こんにちは！

いきなりですが本日は、「リスクマネジメント」と「内部統制」の違いについて、噛み砕いて解説していきたいと思います。なぜ解説するのかといえば、この両者の違いがわからないという方が少なくないからです。加えて、内部統制の本質を理解することが、逆にまたリスクマネジメントの本質の理解に繋がるからです。

さて、内部統制は、いわば「経営者のための仕組み」で、組織が会社の戦略を適切に実行できるようにするために設けるルールです。会社である以上、どの組織にも当然に存在するリスクに対して、有無を言わさず設けるべきルールと言い換えることもできます。リスクの特徴である不確実性を持った事象への備えというより、「ルールを決めておかなければ非効率だし、後々、絶対にトラブルになるよね」という事象への備えと言ってもいいでしょう。

では会社が設けるルールは何かといえば、「コンプライアンス」「資産の保全」「（財務諸表等の）報告」「業務の効率性・有効性」という目的実現に叶うものです。具体的には例えば、コンプライアンス規程、組織規程や稟議規程、販売管理規程、情報システム管理規程、文書管理規程や内部監査規程、就業規則などの規程整備・運用につながります。どこかで目にしたことのあるものばかりだと思いますが、会社を作るとおおよそどこかのタイミングで当たり前に整備されていくものです。ルール制定のきっかけになるのは「法律がつくることを求めているから」という場合もあれば、「組織が必要と感じたから」という場合もあります。例えば、従業員が10人以上になると、その企業は就業規則の作成・届出・周知が労基法によって求められます。

で、一応、「会社としてやっていくなら、内部統制（会社のルール整備・運用）をしっかりせなあかんよ」と、内部統制そのものについても法律がありまして、2005年に会社法で定められた（2015年改正）ものがそれです。

ところで、こうした内部統制でカバーすべきリスクの1つに、特に上場企業が社会からその管理を強く要請されているものがあります。それが「粉飾決算リスク※」であり、先に挙げた4つの目的の中の「（財務諸表等の）報告」に関わるものです。あまりに重要視されているため、このリスクに対しては「厳格な社内ルールを整備して、それがうまく回っていることを自己評価しなさい」ということを求めた法律が別に存在しています。それが金融商品取引法で定められている、いわゆるJ-SOX法です。会社法内部統制の求めているものが「広く浅く」だとするなら、J-SOX法が求めているものは「狭く深く」と言えるでしょう。

ここまでの説明で「リスク」という言葉が登場したので、「ん？内部統制も、リスクマネジメントってこと？」と思った方もいらっしゃると思いますが、厳密には違います。どう違うのかといえば、内部統制は、文字通り組織内部に当然に巣食うリスクを管理するためのルールであり、まず対象が「組織内部のリスク」であることと、リスクと言っても組織として恒久的なルールとして整備したほうがいいと判断できるような「（不確実性よりも）確実性の高いリスク」であることです。

一方のリスクマネジメントはというと、その目的は、あくまでも組織が掲げる目的・目標、それを実現するための戦略に影響を与える「不確実性」のコントロールです。内部統制が意識するリスクと違って、組織の内部外部は関係ないし、必ずしも大仰なルール整備の話でもありません。どの企業にも巣食うリスクというより、企業固有のリスクで、だからこそ「戦略」と密に絡めて考えることが重要になります。このリスクの不確実性は比較的高く、下手をすれば頻繁に変化する可能性もあるリスクです。しかも、リスクマネジメントではネガティブなリスク（向かい風）だけではなく、ポジティブなリスク（追い風）をも考えます。ややこしいことに、こうしたリスクマネジメントの仕組みを確立すること自体を、会社法の内部統制は求めています。

さぁ、いかがでしたでしょうか。このように内部統制を理解することで、リスクマネジメントの意義が見えてきませんか？　私が色々な組織を見ていると、リスクマネジメントと称して、実は内部統制に近いリスクばかりを見てそのコントロールの話ばかりに終始している企業が少なくないなと思います。今一度、自組織のリスクマネジメントが本来の役に立っているのか、振り返ってみてはいかがでしょうか。

※「粉飾決算リスク」と書きましたが、分かりやすくするためであり、厳密には「財務諸表報告書の信頼性を損なうようなリスク」を意図しています。