SOX 法思想の徹底と業務現場を見つめる立体的視点で企業のコンプライアンス体制を目指す

「人の介在＝リスク」であることを認識

いま、情報の電子化やそれを基盤とした流通・共有体制の進行の中で、情報チャネルの多様化も加速している。それに伴って、コンプライアンスやセキュリティ確保に対するイニシアチブも一層複雑になった。周知のように、J&Jは全世界に広がる200以上の会社からなる企業の連合体だ。それだけに企業倫理や法令遵守に対する感受性が高く、厳しいコンプライアンス思想のもとに、早い時期からグループ一丸となってワールドワイドな取り組みを進めてきた。

「2002年7月に制定された米国のSOX法を契機として、米国・本社の主導で米基準に基づく標準化を進め、グループ全体を貫く対応を進めてきました」
そう語るのは、インフォメーションテクノロジー部 IT管理グループ 渡邊氏だ。

「基本的に『性悪説』に立った世界観に基づいて、『不適切な行動ができない統制環境を築くこと』が、SOX法に準拠する基本です」と、渡邊氏は指摘する。

「どちらかといえば、相互信頼の性善説に立脚した日本の商習慣の中で、SOX法の思想を貫徹させることは難しいことですが、部門横断的な業務遂行はできる限りシステムによる自動化を図り、社員一人ひとりに対しては過剰な権限を付与しない姿勢が必要です。ビジネスの全プロセスに対して、人的な介在がなければ理論的には不正は生じ得ないのです。また、不正は必ずしも悪意に基づいた故意的なものだけとは限りません。勘違いやケアレスミスなどを含め、人手の介在はそれ自体がリスク要因なのだということを、はっきりと意識しなければいけません」

新たな制度が求める発想の転換

渡邊氏の発言にあるように、不正を招く隙間のない企業体制を実現するためには、社員一人ひとりの役割と責任範囲を明確化する職務分掌の整備とそれに具現化した組織やシステムアクセス制御が不可欠だ。しかし、実際のビジネス現場では、各自の役割を細分化して制限することはそれほど容易ではない。

SOX法対応の基本は、財務報告に影響を及ぼす可能性があるリスクの芽を事前に摘み、万一問題が生じた場合には、その影響範囲を最小限に抑制すること。そのための統制を築き維持することがポイントだ。特にSOX 法に基づく監査では、リスクを未然に防ぐプロアクティブなスタンスが重視される。

これまで多くの企業では、オールマイティに部門横断的な采配をふるうことができる人材の育成を進めてきた、という経緯があります。事実、一人の人間が全プロセスを熟知・把握し、鳥瞰的な視点で迅速な判断を下し、一気通貫でアクションを進めた方が効率的・生産的であることも否めません。また、社員側の視点で見ると、経験を積みながら裁量権を拡大し、全体を見渡した動きができるようになることは、社員のキャリアディベロップメントそのものという側面もあります。社員の意識としては、それをいったん清算することへの軋轢もあるでしょう。

しかし、企業を取り巻く環境が大きく変化した今、良くも悪くも社員は、身の潔白を自らが証明しながら働くという難しい時代になりました」（渡邊氏）

そこで、今回ヤンセンファーマではSOX 法の思想を貫くために、企業組織や職務権限の再規定をした。企業の社会的責任（CSR）という言葉が当たり前に使われるようになった昨今、企業の構成員である従業員も自らの潔白である事の「説明責任」を持つ時代が来たといえるだろう。そうした中、「コンプライアンス強化」は、企業にとってはもちろんのこと、従業員にとっても重要な意味を持つようになった。

強力なトップダウンで改革への機運を醸成

米国本社が求める厳しいコンプライアンス体制の実現に向けて、CFO、CIOを始め社長の強いサポートを得て社内の体制を整えた。

職務分掌の基本は、取引の承認と記帳、資産保全管理などを、それぞれ別々の担当者が受け持つことが基本となる。そこで購買ｰ生産ｰ営業ｰ経理など財務報告に直結する業務として、統制の対象となるサプライチェーンに関わる各部門のキーパーソンを巻き込んでプロジェクトを推進した。その際に業務分析、職務分掌の分析は経営企画部が、システムにおけるソリューションはインフォメーションテクノロジー部が担った。そのようなプロジェクトの最前線に立った経営企画本部経営企画部 青木氏はこう語る。

「各職分の範囲やJ&Jグループとしての基本姿勢を示したガイドラインの分析を進めながら、同時に実際の職務現場とのギャップや『ほつれ』を摺り合わせていくことに努めました」

さらに、あるべき姿として築かれた基本姿勢と各現場の要件の乖離をシステムがどう埋めていけるか、を繰り返し検証する中で、精度の確かさを実証していったのである。

製薬企業としての倫理観が統制環境整備の触媒として機能

「米国の本社からは、2004年のSOX法施行に際して、職務分掌に基づいたリスクコントロールマトリックスを白紙ベースから描くことが求められました。当社は、これまで米国・本社の定期監査をクリアしてきましたが、SOX法の施行後は毎年監査が実施され、それは年々厳しくなっていくことになります。そこでプロジェクトでは、特に職務分掌はどうあるべきかを中心に議論を重ねました。また、SOX法用に業務全体の流れを再分析して視覚的な理解を助けてくれるフローチャートやドキュメントの推敲、作成手法などに関しても、HPの事例やアドバイスが参考になりました」（青木氏）

「今回は、統制のための企業カルチャーがJ&Jにあることに助けられた」と渡邊氏は振り返る。とかく現場の担当者たちは、従来の職務権限や手順の変更を好まない傾向にあることも否定できない。しかしヤンセンファーマには、SOX法の思想やそのための職務分掌や内部統制の必要性が理解されやすい素地が、そもそも企業文化として醸成されていたのである。

「そもそも、高い技術と厳格なモラルが求められる医療用製薬企業として、当社には『我々は、患者さんの体内に直接入るものを提供しているのだ』という責任感が企業風土として根付いています。私たちは、世界57カ国 250社以上に及ぶJ＆Jグループを貫く経営理念“OUR CREDO（我が信条）”を有しています。

ドクターや看護士さん、患者さんやそのご家族、さらに社員や地域社会に対して、私たちが果たすべき責任や日々の意思決定を支える価値基準を明記したこの信条は、まさに企業としてのコンプライアンス姿勢を示したものなのです。私たちが常に帰るべき基軸であり、行動指針を導く拠り所として毎年全社員に対してその認識度や達成度に関するサーベイを実施。部門や職分を越えた価値観の共有が図られています」（渡邊氏）

SAP R/3 のロールを部品化して不適切な権限付与の可能性を排除

J&Jの内部統制ハンドブックの中でも、権限と職務の対応関係がきっちり明示されている。しかし現場の実務の中で、それらを貫くことはそう容易ではない。

「例えば、多忙を極める現実のビジネスシーンでは、効率を求めて、受注をする人と出荷をする人を同じにするとミスや不正が生じる可能性が出てきます。そこで、まず業務上のタスクをJ&J で求められている職務分掌単位に分類し、それを従来から基幹システムとして活用してきたSAP R/3の単一ロールとして実装しました。つまり、SAP R/3のロール定義と職務分掌の最小単位を同期させて、職分ごとのロールをまとめた定義（集合ロール）をユーザに割り当てて、その組合せの中に不適切な権限がないか発見する仕組みを築いたのです」

また今回、ユーザごとの職務分掌に対応するトランザクションをロール単位で動的に有効化・無効化することができる「カセット方式」を採用した。そして旧来ユーザごとに設定されていた権限をこのカセットとして付与することで、新しいロールへの移行を図ったのである。カセット方式のメリットはさまざまあるが、その最たるものは柔軟性と弾力性を担保することができる点である。例えば、将来ビジネス環境の変化等の中で業務プロセスの変革が求められた場合にも、そのユーザの担当業務を再吟味して、最適な変更を加えることができる。

「実はこの仕組みは、すでにヨーロッパで実行されていました。私たちは、ヨーロッパの前例を通じて成果が実証されたこの手法を、ベストプラクティスとして導入したのです。そのおかげで、小さな力で大きな効果を生む　　そんなレバレッジ（梃子）を効かせることができました」（渡邊氏）

このように国境やエリアを越えて、開発成果の再利用や相互活用を協調的に進めることができる点も、グローバル企業として活動を進めてきた同社ならではの強みだ。