福岡県の温泉旅館で基準値の3700倍のレジオネラ属菌が検出された事件で、保健所の抜き打ち検査により温泉旅館の虚偽報告が覆えされたことが報じられている。このように抜き打ち検査は極めて有効性が高い検査手法であり、行政の現場ではしばしば用いられているにもかかわらず、企業における内部監査では一部の業種(*)や内部監査の水準が高い企業を除き、それほど普及しているとは言えないのが現状だ。
* 銀行、貸金業、小売業、古物買取業、パチンコ業など多額の現金を扱う業種における
現金実査やメーカー、建設業における現場での安全面の検査など、内部監査において抜き打ち検査のチェックが広く行われている業種はあるものの、業種に偏りがあることは否めない。
現金実査 : 金庫内の紙幣や硬貨を数えて実際在り高を求め、それと帳簿残高を比較すること
内部監査で抜き打ち検査(以下、抜き打ち監査)が普及しない理由としてまず挙げられるのが、許認可権限をバックに強制力をもって検査を実施できる行政と異なり、企業の内部監査では社内に“軋轢”をもたらす抜き打ち監査の手法を採用しにくいということである。抜き打ち監査に入られた側は、当初予定していた業務を放り出して監査対応に追われることになる。結果として何も発見できなければ、内部監査担当者への風当たりも強くなるであろう。内部監査は監査対象部門の積極的な協力がなければ遂行自体が困難であるため、内部監査担当者としても、あえて敵を作るような抜き打ち監査はやりたくないというのが本音と言える。
そこで、現場における内部統制を充実させておき、内部監査担当者は当該内部統制のエビデンス(証跡)を確認する(例えば、現金の金種表を毎日作成し、それを上司が確認後に押印するといった内部統制を構築しておき、内部監査では金種表に上司が押印していることを事後的に確認する)という内部監査手法が一般的に採用されている。
金種表 : 紙幣・硬貨の種類ごとの枚数が記された書類で、紙幣や硬貨を数えた後に作成される。
また、抜き打ち監査時に目的の書類をすべて確認しようとしても、書類が十分に整理されていない、あるいは既に倉庫に移動させてしまった書類があるといった理由から、手待ち時間が発生しがちだ。“抜き打ち”である以上、アポイントも取らないため、会議室が空いてなかったり、キーマンが外出していたり休暇を取っていたりすることもある。このように抜き打ち監査には手間がかかることも、内部監査で抜き打ち監査が普及しない理由となっている。
結局、内部監査部門は、抜き打ち監査をせずに、監査対象部門と日程を調整のうえ、キーマンのアポを取り、必要資料をすべて会議室に集めてもらい、準備万端の状態で往査するといった段取り(以下、予告監査)に依存する傾向にある。
往査 : 監査対象会社の本社、営業所、工場などに監査の一環で赴くこと。
環境の変化もその傾向に拍車をかけている。まず、昨今はビジネスの現場で現金取引が減少しており、それに伴い事業所における現金残高も減少しているため、現金の横領の発見を目的とした抜き打ち監査のニーズが減った。また、高機能カメラやハードディスクの価格低下により、カメラを多数設置し録画データを長期間保存できるようになったため、抜き打ち監査の代わりに、換金可能な在庫を遠隔監視することが容易となった。さらに、特にコロナ禍以降は紙の書類が減り、各種報告(業法上必要とされる書類、注文書、注文請書、日報や週報、稟議書、事故報告書、プロジェクト進捗報告書など)のほとんどが電子化されたため、以前は現場に行かなければ見ることができなかった現場保管の書類も、本社にいながら閲覧できるようになった。それに加えて、電子帳簿保存法への対応によるエビデンスのスキャナー保存やコロナ禍でリモート会議ツールが普及したためリモート監査が増えているが、そもそもリモート監査は抜き打ちでは実施できず、どうしても予告監査となってしまう。
しかし、予告監査が常態化すると、監査対象部門が緊張感をなくして「内部監査が見に来る時だけルール通りに業務をやっておこう」といった発想に陥りがちになる。また、現場の内部統制には本社の目が届きにくいことから、現場の責任者によって運用を変えられてしまうリスクもある(上述した金種表の例では、上司が1か月分まとめて押印するなど内部統制が骨抜きにされてしまう)。さらに、予告監査では、不正実行者に隠ぺい工作をする時間的猶予を与えてしまう。その結果、予告監査で見つかるのはせいぜい「判子の漏れ」などいわゆる軽微な誤謬程度となりがちだ。結論として、内部監査の存在が良い意味で現場に緊張感をもたらすためには、いかなる業種であっても抜き打ち監査は不可欠と言えよう。
「我が社は抜き打ち監査を実施している」と胸を張る企業であっても、よくよく話を聞くと、抜き打ち監査を実施するのは不正を告発する内部通報があった時だけということも少なくないが、これには二つの問題がある。まず一つ目の問題として、そのようなルールが浸透すれば、「抜き打ち監査があった」イコール「内部通報があった」を意味することになり、内部通報者の探索をされかねないとして通報に踏み切れない者が出てくる(*)。二つ目として、内部通報がない限り内部監査担当者が抜き打ち監査を実施する機会がないため、内部監査担当者が抜き打ち監査に習熟しにくくなるという問題もある。抜き打ち監査を成功させるには、監査の段取りが重要となってくる。内部監査担当者が抜き打ち監査に習熟するためにも、内部通報の有無にかかわらず抜き打ち監査の頻度を高める必要がある。
* 【失敗学第97回】
大東建託の事例が参考になるので、以下再掲する。
『大東建託には内部通報制度があり、年間300件を超える利用がありました。しかし、内部通報制度の運用は支店におけるコンプライアンス案件の発見に主眼が置かれていました。X氏の会計操作を認識していた経理担当者は、内部通報制度を利用すると業務の特殊性から通報の存否や通報内容が社内に知られてしまうと考え、利用に至りませんでした。普段から内部監査が経理に対しても抜き打ち調査をしていたのであれば、内部通報時にも抜き打ち調査のテイで通報対応できた(内部通報の存否がばれない)はずであり(
調査報告書10ページ参照)、他社でも参考にしたいところです。』
また、抜き打ち監査の実施にあたっては「聖域を作らない」ようにしなければならない。例えば、工場や事業所だけでなく、本社管理部門も内部監査の対象から外さないようにすべきである。その方が公平感があるだけでなく、不正は往々にして“聖域”から起こるからだ。
内部監査担当者のスキル向上も欠かせない。経理・財務の知識が乏しい者に経理財務部門への内部監査を任せることはできないのは言うまでもない。人事総務部門への内部監査でも同様のことが言える。
それに加えて、抜き打ち監査に伴う内部通報担当者への風当たりを弱めるために、社長が社内に対して「内部監査では抜き打ち監査も恒常的に実施していく」という強い意志を繰り返し表明しておくべきだ。経営者の強いリーダーシップと内部監査担当者のリスキリングの合わせ技で、実効性のある抜き打ち監査が可能となり、全社的なコンプライアンスのレベルは間違いなく向上することになろう。