「業界では当たり前はもはや通用しない」と牧野弁護士

粉飾、偽装、談合などが相次ぎ、世間の企業責任に対する視線は厳しくなっている。もはや「分かっているはず」「今まで通りだから」のやり方は通用しなくなっている。牧野二郎弁護士は、内部統制の本質はリスクに強い組織になることだ、と話す。

[堀哲也，ITmedia]

　企業不祥事が止まらない――粉飾、偽装、談合など、相次ぐ世間の企業責任に対する視線は厳しくなるばかり。2007年は内部通報によって食品偽装が次々と発覚し、幹部は当初否定を繰り返した。製紙業界では業界ぐるみで古紙の割合を偽装していたことも明るみにでた。

　「業界では当たり前だったことを国民が否定する時代になった」――1月31日、ITmedia エグゼクティブが開催した「内部統制、その先へ」のラウンドテーブルで講演した、牧野総合法律事務所の牧野二郎弁護士はこう指摘。内部統制の本質である戦略的なリスクアプローチの重要性を説いた。

牧野総合法律事務所の牧野二郎弁護士

　「現在多くの企業が内部統制の整備を行っているところだと思うが、3年後にならないとその結果が出てこない、というのではダメ。今から始めてすぐに効果が出なければ、ほとんど意味がない。これくらいの考え方で対応してほしい」

　内部統制の作業では、リスクの洗い出しが行われるが、実際にはリスクマップなどを作成して、それで終わりになってしまうことが多いのが現状。事故が起きた場合に直ぐに対応しなければならないことと、時間を掛けて対応することの優先順位付けが行われておらず、「心配な企業が多い」と牧野弁護士は言う。

　優先順位や緊急性を把握できていなければ、突発的に起こった事故の対応までに時間が取られてしまうからだ。

　「個人情報の漏えいもそうだが、事故が起こった場合、事故の拡大を止めるのが第一。原因が明確になるまでは動かないというケースがものすごく多いが、それは間違いだ」

　実際、洗い出されたリスクのすべてに対応することは不可能に近い。対応できないリスクを大量に洗い出したとしても、それをつぶす行動を起こせなければ意味がない。同氏は、洗い出したリスクに緊急性でランク付けすることを強く勧める。

　「対応できないリスクを洗い出しても無駄なだけ。また、年度別の対応項目など形式的な計画と、緊急性という視点は違う。緊急性が高ければ、人手でも対応しなければならないはずだ」

　牧野弁護士によると、リスクに強い組織とは、リスクを予想して十分な準備・対応がなされていることを意味しているという。内部統制作業によって作成されたリスクコントロールマトリクス（RCM）は、緊急性の高いものからどんどんリスク項目が減ったり、変化することで、初めて意味のあるものになるというわけだ。

　「内部統制の成果が分からないという声をよく聞くが、そんなことはない。成果はリスクマトリクスに入っている危険性の項目が徐々に変化することで分かるはず。今のリスクと5年前のリスクは違っていなければおかしい」