4.2内部統制の6要素とCOSO

システム監査人が統制の不備を指摘するとき、単に「弱いところがある」と言うだけでは改善につながりません。その不備が内部統制のどの構成要素の欠如に由来するのかを特定して初めて、経営者に有効な改善勧告ができます。日本の内部統制報告制度（J-SOX）は内部統制を6つの基本的要素で捉えますが、その源流である米国のCOSOフレームワークは5要素で、「ITへの対応」だけが日本の実施基準で追加されたという重要な差があります。この節では、6要素それぞれの役割とCOSOとの関係を踏まえ、監査人が不備の所在を診断する視点を養います。

4.2.1内部統制の6つの基本的要素

• 統制環境＝組織の気風・誠実性・倫理観・経営方針など、他の全要素の土台となる基盤。リスクの評価と対応＝目標達成を阻害するリスクを識別・分析・評価し、対応方針を決めるプロセス。統制活動＝経営者の指示が確実に実行されるための方針・手続（承認・職務分掌・照合・アクセス制御など）。
• 情報と伝達＝必要な情報が識別・把握・処理され、組織内外の関係者に正しく伝えられる仕組み。モニタリング＝内部統制が有効に機能し続けているかを継続的に評価するプロセス（日常的モニタリングと独立的評価）。ITへの対応＝組織目標達成のためにあらかじめ定めた方針・手続を踏まえ、業務にITを適切に取り込み対応すること（IT環境への対応とITの利用・統制）。

4.2.2COSOとの関係（★5要素と6要素の差）

• COSOフレームワーク＝米国のトレッドウェイ委員会組織委員会（COSO）が公表した内部統制の代表的枠組みで、内部統制を5つの構成要素（統制環境・リスク評価・統制活動・情報と伝達・モニタリング）で捉える。世界標準として広く参照され、日本のJ-SOXもこれを土台としている。
• ★重要：日本の内部統制報告制度（実施基準）は、COSOの5要素にITへの対応を1つ加えて6要素とした。ITが業務に深く組み込まれた現代の実態を反映した日本独自の追加であり、「COSO＝5要素、J-SOX/実施基準＝6要素（ITへの対応を加える）」という対比は監査の頻出論点。監査人は、ITに起因する統制不備を「ITへの対応」という独立の要素として整理できる。

あるシステム監査人が、内部統制の不備を診断しているとします。事象は「経理システムの権限設定が、退職者のアカウントを放置したまま数か月更新されず、不正な仕訳入力が可能な状態だった」というものです。ここで監査人が「統制活動（アクセス制御）の不備」と即断すると、改善勧告が表面的になりがちです。より深く診断すると、退職者のアカウント削除という手続自体は規程に定められていた（＝統制活動の整備はあった）が、それが実際に運用されず放置されていた、という運用上の不備である可能性があります。さらに掘り下げると、そもそも「権限が適切に維持されているかを定期的に点検する」というモニタリングの仕組みが無かったこと、そしてIT環境における権限管理を組織的に統制するITへの対応が弱かったこと——という複数要素の連鎖として整理できます。ここで監査人が発揮すべき判断は、不備を単一の要素に押し込めず、6要素のどこに根本原因があるかを診断することです。もし手続は定められているのに守られていないなら整備ではなく運用上の不備、そもそも手続が定められていないなら整備上の不備、と切り分ける。この事例では「アクセス権の棚卸しを定期実施する」という是正だけでなく、モニタリング（定期的な権限レビュー）とITへの対応（権限管理プロセスの統制）を組み込む改善勧告が有効です。ひっかけは、目に見える統制活動の不備だけを指摘して満足し、それを生んだモニタリングやITへの対応の欠如という上流の要素を見逃すことです——症状（統制活動の綻び）と根本原因（モニタリング/ITへの対応の不在）を混同しないのが監査人の腕の見せどころです。

4.2.3この節のまとめ

• 内部統制の6要素＝統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応（統制環境は他要素の土台）
• ★COSOは5要素でITへの対応を含まない——日本の実施基準がITへの対応を加えて6要素にした
• 監査人は不備を単一要素に押し込めず、症状（統制活動の綻び）と根本原因（モニタリング/ITへの対応の不在）を切り分けて診断する