システム移行を経営課題として捉える ー内部統制と財務報告リスクへの対応

システム移行の失敗は決算遅延や内部統制の不備につながる可能性があり、リスクを踏まえた対応が不可欠です。本稿では、経営陣が把握・判断すべきポイントを内部統制の観点から具体的に解説します。

要点

• システム移行に伴う障害が、決算遅延や決算修正、内部統制上の重要な不備になる時代。
• システム移行はIT部門だけの責任ではなく、経営管理の一環として全社的な対応が必要。
• システム移行の検討段階から内部統制の検討が重要。

Ⅰ はじめに

近年、基幹システム刷新やERP導入といったシステム移行を契機として、システム障害やシステム停止にとどまらず、決算の遅延、財務報告に係る内部統制が「有効でない」と判定される事態や、決算訂正につながる事例が相次いでいます。

システム移行は業務効率化を目的とする一方で、決算業務の安定運営や財務報告の信頼性に影響を及ぼし得る重要な経営課題と言えます。また、システム移行に伴い生じた障害は、内部統制上の問題として顕在化する可能性があり、開示対応や投資家対応、市場からの評価にも影響を及ぼすことがあります。

システム移行が決算開示の遅延や内部統制の問題につながることが十分に認識されないまま、移行後に内部統制上の課題が顕在化するケースは少なくありません。こうした背景から、システム移行をシステム部門やDX推進部門だけが担う課題として認識するのではなく、開示や内部統制にも影響を及ぼす経営管理上の課題として捉えることで、新たな視点を得ることができます。

Ⅱ システム移行の障害が、なぜ内部統制の問題になるのか

「システムが動いている」「業務が回っている」という状態と、「財務報告として信頼できる」「内部統制が有効である」という状態は、必ずしも一致しないことがあります。

例えば、移行によってデータの定義や計算ルールが変わっているのに、決算数値の前提（定義や比較条件）が古いままだと、前年差異分析や予実分析が適切に行えなくなる可能性が出てきます。また、ハイパーケア期間（システム導入開始直後の集中的なサポート期間）に例外対応や手作業が増えた結果、本来想定していた内部統制が適切に機能せず、財務報告の信頼性にかかるリスクを十分にカバーできないことがあります。

経営管理の観点では、数値の結果だけでなく、適切なプロセスおよび内部統制に基づき、信頼性のある決算数値が作成されていることが重要です。一方でシステム移行後に、決算数値の算出根拠やデータの整合性について十分な検証・確認ができない状態のまま決算期を迎えると、その妥当性を確認するための追加的な手続きや調査が必要となります。その結果、決算確定までのプロセスが長期化し、法定開示や適時開示への対応に影響を及ぼす可能性があります。また、数値の生成過程や内部統制の状況について外部監査人に十分な説明や検証結果の提示ができない場合には、財務報告の信頼性に疑義が生じ、統制の有効性の評価に影響を及ぼすことが考えられます。

Ⅲ システム障害で終わらず「経営の問題」になる典型パターン

システム移行に伴う問題が、単なるITトラブルにとどまることなく、内部統制の課題や不備へと発展するケースには、いくつかの共通した要因が見られます。

第1に、移行計画が不十分なまま進められるケースです。移行スケジュールや移行方式、切り替え時の対応が十分に検討されていない場合、業務や決算プロセスに混乱が生じ、決算の遅延や内部統制の不備につながる恐れがあります。

第2に、データ移行の正確性が確保されていないケースです。マスタデータや取引データに誤りがあるまま移行されると、その影響が稼働後に顕在化し、財務報告数値に直接影響を及ぼします。

第3に、新システムにおける内部統制が十分に整備されていないケースです。移行後の環境で内部統制が確立しておらず、例えば、承認ワークフローが想定どおり運用されず、一括承認が増加し、承認対象の内容確認が十分に行われていないなど、当該統制の運用状況が有効であることを確認できない状態では、内部統制が有効に機能しているとは言えません。

これらの課題が重なると、システムが稼働していても財務諸表数値の妥当性や、その算定根拠の説明が十分に果たせず、財務報告の信頼性に影響を及ぼす可能性があります。

Ⅳ 内部統制を後から整備することの難しさ

本番稼働後に問題が判明した場合でも、その時点で統制を追加すれば対応できる、と考える人がいるかもしれません。しかし、現実には移行後に事後的な整備を行うことには限界があります。

特に、暫定対応や並行運用が行われた期間においては、どのデータを正式なものとして扱ったのか、どの判断がどのように行われたのかといった証跡が十分に残されていないケースが多く、事後的に正確に再現・検証することが困難となります。この状況で新たな内部統制を組み込むことは容易ではありません。

移行後に内部統制の不備が認識された場合は、設計の見直しやシステム改修、運用手順の変更が必要となる可能性があり、高コストかつ大きな手戻りが発生します。さらに、決算期末が迫る状況では、十分な検証や再整備の時間を確保できず、期末までに不備の改善が間に合わない恐れがあります。

内部統制は、問題発生後に対応するためのものではなく、問題が生じにくい状態をあらかじめ整備するための仕組みです。システム移行においては、どの局面でどのような内部統制が必要となるかを具体的に整理し、事前に適切に設計しておくことが重要です。

Ⅴ 「内部統制の問題」にしないための、経営層の対応

1. システム移行に伴う障害を、内部統制の問題へと発展させないために、経営層がシステム移行時のリスクを理解し、適切な判断を行うことが重要です。移行失敗の主な原因と経営層の役割を＜表1＞にまとめています。

2. システム移行に伴うリスクは、ITに関連する問題にとどまらず、財務報告やコンプライアンスに影響を及ぼすガバナンスの課題として捉える必要があります。システム移行時に想定される主なリスク区分ごとに、経営管理上、検討・対応すべき内部統制上の論点を＜表2＞にまとめました。

システム移行を重大な事業リスクとして認識し、内部統制を戦略的に組み込むことが、企業価値を守るために不可欠です。

Ⅵ システム移行のリスクを適切にコントロールできている企業

大規模なシステム移行を行っていても、内部統制上の問題が生じない企業もあります。その違いは、システム移行を経営管理の課題として捉えているかどうかにあります。

システム移行リスクを効果的に管理している企業では、システム移行を単なるITプロジェクトとして捉えるだけでなく、「経営課題」として位置付けています。移行に先立ち、業務プロセスやデータの整理・分析を通じて潜在的なリスクを洗い出し、全社的な方針や基準のもとで業務・システムの標準化を図るとともに、経営、業務、ITが一体となったガバナンス体制を構築しています。移行の判断についても、IT投資の側面だけではなく、監査対応や経営管理、決算プロセスへの影響を踏まえた経営判断として扱っています。

こうした企業では、例えばJ-SOXにおけるリスクコントロールマトリックスを活用するなどして、識別されたリスクと、それに対応する内部統制の有効性を共通の物差しとすることで、経営層、システム移行プロジェクトの現場、監査部門が「内部統制」という共通の視点を持つことができます。

Ⅶ おわりに

システム移行は、企業の成長や変革に不可欠な取り組みです。移行後に決算数値を適切に作成し、財務報告の信頼性を確保できるかどうかは、移行の段階から適切な内部統制の構築に取り組んでいたかという企業の姿勢に大きく左右されます。

本稿で取り上げた論点の多くは、現時点では自社内の問題として捉えられています。しかし今後、データ活用の高度化や企業間のデータ連携の拡大に伴い、自社が作成する財務情報や各種データの信頼性を確保する重要性はますます高まっていくと考えられます。そのため、こうした情報の信頼性を支える基盤であるシステム上の内部統制を適切に整備・運用することは、今後さらに重要になるでしょう。

内部統制は、不備を指摘されないための仕組みではありません。事業継続を支え、財務報告の信頼性を確保し、企業に対する信頼を支えるための重要な経営基盤です。システム移行という変化の局面において、数値の信頼性を担保できているか、そしてそれを支える内部統制を経営基盤として捉え、適切に整備・運用できているかが重要なポイントとなります。