日立が考える「内部統制とITシステム」

内部統制とは、組織や制度などの統制された環境と、統制された業務プロセスによって、信頼できる連結財務諸表が作成されること。更に、そのことを監査時に証明できること、だと言えるでしょう。

その内部統制整備の中で、「ITへの対応」がどのように位置づけられるのかを大ワクでとらえたのが下の図になります。信頼できる連結財務諸表に必要なのは、企業環境の有効性と業務プロセスの有効性であり、それぞれに業務視点からの証明、IT視点からの証明が求められます。

COSO：the Committee of Sponsoring Organization of the Treadway Commission
（米国トレッドウェイ委員会組織委員会）
COBIT：Control Objectives for Information and related Technology

『内部統制の整備というと、「対応が大変でコストもかかるけれど、法的義務なのでやるしかない」というイメージがあります。確かに上場企業であるかぎり、どこもがやらなくてはいけないことですが、だからこそ、ここでかけるコストを活かすにはどうするか？　他社より優位に立つには何をすべきか？　と考えてみましょう。“ピンチをチャンスに変える”の発想です』

その理由は、内部統制の本質的な狙いが企業価値の向上にあるからです。業務を「見える化」し、それが正しいことを証明することを通して、経営と業務の品質を高め、そのことで企業価値の向上を目指します。 単に法律のためのコストではなく、企業価値向上への投資ととらえて対応を洗練させることで、やらされる内部統制から勝利に導く内部統制へ、一歩踏み出してとらえることができるのです。

『内部統制整備に対応するITには、法令遵守のための「守りのIT」と、企業価値向上へ向けた「攻めのIT」という2つの面があると考えています。では、この守りと攻めはどのような関係にあるのか、内部統制整備と守りと攻めのITシステムを見ていきます』

内部統制の実現は、正しいルールの「徹底」と、それが守られているかどうかの「監視」に分けられます。この「徹底」と「監視」を細分化していくと、

など、やるべき統制のパターンが見えてきます。更に、これらの基盤のセキュリティ、運用管理が必要になります。

企業価値とは何によって実現されるかといえば、生産性の向上（スピード）と継続性の確保（安定）です。この「スピード」と「安定」を細分化していくと、

など、とるべき対策のポイントが見えてきます。更に、これら対策を支える基盤のセキュリティ、運用管理もまた必要になります。

『この「攻めのIT」と「守りのIT」は、つきあわせてみれば、反対方向のものではなく、別々のものでもないことが分かります。守りのITに必要な機能のほとんどが、攻めのITとして機能するのです。共通のIT整備で、攻めと守りの両面から内部統制時代を制する、それが日立の考えです』

『内部統制の整備には、「ITによる統制」と「ITの統制」の2面からの対応が必要なことと、企業価値向上を視野に入れての「守りのIT」と「攻めのIT」の両立作戦が、やらされる内部統制を勝利に導く内部統制に変えることについてお話しました。
では日立はこれにどう対応するのかという話をいたしましょう』

日立製作所が考える、内部統制におけるITフレームワークを、セグメントと主な機能に分けてマッピングしたのが下の第1図です。上層部が「ITによる統制」の領域、下層部が「ITの統制」の領域になります。
この第1図の上に、「攻めと守りのIT」を実現する上での課題をマッピングしたのが第2図です。
この課題とソリューションの解説を、「ITによる統制」編、 「ITの統制」編に分けてお届けします。