内部統制とは何か ― 人事データに当てた4つの層

最終章に入ります。ここまでで、保証で何を見られるか、社内で何が起きるか、他社がどこまでやっているかを見てきました。

残るのは「では、何をどこまで整えれば終わりか」です。ここから4回で、その答えを扱います。

新しい物差しをこしらえる必要はありません

人的資本データの整備をどこまでやればよいか。この問いに、新しい基準を作って答える必要はありません。

財務諸表監査および内部統制監査では、何をどこまで整えれば通るのかが、すでに実務として確立しています。 業務記述書があり、フローチャートがあり、リスクとコントロールの対応表がある。その水準に達しているかを自分たちで確かめてから監査を受ける、という流れです。

その枠組みを、そのまま人事データに当てます。

内部統制という言葉は硬いですが、中身は単純です。

誰もが同じ手順で、間違いなく、正しいデータを作れる仕組み。 これが内部統制です。

担当者が代わっても同じ数字が出る。去年と今年で同じ条件で数えている。その状態を作る仕組みを指します。

内部統制には、一般に次の目的があるとされています。

人的資本データが関わるのは2つ目「報告の信頼性」です。第4回で見たとおり、この責任を負うのは企業です。

内部統制は、次の4つの層に分かれます。

層	何を扱うか	人事データでは
Ⅰ　全社的な内部統制	会社全体の方針と体制	開示・報告の方針、責任と権限、決定と承認のライン
Ⅱ　報告プロセスに係る内部統制	報告する情報の作り方	指標の定義、集計範囲、対象期間の確定と文書化
Ⅲ　業務プロセスに係る内部統制	日々の業務の中の統制	入力・検証・承認・記録・変更管理の5プロセス
Ⅳ　IT統制（EUC を含む）	システムとファイルの管理	システムからの抽出、表計算ファイルの管理、アクセス権限

順番が大事です。Ⅰ（全社的な内部統制）が整っていないと、上の層をいくら作り込んでも運用が続きません。

Ⅰとは、具体的にはこういうことです。

これが決まっていないと、Ⅱで定義書を作っても承認者がおらず、Ⅲで手順を定めても守らせる権限がありません。

第5回で「体制は社内で決めるほかない」と書いたのは、Ⅰのことです。 ここだけは外部が代わりに決められません。

Ⅲ（業務プロセス）は、第8回で見た5つのプロセスに分かれます。

入力 → 検証 → 承認 → 記録 → 変更管理

そして、それぞれのプロセスで次の4つの視点が満たされているかを見ます。

たとえば女性管理職比率なら、網羅性は「対象の子会社をすべて含めたか」、実在性は「退職者を分母に残していないか」、期間帰属は「期末時点で揃えたか」にあたります。

すべての人事データに内部統制を作るわけではありません。第15回で見たとおり、保証の対象は1社あたり平均7.0項目です。

優先順位は、重要性（外部に出しているか、経営指標か）と複雑性（誤りが起きやすいか）の2つで決めます。部門をまたいで集計している指標、手作業が多い指標から着手します。

内部統制の目的の区分および4つの層の整理は、企業会計審議会「財務報告に係る内部統制の評価及び監査の基準」で用いられている枠組みに基づき、人的資本データに当てはめたものです。
5つのプロセス（入力・検証・承認・記録・変更管理）および4つの視点（網羅性・正確性・実在性・期間帰属）も同様に、財務報告の内部統制で用いられている整理によります。
EUC（エンドユーザー・コンピューティング）は、情報システム部門ではなく利用部門が自ら作成・管理する表計算ファイル等を指します。
1社あたりの保証対象項目数7.0は、86社・591項目から算出したものです（第15回参照）。