COSO の Internal control framework
Internal control の検証は、一般的に COSO の Fremework により行われる。
COSOは、アメリカのCommittee of Sponsoring Organizations of the Treadway Commission、トレッドウェイ委員会組織委員会、委員会を２回言いたい委員会、な人たちが発表した Internal control（内部統制）の代表的なフレームワーク。
SOX法で適用が義務付けているわけではないが、今では事実上国際的な標準フレームワークになっている。
・COSO の Objectivesは Effective and efficiency of Operation、Reliability of Financial reporting、Compliance with applicable laws and regulations
３つの Objectives
COSOでは、Internal control における３つの Objectives をさだめている。
それが、
- Operation
- Reporting
- Compliance
これらの Objectives に対する Responsibility は、Management にある。Tone at the top や Corporate culture はこれらの Objectives に影響を与える。
Strategy は Internal control の Objective にはない。
Operation
Effective で Efficiency な Operation を行う。
この Operation には、Operational performance goals、Financial performance goals、Safeguarding of assets が含まれる。
Budget の範囲内で Expense が発生していなければならない。
Reporting
Reliability で Timeliness、かつ Transparency な Financial reporting を行う。
他に Entity の Policyで規程された Policy があれば従う。
Compliance
Compliance with applicable laws and regulations 。法令遵守。
Cost-benefit は常に考慮しなけらばならない。
Definition
COSO による Internal control の定義。
Internal control は、会社全体が Operations、Reporting、Compliance の Objects 達成のために、Reasonable assurance を Provide する Process。
Internal control は、全社レベルだけでなく部門や業務プロセスレベルでも実施できる。
５つの Components
COSOでは、Internal control は５つの Components で構成されているとしている。
Effective な Internal control とは？
Internal control の有効性。
Effective な Internal control とはなにか。
その要件となるのがこちら。
- Present and Functioning
- Operating together
先ほどの５つの Internal control components が Present で Functioning であり、
そんでもって Integrated されたうえで Operating されていれば、
Internal control が Effectiveness であるといえる。
Deficiencies の Evaluation
Internal control は完全無欠ではない。Deficiency (欠陥）が発生する。
以下のような Deficiencies を Evaluateしなければならない。
- Design deficiency
- Operating deficiency
- Significant deficiency
- Material weakness
Material weakness がもっとも重大な Deficiency 。Financial statement の Misstatement（虚偽表示）につながる恐れがある。
Material weakness と Significant deficiency が発覚したら書面で報告する。
Deficiency の Severity
Deficiency の Severity の度合いを決定する要因に以下のようなものがある。
- Materiality
- Mitigating controls
- Intent of the involved individuals
- Strength of the overall control environment
- Nature of the identified control deficiency and compensating controls
- Presence of other control deficiencies
Inherent limitation
Internal control の固有の限界。どんなに Internal control がすぐれていても、人間はミスをする。
例として、Collusion や Management override などがある。
Failure reason
Control system が Fail する原因として、以下のようなものがある。
- Control が Properly に Design されていない
- Control が Properly に Implement されていない
- Environment changes による Controls ineffective
- System の Way を Changes したことによる ineffective
Management override は Failure reason ではなくて Inherent limitation
