毎期の内部統制のモニタリングでは、ベースとなる内部統制が存在し、それが継続して機能していることを日常的モニタリングや定期かつ独立的なモニタリングによって確認をすることにより、評価結果をアップデートします。もし、内部統制の変更の必要性があった場合には、管理プロセスを見直し、内部統制の有効性を再評価しなければなりません。このアップデートおよび再評価された状態が、翌期の内部統制のモニタリングにおけるベースラインとなります。
このモニタリングサイクルは、既存事業のようにある程度固まった業務プロセスであれば構築しやすいのですが、新規事業のようにビジネスモデル自体が柔らかい状態では、構築が難しいものになります。
2014年6月に公表した内部統制報告書で、開示すべき重要な不備があり内部統制は有効ではないとの評価結果を報告したジャパンベストレスキューシステム（JBR）では、JBRによる内部監査の過程で、連結子会社バイノス新規事業の不適切な売上計上がありました（関連記事：開示すべき重要な不備の事例（２０１４年６月公表））。
新規事業に対する内部統制の構築およびモニタリングに関して、示唆することがありましたので、今回は紹介します。
新規事業における内部統制構築の難しさ
本事案で問題となった事業は、2011年3月に起きた東日本大震災に伴う福島第一原子力発電所事故以降に始まった新しい事業（除染事業）です。経緯としては、バイノスが2012年10月に同事業を開始し、JBRは2013年2月にバイノスを子会社化しました。
ただ、JBRのバイノスへの出資にあたっては、財務・法務のデューデリジェンスは実施したものの、ビジネス面については、JBRの既存事業（生活トラブル解決サービスなど）とは全く異なることに加え、買収時点では一つの工区も完工していなかったため、業務の全体像や事業の収支構造、ビジネスリスクを予想することが困難でした。それゆえ、業務フローやリスク・コントロールマトリクス（RCM）といった内部統制文書の作成では苦労があったと思われます。
これに関連して調査報告書の再発防止策では、次のように指摘しています。
新規事業あるいは異業種へ参入する場合のビジネスモデルやビジネスリスクを、事前あるいは早期に、かつ正確に把握する体制を構築することが、新規事業における不正の早期発見には重要であると思料する。
（調査報告書P53より引用）
上記の調査報告書の指摘（以下、本提言という）を踏まえた場合、業務プロセスに係る内部統制の評価という観点で、本事案は次の3つのタイミングで不適切な売上計上に繋がった（不正）リスクを認識する機会があったと考えます。
- 2013年3月～ 評価対象プロセスの文書化の時
- 2013年9月期 評価対象とした期の整備状況の評価
- 2014年9月期 業務運用の変更に合わせて文書を更新した時
以下では、この本提言を、内部監査部門の立場で掘り下げるとともに、3つのタイミングにおけるJBR内部監査の状況を合わせて確認することによって、新規事業における内部統制構築・評価に関する一般的な示唆を得たいと思います。
2013年3月～ 評価対象プロセスの文書化の時
本提言を踏まえた対応
ビジネスモデルとビジネスリスクを把握し、それが企業内のどの組織・業務プロセスに影響を与え、最終的にどのような財務報告上のリスクになるかを考えるためには、業務フローのような可視化ドキュメントを作成することが有用です。
そのために、考察にあたって、バイノスの業務フローを準備します。但し、JBRは、2013年9月期にバイノスの販売プロセスを評価対象としていますが、子会社化してから期末までおよそ半年しか期間がありません。
したがって、子会社化する前に実施していた業務運用を把握して、それが現在も同じ運用なのか、それとも変更があったのか確認をしながら、業務フローを作成し、関連するリスクの洗い出しとそれに対応するコントロールからRCMを作成します。
しかも、調査報告書によれば「一現場が終了する夏頃まではビジネスモデルを把握、確立させることができない状態でいたことがうかがわれる」とのことですから、内部監査部門としては、現場部門で業務整備する過程に関与（オブザーバー、レビュアー）する必要があります。
時間は限られていますが、可視化したドキュメントが準備できたら、それをベースに内部統制のデザインの評価をして完了です（文書化の完成、キーコントロール候補の選定など）。
JBR内部監査の状況
バイノスでは、2013年3月以降、会計監査人の協力を得ながら、次のように業務フロー及びRCMの作成を行っていました。内部統制のデザインの評価（机上でのRCMの確定）は決算月である9月でした。
具体的には、平成25年3月及び5月にB氏、Y氏、内部監査室、TM等で業務フローの確認とそれに伴うリスクの洗い出し及びその管理に関する協議を行い、同年9月にY氏が文書化したRCMをもとに、TMの指導等を反映し、同月中にK市の現場に関するRCMを確定させた。（中略）これによると、売上計上については、注文書が存在することを前提に、「管理部担当者は、『○月度出来高明細』並びに『入着高・出来高調査表（写し）』『請求書（写し）』をもとに、勘定奉行に売上入力を行う。入力仕訳を出力し、管理部上席者が確認をする。」と定められている。このRCMの作成にかかる打合せの中では、「○月度出来高明細」と「入着高・出来高調査表（写し）」又は「請求書（写し）」との間には差異がないことが前提とされていたが、5％以上のずれが生じた場合には、その原因を確認する旨の方針が出されており、Y氏もこの方針を認識していた。
考察
可視化からデザインの評価までの手順としては問題がないと思います。しかし、文書化した時点の実際の業務運用は異なっており、管理部門では、RCMの記載にかかわらず、『検収書』の数値に基づいて、月次の売上計上処理がなされていました。このあたりが、新規事業特有で、業務プロセスが柔らかい状態で可視化をしなければならない難しさを表しています。
当初、検収書に基づいて売上計上を始めたのは、得意先査定後の『請求書』による出来高の確定を待つと、バイノスの月次決算の締めができないという問題があったからでした。2013年3月度の時点で、当面は『請求書』や入手できた『入着高・出来高調査表』という外部資料と突合しつつも、バイノス集計の出来高と得意先が認識する出来高査定に大きな差異は生じないとの認識のもと、売上計上額を早期に確定させるため、社内資料をもって売上を計上させていこうという方針がとられています。
上記の月次締め処理スケジュールにおける問題点と、外部資料との突合という強い証拠力を得られるコントロールの重要度を下げてしまった方針について、もし内部監査部門がタイムリーに把握していたら、デザインの評価を見直すことができたかもしれません。本事案において、新たなリスクの存在と追加的なコントロールの必要性に気付く最初の機会でした。
事案では、その後、測量に基づかない検収書等による売上計上や、注文書のない売上計上など、売上計画をもとに毎月の売上計上額の目安を決定し、出来高明細書のデータを虚偽の内容で作成します。その上で、現場工事事務所の所長らに協力を依頼し、検収書などに捺印を得て、経理担当者へその金額で売上の先行計上を指示するようになりました（2013年5月度～7月度）。
上記から示唆されるのは、新規事業のように現場で試行錯誤をしながら業務プロセスの運用が固まっていくときは、業務フローをコミュニケーションツールとして活用すべきであるということです。なぜならば、内部監査部門は、業務フローが固まってから入れば良いという方針では、期末までに十分な評価期間を確保できない可能性が出てくるからです。さらには、業務運用が変更されることによって、新たなリスクにさらされていないか（コントロールがない／強度が不十分）気付く手助けになるからです。
私自身も、この記事を書く前に、調査報告書に記載されている売上計上プロセスに関するRCM（調査報告書P8-10）をもとに、業務フローを作成してみました。そして、その業務フローにRCMで識別されているリスクとコントロールも埋め込んでみました。A4にして3ページの業務フローです。しかし、その3枚があることによって、調査報告書に記載されているRCMだけでは、視覚的に理解しにくかった内部統制上の問題点も、よく理解することができたのです。
次回は、残りの二つのタイミング「2013年9月期 評価対象とした期の整備状況の評価」と「2014年9月期 業務運用の変更に合わせて文書を更新した時」について、考えてみます。
本記事は、本事案と同様のことが一般的にも起こりうることを鑑み、新規事業の（不正）リスク認識および内部統制変更時のリスク再評価の重要性を伝えることを目的に書いています。従いまして、特定の会社の経営管理のしくみや第三者委員会の調査報告書の内容を批判・批評することを目的としていないことをご理解ください。
JBRでは、2014年6月2日付けの第三者委員会の調査報告書受領後、再度7月25日付でも別の第三者委員会から調査報告書を受領しています。本記事の記載にあたって、参考にしたのは6月2日付の調査報告書です。また、業務プロセス・内部統制に関する記載事項は、調査報告書から筆者が理解し、不明な部分は一部推測により補っています。
