4.2内部統制の6要素とCOSO

システム監査人が統制の不備を指摘するとき、単に「弱いところがある」と言うだけでは改善につながりません。その不備が内部統制のどの構成要素の欠如に由来するのかを特定して初めて、経営者に有効な改善勧告ができます。日本の内部統制報告制度（J-SOX）は内部統制を6つの基本的要素で捉えますが、その源流である米国のCOSOフレームワークは5要素で、「ITへの対応」だけが日本の実施基準で追加されたという重要な差があります。この節では、6要素それぞれの役割とCOSOとの関係を踏まえ、監査人が不備の所在を診断する視点を養います。

4.2.1内部統制の6つの基本的要素

• 統制環境＝組織の気風・誠実性・倫理観・経営方針など、他の全要素の土台となる基盤。リスクの評価と対応＝目標達成を阻害するリスクを識別・分析・評価し、対応方針を決めるプロセス。統制活動＝経営者の指示が確実に実行されるための方針・手続（承認・職務分掌・照合・アクセス制御など）。
• 情報と伝達＝必要な情報が識別・把握・処理され、組織内外の関係者に正しく伝えられる仕組み。モニタリング＝内部統制が有効に機能し続けているかを継続的に評価するプロセス（日常的モニタリングと独立的評価）。ITへの対応＝組織目標達成のためにあらかじめ定めた方針・手続を踏まえ、業務にITを適切に取り込み対応すること（IT環境への対応とITの利用・統制）。

4.2.2COSOとの関係（★5要素と6要素の差）

• COSOフレームワーク＝米国のトレッドウェイ委員会組織委員会（COSO）が公表した内部統制の代表的枠組みで、内部統制を5つの構成要素（統制環境・リスク評価・統制活動・情報と伝達・モニタリング）で捉える。世界標準として広く参照され、日本のJ-SOXもこれを土台としている。
• ★重要：日本の内部統制報告制度（実施基準）は、COSOの5要素にITへの対応を1つ加えて6要素とした。ITが業務に深く組み込まれた現代の実態を反映した日本独自の追加であり、「COSO＝5要素、J-SOX/実施基準＝6要素（ITへの対応を加える）」という対比は監査の頻出論点。監査人は、ITに起因する統制不備を「ITへの対応」という独立の要素として整理できる。