内部統制導入の目的と意義に関する区の所見
質問項目は、内部統制について、使う資料は、令和２年度内部統制評価報告書、同報告書に対する監査の審査意見書を使います。
それでは、内部統制について伺ってまいります。今回初年度ということもありますので、基本的なことも含めてお聞きしたいと思います。
まず、内部統制導入には４つの目的があるとされております。改めてこの目的についての説明と、その目的を追求することの意義について、区の所見を伺います。
内部統制の４つの目的でございますが、１つが業務の効率的かつ効果的な遂行、これは業務の目的の達成に向けて効率的かつ効果的に業務を遂行することでございます。
２つ目が財務報告等の信頼性の確保。こちらは、組織の財務報告等に重要な影響を及ぼす可能性のある情報の信頼性を確保することをいいます。
３つ目が業務に関わる法令等の遵守。業務に関わる法令等その他規範を遵守することをいいます。
４つ目が資産の保全。こちらは、資産の取得、使用及び処分が正当な手続及び承認の下に行われるよう、資産の保全を図ることをいいます。
この４つの目的を達成することによって、最終的には、区民から信頼される区役所であり続けるために、業務の適正な管理と執行を確保することが目的となってございます。
区民から信頼をいただけるために業務の適正な管理進行を行っていくということが本来の目的であるということで、ただ、この考え方は、別に今回内部統制という制度を導入する前から、どんな形であれ、区にはあったのではないかなというふうに思うんですけれども、それまでのそういったことに対する考え方の取組と、今回の内部統制導入ということについてどういう違いがあるのか、御説明いただけますでしょうか。
内部統制は昨年度から始まった制度ですけれども、全く新しくゼロから始めたというものではなくて、区役所の中にはこれまでも、支出をするときには会計課の審査がありましたし、各部で自己検査を行っていますし、毎月例月出納検査を行っているというような統制活動はこれまでも行っておりましたけれども、内部統制という制度ができたことによって、リスクを可視化する、目で見える形にして一覧で見ることができます。そのことによってリスクが漏れなく識別され、評価され、対策を取ることができるようになって、それを自分の職場だけでなくて広く広めていったり、引継ぎの際に次の人に広めていくことができるというものでございます。
全庁的なシステム化していくということ、マネジメントシステムですね。
今回の内部統制には、業務レベルの内部統制と全庁的、この２種類がありますが、それぞれどういうものか、御説明をお願いいたします。
業務レベルの内部統制は、いわゆる各職場の部や課の現場における内部統制でございまして、リスクを評価してリスク対策を立てて改善していくというものです。
全庁的な内部統制は、区として総務省のガイドラインに定めるような対策が取られているか、仕組みができているか、条例や規則ができているかという点で評価をするものです。
この評価に関しては、地方自治法150条第４項の規定に基づくとありますけれども、これは具体的にどういう規定か、御説明をお願いいたします。
地方自治法150条の４項の規定でございますが、これは、都道府県知事等は、毎会計年度少なくとも１回以上、総務省令で定めるところにより、内部統制の方針及びこれに基づき整備した体制について評価した報告書を作成しなければならないというものです。
杉並区に関しては、これは努力義務という形でよろしいですよね。しなければならないというよりも努力義務という形で。
この報告書では、リスクが顕在化した場合には、内部統制の取組を適宜見直しするとの記載がありますけれども、リスクの顕在化とは、いつ、どのように把握して、そして見直しまでつなげていく体制なのか、御説明をお願いいたします。
リスクの顕在化については、各現場で、部や課で随時把握をしてリスクを評価いたします。見直しにつきましては、年２回評価を行う機会もございますが、その機会を待つまでもなく、随時改善につなげてまいります。
この報告書の附属資料のところで６つの基本的要素とあります。この概念がなかなか理解しづらいんですけれども、基本的要素とは何か、またなぜこの６つなのか、御説明をお願いいたします。
附属資料にあります６つの基本的要素ですけれども、１つが統制環境でございます。これは組織内の全ての者の意識や行動に影響を与えるもの、他の内部統制の基本的要素の基礎基盤となるものでございます。内部統制基本方針ですとか自治基本条例等が、これに当たります。
２つ目がリスクの評価と対応でありまして、これは、組織目的の達成に影響を与える事象について、組織目的の達成を阻害する要因をリスクとして識別、分析、評価して、適切な対応を選択するプロセスをいいます。いわゆる内部統制の仕組みがこれに該当いたします。
３つ目が統制活動でございます。これは、長の命令及び指示が適切に実行されることを確保するために定める権限及び職責の付与等の方針及び手続でございます。これは、例えば財務事務に係る各規則を定めておりますので、杉並区会計事務規則がこれに当たります。
４つ目の情報と伝達は、組織において、識別、把握及び処理された情報が組織内外に適切に伝達される仕組みを整備すること、組織の外部からの情報を入手するための仕組みを整えることでございます。
それから５つ目はモニタリングでございます。これは、内部統制が有効に機能していることを継続的に評価するプロセスでございます。
６つ目がＩＣＴへの対応。こちらは、組織目的を達成するために適切な方法及び手続を定め、それを踏まえてＩＣＴに対応することでございます。
なぜこの６つなのかというところにつきましては、先ほど申し上げた４つの目的を達成するために、この６つが不可欠でございまして、これが内部統制が機能しているかどうかというところを判断する１つの基準となっているものでございます。
この附属資料の２ページ目に、リスク分析においては量的重要性と質的重要性とあります。それぞれの定義について、御説明をお願いいたします。
量的重要性については、発生頻度と影響度から成りまして、発生頻度はミスが起こりやすいかどうかということでございます。影響度は、リスクの発生を受けて被害、損害が発生する範囲の度合いによる評価でございます。例えば全庁に及び部を超えた対応が必要となるものは、影響度が大というものでございます。
質的重要性につきましては、リスクの影響範囲と事後的な対応に要する時間等により、区民への信頼性、公平性の影響や住民の安全性の確保等に着目した評価でございます。
このリスクに関しましては、年度当初では948件のリスクを識別して、そのうち853件について対応策が策定されております。948のうちの853を対象にした、これはどういう基準によるものでしょうか。
先ほど申し上げた重要性ということがありましたけれども、影響度や発生頻度、そして質的重要性という視点からリスクを評価いたしまして、対応策が必要なものを各職場で判断した結果が853件ということでございます。
それで、同じく報告書では、自己評価の結果、273件の事務処理の誤りと23件の不適切事項が発生したことが記載されております。これは当初の対応策の実効性に課題があったのか、もしくは当初想定していなかった事態が発生したことによるものなのか、いかがでしょうか。
273件の事務処理の誤りと23件の不適切事項ですけれども、当初からリスクとして想定をしていなかったものもあれば、リスクとして想定はしていたけれども、対応策が十分でなかったというものがございます。いずれにしても、リスクを識別しまして対応策を追加したり、あるいは強化をしてございます。
それで、リスクに関して、今もお話ございましたけれども、年度当初はリスクの数を948というふうに規定していたわけでありますけれども、途中から974に増加した。一方で、対応策を853、当初策定しておりましたけれども、772に減少したということで、その背景としては、運用する中で重要性が低いと判断し整理したとありますけれども、具体的に、令和２年度運用する中でどのように重要性の高低を判断したのでしょうか。
重要性の判断ですけれども、昨年度初年度だったということで、初年度ならではかと思いますけれども、年度開始当初に事務局がしましたリスク評価の一覧を基に各課でリスクの評価を行っておりましたけれども、特に発生頻度といったものは事務局のほうから示して、これに基づいて各職場で評価をしていましたけれども、年度末の評価、年度途中では事務局のほうから、あくまで事務局で示したものは基準ではなくて視点である、参考に各職場で判断するようにということで、改めて通知を出し直したということがございましたので、それに基づいて各職場で自主的に判断した結果でございます。
全庁的な内部統制の評価について伺います。この附属資料の17ページに、評価は「概ね有効に整備・運用されているものと判断した。」とあります。業務レベルの内部統制は、整備、モニタリング、審査、監査、改善というＰＤＣＡサイクルに基づいておりますけれども、全庁的な内部統制に対するＰＤＣＡサイクルはどのように行われているのでしょうか。
全庁的な内部統制につきましては、区としての仕組みが整っているかというものなので、整備されているか、運用されているかという視点ですので、ＰＤＣＡというのはなかなか分かりにくいところがございますけれども、例えば今回の議会に御報告いたしました報告書を作成する過程で、内部統制評価部会ですとか本部会での議論を踏まえて、また監査委員の審査、議会での御意見などを踏まえて全庁的な制度の改善につなげているというところが全庁的な内部統制のＰＤＣＡかと考えてございます。
ここで、監査委員によります監査の審査意見書に関して伺ってまいります。
まず、「過去３年間の定期監査等において指摘、注意及び意見・要望を受けたにもかかわらず、リスクとして識別されていない事案が見受けられた。」とあります。この点については、内部統制取組の手引では全てリスクとして識別すべきとまではされていないというものの、監査委員としては、原則として全てリスクとして識別することが適切であると考えているとあります。
この考え方の違いに関しましては、さきの本会議で質疑がありまして、その中の答弁で、今後は、監査委員の意見に沿う方向性で進めていくという旨の区の意向が示されたわけでありますけれども、そもそも今回リスクと識別しなかったのはどのような判断によるものなのでしょうか。
これは各職場でリスクとして識別評価しているのでございまして、理由はまちまちでございますが、監査の御指摘をリスクとして把握することを失念していたという場合もありますし、また、もう既に対策が取られているのでリスクとして識別しなくてもいいという判断をしたところもございますが、事務局のほうからは、いずれにせよリスクとして識別するようにということで、それぞれの所管に連絡をしてございます。
もう１点の指摘ですけれども、ＩＣＴ関連について伺います。
さきの６つの基本的要素の１つとされており、監査委員としては、リスク対応として改善を求めております。改めて、この指摘事項に対する監査委員の考えと、そしてその監査委員の意見を受けての区としての考えをお示しいただきたいと思います。
今御質問のありましたＩＣＴの対応に関しては、委員の御指摘にありましたけれども、内部統制の６つの基本的要素、一番最後にありましたけれども、それの１つでございますので、今回監査委員として意見を要望したものでございます。
今御質問で監査委員の考えということでございますけれども、区においては、内部統制におけるＩＣＴの対応は、杉並区の情報化基本方針であるとか、あるいは情報化アクションプランなどの一般的な情報政策に基づいて行っているというようなことがありましたけれども、一方、総務省のガイドラインを見ると、システムダウンであるとかあるいはコンピューターウイルス感染といったＩＣＴ管理が、まさに財務に関する事務のリスクとして挙げられております。
区の内部統制は、まずは自治法で必須とされている財務に関する事務から始まったわけでございますが、ＩＣＴの対応については、もしかすると、区が今後対象の拡大となり得る情報管理に関する事務、これにおいて行うべきものであると捉えているのではないのかなといった若干の懸念も監査委員の間にございましたので、こうしたことから、ＩＣＴに関するリスクを監査意見書のほうに、区のリスク評価一覧に追加することが適切であるので、そう考えるので検討されたいというふうに、区に対して意見、要望したものでございます。
御検討よろしくお願いします。
それで、この制度の今後の運用に関して考え方をお聞きしたいんですけれども、今回こういった制度を導入することによって、具体的にそれぞれの事務フローというのをそれぞれ意識して、その中で業務における非効率な行程を見直しできるという効果も１つ考えられるんじゃないかなと思います。ただ、一方で、今の総務部長のお話にもございましたけれども、そういったリスク管理に重きを置き過ぎるがゆえに、ダブルチェックとかもしくはトリプルチェックとか、導入する等のリスク対応をした場合の、整備強化した場合には、逆に事務量、業務工数が増加することも考えられます。事務負担の増と、そしてまた内部統制をしっかりやっていくんだという成果のバランス、これはどのような考え方でこれから進めていくお考えでしょうか。
御指摘のとおりで、ダブルチェックやトリプルチェックということを進めていけば、やはり作業の行程が、手間が増えるということになりますけれども、ただ一方で、センシティブな個人情報のようなものは、発生の際にダブルチェックをしていくようなことは必要でございますので、影響度や発生度を考慮して、さらに、例えばチェックリストを活用するなど効率的にやっていくというようなことで、先ほど申し上げた重要性というところも考えながら、職場で判断していくということだと思います。
今回こういった全庁的な新しい制度を導入したということもありまして、これは監査委員からの指摘もございますけれども、これがしっかり本当に運用を改善していくには、全職員の内部統制に対する理解の浸透と意識の向上が必須とされると思います。推進事務局のほうとしては、今後どのように全庁の職員に理解促進を進めていく考えか、お示しいただきたいと思います。
昨年度、内部統制の制度を開始して、すぐに緊急事態宣言が発令されるというようなこともございまして、なかなか職員への浸透といいますか、徹底というのは難しかったところはございますけれども、内部統制、コントロールという言葉ですけれども、各職場でそれぞれ自発的に意識を向上させていって取り組んでほしいということもございまして、各職場ごとに内部統制の推進委員を置いて、職場での周知を図ってまいりました。また監査結果を共有したり、コンプライアンス通信というようなものを発行したり、また研修等も行って、今後も意識の向上を図ってまいります。
私が今回この報告書、監査の審査意見書も含めて読ませていただいた率直な感想として、実際にリスクというものを識別して、それを予防というか防いでいく、またリスクを低減していこうというふうな、そういった試みだと思うんですけれども、いま一つぴんとこないというか、定量的なデータというのがなかなかこの報告書からは見受けられない。リスクの数とかあるんですけれども、具体的に区のそういう意図しているそもそもの目的が達成されるのにどの程度近づいていっているのか、そういったことがなかなかこの報告書だけでは理解しづらいかなというのが私の正直な感想です。達成度合いの検証等が分かりやすい、そういった定量的なデータを示していくという工夫も、これから見え方として必要じゃないかなと思いますけれども、その辺に関しては、区はいかがお考えでしょうか。
確かに定量的な指標をなかなかお示ししにくいところがありまして、効果が見にくいというところがありますけれども、成果としましては、例えば、先ほどお示しした事務の誤りの数ですとか、それから、重大とは言えないけれども不適切な事務の誤りの数ということもありますし、また監査で指摘を受けた数というような、監査の指摘や意見等の数というのも毎年取得できるデータでございますので、増えた、減ったと一喜一憂するものではありませんけれども、その辺りは数値化できるのかなと思います。今年度初年度なのでまだ比較はありませんけれども、また来年度以降考えてまいります。
御検討お願いいたします。
もう一つ私の感想ですけれども、これは全体的な、全部を網羅した報告書ということもありますので、全体像の概要という部分ではこういう記載になるのかなと思いますけれども、では具体的に、どういったリスクがどういった対応策を取ってどう軽減されているのかという具体策が、逆にまたなかなかイメージしづらいという部分があります。先ほど来、リスクの数が1,000近い項目があるということもありますので、全て網羅するのは困難であると思いますけれども、今申し上げた定量的なデータをうまく活用していくのかということと、もうちょっと具体的なイメージとしてこの取組が理解できるような、そういった見え方、見せ方というものも、これからぜひ検討していっていただきたいと思いますけれども、最後に区の意見を伺って、質問を終わります。
いろいろ御意見いただき、ありがとうございました。私ども、これが当然制度の終着点じゃなく出発点だと思っておりますので、行政評価をこの間20年やっていますけれども、毎年毎年のように制度改正を重ねて現在の形になっているように、内部統制制度も、御指摘いただいたような点について、私どもも課題というふうには認識しております。
ただ、言っていただいたように、リスク評価シートとか対応シート、本当にこんなになってしまいますので、それを全部示したからといって、内外に成果が理解できるわけではないと思いますので、そこをうまく少しデフォルメしながら、対外的にもそうですし、職員のほうもそういう成果が分かると、ああ、少し工程が増えたけれども、やっていて、自分の課だけではなくてほかの課も全庁的によかったんだなということが実感できると思いますので、その辺は今後、内部統制評価部会を中心に議論して、ブラッシュアップをしてまいりたいと考えております。