年記念）

10周年を記念する巻頭文として、ふさわしいテーマはないかと思案していたところ、5月14日にCOSOフレームワークの改訂版が公表された。

COSOフレームワークは1992年に公表されている。その後、カナダ、英国、南アフリカ、オーストラリアなどで内部統制の枠組みがそれぞれ公表されているが、それらの検討の基礎にはCOSOがあった。当時、日本においても、このような枠組みの議論が盛り上がるかと思われたが、特にそのような動きは起こらなかった。

サーベンスオクスリー法（SOX法）は、COSOが公表されて10年後に成立した法律である。COSOは、そのまま米国のSOX法404条の内部統制制度の基本となった。これによって、COSOは名実共に内部統制のフレームワークとしてのグローバルスタンダードの地位を確保したのである。

わが国の内部統制報告制度の設計においては、そもそも内部統制監査制度を導入することを目的として始まった。このため、監査基準を策定する役割を担う金融庁企業会計審議会がこの制度設計に取り掛かった。しかし、その時点で内部統制監査の前提となる内部統制の基本的枠組みがわが国にはなかった。内部統制の枠組みは、財務諸表監査（会計監査）における会計基準に相当する。内部統制のあるべき姿が示されていないのに、それを監査することはできないのである。

このため、「財務報告に係る内部統制の評価及び監査の基準」（「内部統制基準」）の第１部は、「内部統制の基本的枠組み」となっている。これがわが国におけるCOSOに相当する。わが国の場合は、内部統制監査制度を導入するに当たり、その前提となる内部統制の基本的枠組みも一緒に作ったということになる。

さて、本家とも言えるCOSOが改訂された。COSOは、米国の制度の基礎になっていることから、これが変わると米国だけでなく世界各国の米国上場企業に影響を与える。このため、安易な改訂を避けていたと想像されるが、冒頭のとおりいよいよその改訂が公表された。

COSOは、わが国でもその翻訳本が多く売れ、一時品切れになったぐらいなので、本誌の読者の中には、読まれた方も多いのではないかと思う。読みにくいのは翻訳だけの問題ではなかったのである。また、公表されてから、1992年から20年以上経過しており、ビジネス環境は大きく変わった。現在の環境にあわせ、さらに分かりやすくするという課題を受けてCOSOが改訂された。

COSOの改訂作業は2011年から開始されていた。2012年には公開草案が発表され、同年末には改訂版が公表されるとされていたが、これが少し遅れ、本年5月の公表となった。

改訂版のCOSOにおける内部統制の目的と構成要素にはほとんど変更がない。形式的には、目的の一つである「財務報告の信頼性」が「報告の信頼性」に変更されたのが唯一の変更である。業務の有効性・効率性の内容が一部拡張されているようである。

SOX法404条に対応する米国上場企業やCOSOに基づいて内部統制を整備・運用している企業が、COSOの改訂を受けて影響を受けそうなのは、「17の原則」ではないかと思われる。これらの原則は「どの企業にも当てはまる」とされていることから、内部統制の文書化や評価に当たって、17原則に対応する内部統制が洩れなく含まれているかを検討することが必要かもしれない。SOX法404条における対応は、今後明らかになると考えられる。

振り返ると、わが国の内部統制の基本的枠組みでは、COSOとほぼ同じフレームワークが採用されたが、ビジネス環境のIT化を反映して、内部統制の基本的要素として「ITへの対応」が追加された。さらにまた、内部統制の目的として「資産の保全」が追加された。これは、資産の保全に関わる内部統制を財務報告の信頼性と区別し、制度上対象とならないことを明確にする効果があった。

わが国の内部統制の基本的枠組みはCOSOを大いに参考にして作られたが、ビジネスの現状を反映し、分かりやすさにも配慮したCOSOの改訂版だったとも言える。ただ、COSOが変わったから自動的に日本の制度が変わるわけではない。今後、わが国でも改訂の検討が行われるかどうか注目されるところである。

本誌は平成15年10月の創刊から10年経過しました。読者の皆様には本誌に長い間お付き合いをいただき心から感謝いたします。なお10周年を記念して紙面を一新しました。今後とも本誌をご愛読のほどよろしくお願いいたします。