まず、1点目は、以下の言明です。

　　　なお、具体的に内部統制をどのように整備し、運用するかについては、個々の組織の
　　　置かれた環境や事業の特性等によって異なるものであり、一律に示すことはできない
　　　が、...

　そして、この点を前提にして、2点目は、「direct reporting を採用しない」--すなわち、米国でおこなわれている「direct reporting （直接報告業務）」 を採用しないで、監査人は経営者の評価結果を監査するための 「監査手続きの実施と監査証拠などの入手」 を導入した点です。

　たとえば、公認会計士監査で、いままで、「適正意見」 を得ていた企業決算が、J-SOX 法を導入したからといって、「不適正」 を付されることは、（公認会計士が 「粉飾」 に荷担していないかぎり、） ないはずです。もし、「適正意見」 を得ていた企業決算が、J-SOX 法を導入したら、「不適正」 となるようならば、いままでの公認会計士監査の有効性が問われることになるでしょう （笑）。

　証取法上、（連結 ベース で、） 財務諸表を監査していた公認会計士 （あるいは、監査法人） が、同時に、内部統制報告書を監査します。すなわち、内部報告書の記載事項が、まず、監査対象になるのであって、内部統制の やりかた そのものが監査の対象になる訳ではない。あるいは、内部統制を 「どのようにして導入しているか」 という点を監査対象にしている訳ではない。

　財務諸表の作成では、「網羅性」--すなわち、すべての （会計上の） 取引が記録されること--および、「検証可能性」--すなわち、組織だった帳簿体系が整えられていること--が前提です。したがって、内部統制は、これら （「網羅性」 と 「検証可能性」） が正しく実現されることを、まず、目的としていて、次に、これら （「網羅性」 と 「検証可能性」） に 「重大な影響を及ぼすと予知される事態を報告して、その事態に対する対応を記載すること」 を目的としている。
　したがって、内部統制として、「日々の手続き」 では、以下が実現されていれば良い。

　　（1） 伝票の作成・更新・承認が内部牽制を実現していること
　　（2） 伝票と （コンピュータの） 画面の対応が追跡できること
　　（3） 画面と プログラム の対応が追跡できること
　　（4） データの入力・更新が内部牽制を実現していること
　　（5） データの入力・更新の ログ が保存されていること
　　（6） データベース 更新の ログ が保存されていること
　　（7） データベース から情報が適正に作成されていること
　　（8） 情報の開示・閲覧が内部牽制を実現していること

　「IT への対応」 という観点からすれば、内部統制 モデル は、事業手続きと接する最初の段階 （1） および最後の段階 (8)　では、操作員の適正性 （内部牽制） が問われ、その中間の段階では データ の適正性 （「構造の妥当性」 および 「値の真理性」） が問われている。
　そして、（1） および （8） は、従来から、監査上、整えられているはずだし、（2） から （7） は、システム 設計では、当然ながら、従来から、考慮されてきたはずである。したがって、「日々の手続き」 では、いままで、きちんとしたシステム設計をやっていれば、問題点などないはずである。

　したがって、論点になるのは、以下の 2点であろう。

　　（1） 事業戦略上のリスク
　　（2） 上場会社以外に適用される 「会社法上の」 内部統制

　（2） も、計算書類を法律どおりに作成していれば--証取法上の財務諸表と会社法上の計算書類では、種類がちがうけれど--、およそ、会計取引の記録では、財務諸表の作成で実現しなければならない 「網羅性と検証可能性」 を同じように実現しなければならない （ただし、「内部統制報告書」 を作成しなければならないという責務はない）。

　したがって、ほんとうの論点になるのは、事業戦略上の リスク （当然ながら、「連結」 ベース ですが） の報告制度である。言いかたを変えれば、世間では、J-SOX 法が公表されてから、業務 フロー 図を作成するのが 「はやって」 いるそうだけれど、業務 フロー 図を作成することが内部統制の実現ではない。

　J-SOX 法を作成した委員会の委員たちは、たぶん、世間 （コンピュータ業界） の対応を観て、本意を理解されていないことに対して、戸惑っているか苦笑しているでしょうね。

　
　（2006年10月 8日）