昨日の内部統制についての記事にご指摘を頂いたので、ここで返答させて頂きたい。ご指摘は次のとおり。
夜間にシステムを止めてプログラム更新をかける運用なら、ひそかに不正なプログラムを忍び込ませることができるので、統制活動には一定の意味がある、というものだ。
確かにこの方のおっしゃるとおりなのだが、不正なプログラムを書く技術があり、かつ、システム運用のすきをうかがってプログラム更新をかける技術もある要員がいたとする。
そこまでの技術力のある要員なら、既存の統制活動に引っかからないように不正をするはずだ。逆にそこまで技術力がない要員は、そもそも不正などできない。
つまり、あらゆる統制活動は、その業務に精通した従業員にとっては実質的な不正防止の効果がなく、単なる牽制としてしか働かない。
ところで会社員にとって最も強力な牽制とは、「不正をしたらクビにするぞ！」という就業規則だ。
実質的な効果が牽制でしかない内部統制の評価項目は、すべて就業規則の前では無力なのである。
なぜなら、米国と違って日本の労働力は流動性がとても低いので、不正でクビにされたら、ウラでお目こぼしでもない限り再就職がきわめて難しいからだ。
実質的に牽制効果しかない評価項目をいくつも考えだし、その評価に毎年多大な労力をかけるのは、大いなる茶番と言える。もっとも、会社員の仕事の過半は、大いなる茶番なのだが。
茶番があるからこそ、業務効率の低下と引き換えに、日本のホワイトカラーの雇用が守られており、内部統制にしても、この制度が導入されたおかげで、クビがつながっているホワイトカラーがたくさんいるわけだ。

最近ふと、日本版SOX法の内部統制って、誰のための制度なのだろうと思う。
たとえばIT全般統制に、職務分掌上、基幹システムの本番環境のプログラムを更新する権限がない要員が、システム上もそうできないような統制活動が行われているか？という項目がある。
基幹システムの本番環境のプログラムを更新しようと思えば、ふつう少なくともその部分のプログラムをいったん停止する必要がある。
そのプログラムが重要なものであればあるほど、日常業務で使っている基幹システムの機能がいきなり停止すれば、社内が大騒ぎになるはずだ。
そこまでして本番環境のプログラムを更新する不正を犯すなんて、直接的な言い方をすれば単なるバカだ。
たとえて言えば、真っ昼間に会社にドロボウに入って、捕まらないようにとオフィスの電源を落としてからドロボウするのと同じくらいバカな行為である。
オフィスの電源が落ちれば、社内は大騒ぎになる。
日本版SOX法の内部統制は、こんな大バカ者が社内にいる可能性まで、経営者は「リスク」として認識しなさいという、よくよく考えるとおかしくて笑っちゃう制度なのだ。
内部統制うんぬん以前に、そんなバカげたことをしでかせば、ふつうは会社の就業規則にもとづいてクビになる。
内部統制の評価項目のうち、基幹システムをいきなり止めるといったような、悪意による破壊的行為を「リスク」として認識するよう求めている項目は、すべて「当該行為は就業規則で懲戒の対象と定めている」と、統制活動に記入すれば十分なはずだ。
むしろ統制活動としては、上述の例でいえば、IT業者に金を払ってセキュリティを高める投資をするより、就業規則で「クビにするぞ！」と脅しておく方が、経営者から見たときのリスク低減効果は確実に高い。
というのは、ご承知のように、日本はいったん正社員を懲戒処分でクビになると、かたぎの商売への再就職がほぼ不可能な社会だからだ。懲戒処分を統制活動と見なす方が、リスク低減効果は高いに決まっている。
なのに、内部統制という制度は、わざわざ懲戒より効果の低い統制活動を行うよう、企業の経営者を指導している。
内部統制の運用基準を考えたお役人は、結局、監査法人とIT業者の利益しか考えていないのだろう。