COSOフレームワークとは何か・内部統制の基本と活用

COSOフレームワークとは・内部統制の仕組みと活用を理解する

COSOフレームワークは「一度構築すれば完了」ではなく、毎年見直しが必要な生きたルールです。

COSOフレームワークとは何か・設立の背景と正式名称

COSOフレームワークとは、組織の内部統制を体系的に整備・評価・運用するための国際的な指針です。「COSO」とは「Committee of Sponsoring Organizations of the Treadway Commission」の略称で、日本語では「トレッドウェイ委員会支援組織委員会」と訳されます。

この組織が誕生した背景には、1970〜80年代にかけて米国で多発した粉飾決算や不正会計問題があります。1980年代前半、アメリカでは金融機関を含む多くの企業が経営破綻に陥り、それが深刻な社会・政治問題に発展しました。これを受け、米国公認会計士協会（AICPA）が主導し、会計学会・財務担当経営者協会・内部監査人協会・全米会計人協会の5団体が協力して、1985年にCOSOを設立したのです。

設立の目的は、不正な財務報告を防止・発見するためのフレームワークを策定し、企業のガバナンス強化に役立てることでした。つまり出発点は「なぜ企業は不正を起こすのか」という問いへの答えを、体系的にまとめることにありました。

1992年に初版の内部統制フレームワークが公表され、その後2013年に改訂版が出ています。現在、日本の「内部統制報告制度（J-SOX）」もCOSOフレームワークを参考に整備されており、世界中の企業が活用する内部統制の事実上の世界標準となっています。

| 年 | 出来事 |
|---|---|
| 1985年 | COSO設立（5団体による共同組織） |
| 1992年 | 内部統制フレームワーク初版公表 |
| 2004年 | COSO ERM 初版公表 |
| 2013年 | 内部統制フレームワーク改訂 |
| 2017年 | COSO ERM 大幅改訂 |

金融に携わる人にとって、COSOはまず「なぜ内部統制が必要か」という根本的な問いへの答えとして理解することが大切です。

参考（デロイト トーマツ グループ）：COSOの設立背景や内部統制フレームワークの概要について権威ある説明が掲載されています。

COSO（コーソー）｜デロイト トーマツ グループ

COSOフレームワークの5要素と17原則・内部統制の構造を理解する

COSOフレームワークの核心は「5つの構成要素」と「17の原則」にあります。これらは業種や規模を問わず、あらゆる組織に適用できる形で設計されています。まず5要素の全体像を確認しましょう。

- 統制環境：組織全体で内部統制を実行するための土台。経営者・取締役会のコミットメントや誠実性・倫理観の浸透が求められます。

- リスク評価：組織の目標達成を妨げるリスクを識別・分析するプロセス。不正の可能性まで含めた評価が必要です。

- 統制活動：不正や不祥事を防止するための仕組みを構築し実行する要素。ワークフローシステムやERPなどテクノロジーの活用も含まれます。

- 情報と伝達：内部統制を支える情報を収集・処理し、組織内外へ正確に伝達する要素。情報漏洩リスクへの対応もここに含まれます。

- モニタリング：5要素が実際に存在し機能しているかを継続的に確認する仕組み。内部監査や第三者評価がこれに当たります。

5要素が重要なのはわかります。では17原則とはどういうものでしょうか？

17原則とは、5要素それぞれに紐づく基本概念をより具体的に示したものです。たとえば「統制環境」には5つの原則があり、その中に「取締役会は経営者から独立していることを表明し、内部統制の整備・運用状況を監督する」という内容が含まれています。すべての原則が組織活動に適用されて初めて、有効な内部統制が達成される仕組みです。

実務上でポイントになるのが「立方体（COSOキューブ）」という概念です。COSOの3つの目的（業務の有効性・財務報告の信頼性・法令遵守）を縦軸、5要素を横軸、組織構造を奥行きとして立方体で表現します。どの部門・どの目的においても、5要素が漏れなく機能していることが求められるという考え方です。東京ドームに例えれば、グラウンド・スタンド・天井のどこにいても、同じルールとセキュリティが機能している状態に近いイメージです。

業種を問わず適用できる点が特徴です。

参考（マネーフォワード ビズ）：5要素と17原則、活用例まで丁寧に解説されており、実務担当者にも参考になります。

COSOの内部統制フレームワークとは？要素や原則・活用例をわかりやすく紹介｜マネーフォワード

COSOフレームワークとCOSO ERMの違い・金融業で使い分けるポイント

COSOフレームワークには大きく2種類あります。ここを混同すると実務での活用場面が変わってくるので、しっかり区別しておく必要があります。

1つ目が「内部統制の統合的フレームワーク（COSO I）」です。1992年初版・2013年改訂で、5要素・17原則から構成されます。主に財務報告の信頼性確保と法令遵守を目的としており、日本のJ-SOX対応でも広く参照されています。

2つ目が「全社的リスクマネジメント（COSO ERM）」です。2004年初版・2017年大幅改訂で、こちらは5要素・20原則から構成されます。最大の特徴は、リスクと経営戦略を一体化させた設計にあります。

2004年版では「リスク」はマイナスの影響を与える事象に限定されていました。しかし2017年改訂版では、事業機会（プラスの影響）もリスクに含めるよう定義が刷新されています。つまり「守りのリスク管理」から「攻めのリスク管理」へと大きく進化したのです。

| 比較項目 | COSO I（内部統制） | COSO ERM（2017） |
|---|---|---|
| 目的 | 内部統制の確立 | 戦略とリスクの統合 |
| 構成要素 | 5要素 | 5要素 |
| 原則数 | 17原則 | 20原則 |
| リスクの定義 | マイナスの影響 | 不確実性（プラス・マイナス両方） |
| 主な適用場面 | J-SOX・財務報告 | 経営戦略・全社的ガバナンス |

金融業においては両方のフレームワークが活用されています。銀行や証券会社では、法令遵守・財務報告の信頼性確保にCOSO Iを使いながら、戦略的な信用リスク管理・市場リスク管理にはCOSO ERMの考え方を組み合わせるケースが一般的です。

つまりCOSO Iが「現在の内部統制が機能しているか」を問うのに対し、COSO ERMは「将来のリスクを踏まえた戦略判断ができているか」を問うものです。この違いを理解することが、金融業でCOSOを実務に落とし込む際の第一歩になります。

参考（アビタス）：COSO ERM 2017年改訂のポイントが詳しく解説されています。内部監査人の視点から整理されており、実務者に役立つ内容です。

COSO-ERMとは？2017年改訂のフレームワーク内容を解説｜アビタス

COSOフレームワークと日本のJ-SOXの関係・金融商品取引法との接点

日本では2008年から「内部統制報告制度（J-SOX）」が施行されており、上場企業は毎年「内部統制報告書」を作成・開示することが義務付けられています。このJ-SOXはCOSOフレームワークを参考に設計されており、両者の関係を理解することは金融業に関わる人にとって直接的なメリットがあります。

J-SOXとCOSOには似た構造がありますが、いくつか重要な違いもあります。COSOが5要素を定義しているのに対し、日本のJ-SOXは「ITへの対応」を加えた6要素を採用しています。これは情報システムへの依存度が高い現代の企業環境を考慮したものです。

また、米国SOX法（米国版）が個別の業務プロセスごとに詳細な内部統制の評価を求めるのに対し、J-SOXは「全社的な内部統制」を先に評価し、その上で財務報告に重要な影響を及ぼす業務プロセスに絞って評価するトップダウン型の設計になっています。これはJ-SOXの大きな特徴です。

金融業で具体的に考えてみると、銀行であれば「信用リスク評価プロセスの統制活動」「顧客情報管理の情報と伝達」「内部監査部門によるモニタリング」などが、J-SOX対応とCOSOフレームワーク適用の重なる領域になります。

2024年にはJ-SOX実施基準が改訂されており、最新のCOSOモデルへの準拠が改めて推奨されています。形骸化した内部統制を見直す機会として、この改訂を活かすことが実務上の重要な課題となっています。

内部統制の形骸化は問題です。これに対処するための具体的な手段として、ワークフローシステムやERPといったITツールの導入が有効です。承認プロセスが自動化されることで「スタンプラリー化」と呼ばれる形式的な承認の問題を防ぎ、実質的な統制が機能しやすくなります。J-SOX対応ツールを選ぶ際は「COSOの5要素をカバーできるか」を確認すると選択の基準になります。

参考（金融庁）：内部統制基準・実施基準の改訂内容が確認できます。J-SOX対応の実務担当者には必読の資料です。

金融庁 内部統制基準・実施基準改訂に関する資料（PDF）

COSOフレームワークを金融投資の視点で読み解く・投資判断への活用という独自視点

COSOフレームワークは「企業が構築するもの」として語られることがほとんどです。しかし金融に興味を持つ個人投資家や証券アナリストの視点で考えると、COSOは「投資対象企業のガバナンス品質を測るものさし」としても機能します。この視点はあまり語られていません。

内部統制が機能していない企業では、財務報告の信頼性が低下するリスクがあります。過去の不正会計事件を振り返ると、内部統制の不備が直接的なきっかけになったケースは少なくありません。例えば統制環境が崩壊している（トップが誠実性・倫理観へのコミットメントを示していない）企業では、不正の温床が生まれやすいことがCOSOフレームワークの観点から説明できます。

企業のアニュアルレポートや内部統制報告書を読む際に、COSOの5要素を頭に入れておくと、ガバナンスの実態をより深く読み解けるようになります。

- 📋 統制環境の確認ポイント：取締役会の独立性・行動規範の整備状況
- 🔍 リスク評価の確認ポイント：リスクマネジメント体制の開示・不正防止の取り組み
- ⚙️ 統制活動の確認ポイント：内部牽制の仕組み・IT統制の整備状況
- 📡 情報と伝達の確認ポイント：情報開示の質・内部通報制度の有無
- 👁️ モニタリングの確認ポイント：内部監査部門の独立性・外部監査の意見

また、2017年改訂のCOSO ERMでは「リスク選好（Risk Appetite）」という概念が明示されています。リスク選好とは、組織がどの程度のリスクを取って戦略目標を追求するかを定めたものです。この数値・方針が明示されている企業は、リスク管理が成熟していると判断できます。

これは使えそうです。

ESG投資・サステナビリティ投資の観点でも、COSOフレームワークの重要性は増しています。EYジャパンのレポートによれば、COSOフレームワークを活用することでサステナビリティ関連情報の内部統制が強化され、非財務情報の信頼性向上につながることが示されています。投資家として非財務情報を評価する際、COSOに基づく内部統制が整備されているかは重要な確認軸になります。

参考（EYジャパン）：COSOフレームワークのサステナビリティ報告への活用について解説されています。ESG投資に関心がある方に特に参考になる内容です。

COSOフレームワークの活用によるサステナビリティ報告における効果的な内部統制｜EY Japan