不正リスクを監査報告書でどう語るのか――ISA 240改訂をめぐる論争
シリーズ第2回／全6回
2024年2月、IAASBは国際監査基準240「財務諸表監査における不正に関する監査人の責任」の改訂公開草案（以下「ED-240」という。）を公表した。これを読んでも、「不正に関連するKAM（KAMs related to fraud。以下「不正関連KAM」という。）を少なくとも一つ報告しなければならない」という要求事項は見当たらない。
KAM（Key Audit Matters、監査上の主要な検討事項）は、監査人が国際監査基準701（ISA 701）に従って選ぶ。当年度の監査で特に注意を払った事項の中から、さらに最も重要であった事項を決める仕組みである。不正による重要な虚偽表示リスクを識別したからといって、それだけで自動的にKAMになるわけではない。
だから、ED-240に「不正関連KAMの最低件数は一件」と書いてあったのかと聞かれれば、答えはNoである。
ところが、基準設定過程を少し遡ると、気になる言葉が出てくる。
2023年6月、IAASBの不正タスクフォース（Fraud Task Force）は、不正関連KAMの報告を促すための起草方針を説明する中で、その意図を、監査人が実施した監査手続に基づいて`at least one fraud related KAM`（少なくとも一つの不正関連KAM）を伝達するよう促すことだった、と記している。
「少なくとも一つ」。このED-240の要求事項にはない言葉が、その起草を進めていた不正タスクフォースの資料にはある。やはり実質的には最低一件を求めようとしていたのだろうか。
そう結論づけるのも早い。ここで使われているのは`require`（要求する）ではなく、`encourage`（促す）である。不正タスクフォースが考えていたのは、「一件以上を報告しなければならない」という新しい最低件数の要求事項ではなかった。ISA 701によるKAMの絞り込みを残しながら、不正関連KAMが報告される方向へ監査人の判断を強く促そうとしていたのである。
この二つは、似ているようで同じではない。では、なぜそんな微妙な仕組みになったのか。その答えを探して時間をもう少し巻き戻すと、現在の不正関連KAMからは想像しにくい制度案に行き当たる。
2022年、IAASBが検討していたのは、最初から「不正に関連する事項を既存のISA 701のKAMの仕組みに統合する」という制度ではなかった。監査報告書の中に、不正について独立したセクションを設ける案もあったのである。
現在の制度だけを見れば、不正に関連する事項をKAMとして報告することは、それほど意外な仕組みには見えない。しかし、形成過程を追うと、KAMは最初から当然の答えだったわけではない。
独立した不正セクションは、なぜ検討され、なぜ残らなかったのか。そしてKAMへ移った後も、なぜ「監査人の判断に任せる」で終わらなかったのか。
そこを追うと、ED-240が「最低一件」と書かずに、どこまで「少なくとも一つ」に近づこうとしたのかが見えてくる。
利用者に示されたのは、KAMだけではなかった
2022年6月から7月にかけて、不正タスクフォースは、24人の財務諸表利用者に対象を絞った意見聴取を行った。
そこで利用者に尋ねたのは、「不正関連KAMは必要ですか」という質問ではなかった。監査報告書における不正についての透明性を高めるとすれば、どのような情報が有用なのか。そこで、互いに排他的ではない五つの選択肢が示された。
一つ目は、不正リスクに対する監査人のアプローチを説明すること。二つ目は、監査人が識別・評価した不正リスクと、それに対する監査人の対応を説明すること。三つ目は、さらに監査人の発見事項や観察事項まで説明することだった。四つ目で、ようやくKAMが出てくる。上場企業について、不正リスクがある場合に既存のKAMの要求事項をより活用するという案である。五つ目は、不正の防止・発見に関連する内部統制の重要な不備を報告することだった。
現在のED-240から振り返ると、四つ目に目が行きやすい。だが、この五つを当時の選択肢として並べ直すと、KAMはむしろ一案にすぎなかったことがわかる。
監査人がどのような不正リスクを識別・評価したのか。そのリスクにどう対応したのか。監査手続を行った結果、何がわかったのか。内部統制にどのような重要な不備があったのか。KAMを使う案と並んで、そうした情報を監査報告書から直接見えるようにする案が検討されていたのである。
利用者の反応も、KAMだけに集中したものではなかった。関心が向けられたのは、監査人が不正についてどのようなアプローチを採り、どのようなリスクを識別・評価し、それにどう対応したのかという情報だった。
不正タスクフォースは、その結果を監査報告書の形へ落とし込んでいった。そこで現れたのが、不正について独立したセクションを設ける案だった。
想定された内容は、かなり広い。監査人の不正に関する責任を記載するだけではなく、識別・評価した不正による重要な虚偽表示リスクとそれへの対応、さらに不正の防止・発見に関連する内部統制の重要な不備まで、一つのセクションにまとめる構想である。
2022年9月、IAASBは不正関連情報を独立したセクションに置く方向を一度支持した。ただし、利用者が求めた情報をそのまま並べればよい、というほど話は簡単ではなかった。
たとえば、監査人が識別・評価した不正による重要な虚偽表示リスクをすべて報告すれば、会社ごとの差が乏しい定型的な記載、いわゆるボイラープレートが並ぶ可能性がある。内部統制の重要な不備について監査人が報告すれば、企業が他で公表していない情報を、監査人が監査報告書で初めて提供することにもなり得る。9月の審議では、そうした問題がすでに見え始めていた。
そこでIAASBが不正タスクフォースに求めたのが、不正による重要な虚偽表示リスクと監査人の対応について、KAMに類似した絞り込みの仕組み又は判断基準を設けることだった。識別・評価したリスクをそのまま全部見せるのではなく、報告すべき事項を絞り込むのである。この判断によって、独立した不正セクションという構想の中に、KAMの絞り込みに似た考え方が入り込んだ。ただ、まだKAMそのものになったわけではない。
監査報告書に不正のための独立した場所を残すのか。それとも、既にあるKAMの仕組みを使うのか。その違いは、12月に二つの監査報告書を実際に並べてみたとき、思いのほか大きく見えることになる。
監査報告書にしてみると、独立セクションは大きすぎた
2022年12月の会合に向けて、不正タスクフォースは二つの監査報告書の例を用意した。
一つは、「識別された不正リスクと監査人の対応（Identified Fraud Risks and the Auditor’s Response）」という独立したセクションを置く案。もう一つは、不正による重要な虚偽表示リスクと監査人の対応をKAMセクションに入れる案である。
文章で制度を検討している間は、どちらも一長一短の選択肢に見える。ところが、監査報告書の形にして並べると、独立セクションには別の問題が見えてきた。不正タスクフォースが使った言葉は、`overshadow`（圧倒する）だった。
独立した不正セクションは、その位置と長さによってKAMセクションを圧倒して見える。利用者に不正について詳しく伝えようとすれば、その分だけ独立セクションは長くなる。そうなると、本来KAMとして報告されている他の事項の相対的重要性が弱く見えたり、利用者の注意がそちらからそれたりするおそれがある。
配置を変えれば済む問題でもなかった。独立した不正セクションをKAMの後ろへ移す方法も検討されたが、不正タスクフォースは、それだけですべての懸念が解消されるとは考えなかった。
そこで、独立した箱を置く案から離れ、不正に関連する事項をKAMセクションへ入れる方向が選ばれる。もっとも、KAMセクションに入れる方法にも二通りあった。不正に関連する事項だけをまとめたサブセクションを設けるか、それとも他のKAMと同じように並べるかである。不正タスクフォースが選んだのは、後者だった。
不正だけのサブセクションを設ければ、独立セクションほどではないにしても、他のKAMを`overshadow`する問題は残る。それに、新しい区画をわざわざ作らなくても、ISA 701にはすでに使える仕組みがあった。ISA 701第11項は、それぞれのKAMについて適切な小見出しを付けることを求めている。不正に関連するKAMにもそれと分かる小見出しを付ければ、通常のKAMセクションに統合しても、利用者はその性質を識別できる。つまり、統合案が選ばれた理由は、「独立セクションが目立ちすぎた」だけではなかった。
別の箱を作ると他のKAMとの相対的重要性を歪めるおそれがある。その一方で、別の箱を作らなくても、既存のISA 701の仕組みを使えば不正に関連する事項であることは示せる。不正タスクフォースは、統合する方が監査報告書の読みやすさや明瞭性を高め、KAMという考え方とも整合すると考えた。
こうして、不正についての透明性を高めるために新しいセクションを設けるという案は、既存のKAMの中で不正に関連する事項を見えるようにする案へ変わった。箱はなくなった。しかし、利用者に見せようとしていた情報までなくなったわけではない。
ここで一つ、制度設計上の問題が残る。独立セクションなら、そこには不正についての情報が置かれる。ところがKAMへ統合すれば、何をKAMとして報告するかはISA 701の絞り込みを経て決まる。その結果、不正に関連するKAMが一件も選ばれないこともあり得る。2022年12月の資料を見ると、不正タスクフォースは、その「ゼロ」を普通の結果とは考えていなかった。
「ゼロ」は、普通の結果ではなかった
不正関連KAMが一件もないことは、ISA 701の仕組みを使う以上、おかしな結果ではない。KAMはテーマごとに最低件数を決めて報告する制度ではなく、監査人が特に注意を払った事項の中から、当年度の監査において最も重要であった事項を選ぶ。不正に関連する事項にも同じ絞り込みを適用するのであれば、その結果がゼロになる可能性は残る。不正タスクフォースも、その可能性自体は排除しなかった。
しかし、2022年12月の論点資料35項には、そうした場合について`this would be rare`（そのような場合は稀であろう）と書かれている。資料はゼロ件の場合も想定している。ただ、それを一件以上の場合と同じように想定される結果として扱っていたわけではないことは、この一語から読み取れる。
さらに目を引くのは、その後である。不正タスクフォースは、不正関連KAMが一件もなければ、何も書かずに済ませるのではなく、その旨を監査報告書に記載することを提案した。原文では、不正関連KAMがない場合に`a statement to this effect`（その旨の記載）を含めるとされている。
普通のKAMを考えると、この扱いの違いがよくわかる。ある会社について、のれんの減損がKAMにならなかったからといって、「のれんに関連するKAMはありません」とは書かない。繰延税金資産の回収可能性に関するKAMがなくても、その不在をわざわざ報告しない。そもそもISA 701は、特定のテーマについてKAMの有無を一つずつ知らせる仕組みではない。
しかし、不正については、特別な扱いを加えようとした。不正関連KAMがあれば、その事項が監査報告書に現れる。なければ、今度は「ない」という判断を監査報告書に明示する。不正という特定のテーマについては、KAMが選ばれなかった場合まで利用者から見えるようにしようとしたのである。
独立した不正セクションを設けなくても、これによって利用者には不正関連KAMの有無がわかることになる。この仕組みは、後に`negative statement`（不正関連KAMがない旨の記載）と呼ばれるようになる。ただし、2022年12月の資料自体はその言葉を使っていない。当時の資料に即していえば、提案されたのは、ゼロ件の場合にその旨を明示する記載だった。
独立した不正セクションを設ける案では、不正についての情報を置く「場所」を確保することで透明性を高めようとしていた。それをKAMへ統合すると、専用の場所はなくなる。代わりに出てきたのが、KAMとして選ばれた場合だけでなく、選ばれなかった場合まで利用者から見えるようにする仕組みだった。
この時点では、まだ「少なくとも一つを報告するよう促す」という説明までは出ていない。それがはっきり言葉になるのは、半年後である。2023年6月の不正タスクフォース資料には、`rare`よりもさらに直接的な表現が登場する。
`at least one fraud related KAM`。
ただし、それは「少なくとも一つを報告しなければならない」という要求事項として書かれたものではなかった。
「少なくとも一つ」は、要求事項ではなかった
`at least one fraud related KAM`だけを読めば、「やはり最低一件を求めようとしていたのではないか」と思える。だが、2023年6月の不正タスクフォース資料57項に書かれているのは、新しい最低件数の要求事項ではない。
不正タスクフォースは、不正に関する監査報告書の透明性を高めたいという利用者の要望と、不正に関連する監査手続について適切な場合に透明性を高めるというプロジェクトの目的を踏まえ、不正関連KAMを報告する方向へ監査人を導く要求事項と適用指針を作ろうとしていた。その目標を説明するくだりで、実施した監査手続に基づいて「少なくとも一つの不正関連KAM」を伝達するよう監査人を「促す」ことが意図されていた。
ここで使われているのは`require`（要求する）ではなく、`encourage`（促す）である。この違いは、単なる英単語の使い分けではない。「少なくとも一つを報告しなければならない」と要求事項に書けば、KAMの絞り込みを行った結果、不正関連KAMはないと判断する余地がなくなる。不正タスクフォースは、そこまでは踏み込まなかった。
では、義務づけずに、どうやって一件以上が報告される方向へ促すのか。資料58項で不正タスクフォースは、そのために適用指針へ`a very strong steer`（非常に強い方向付け）を加えたと説明している。そこで使われたのが、`often`（しばしば）と`ordinarily`（通常）だった。
まず、不正に関連する事項は`often`、重要な監査人の注意を必要とする事項であるとする。そのうえで、重要な監査人の注意を必要とした不正関連事項のうち一つ以上は`ordinarily`、当年度の監査において最も重要な事項となり、したがってKAMになるとした。
`often`と`ordinarily`は、この改訂のために作られた特別な表現ではない。不正タスクフォースが参照したCUSP起草原則・ガイドライン（CUSP Drafting Principles and Guidelines）では、ISAの起草に用いる発生可能性の表現が整理されており、`often`は二番目に高く、`ordinarily`は最も高い発生可能性を示す語とされていた。既存の起草技法を使いながら、その中でもかなり強い表現を選んだのである。
さらに不正タスクフォースが目を向けたのが、ISA 701のA21だった。この適用指針は、他のISAによって`significant risk`（特別な検討を必要とするリスク）とされる事項であっても、監査の状況によっては重要な監査人の注意を必要とせず、KAMを決定する際の対象にならないことがあると説明していた。その例には、収益認識に関する不正による重要な虚偽表示リスクや経営者による内部統制の無効化も含まれていた。
不正タスクフォースは、このISA 701のA21の記述が、不正関連KAMを報告しない方向へ監査人を導いていた可能性があると考えた。そこで、収益認識における不正による重要な虚偽表示リスクや経営者による内部統制の無効化についても、重要な監査人の注意を必要とし、かつ当年度の監査において最も重要な事項であればKAMとなることが明確になるよう、ISA 701のA21を修正しようとした。
ここまで来ると、6月案の狙いはかなり具体的である。KAMの最低件数を新たに定めるのではない。ISA 701の絞り込みを残したまま、その絞り込みを不正に関連する事項へ適用する際の判断を、不正関連KAMが生じる方向へ強く導く。`at least one`（少なくとも一つ）は、その結果として不正タスクフォースが期待していたものだった。
ただ、この段階で確認できるのは、あくまで不正タスクフォースの起草上の目標である。資料にも`the goal of the Fraud TF`（不正タスクフォースの目標）と書かれている。これをそのままIAASB全体の意思とみなすことはできない。その区別が意味を持つのが、3か月後の会合である。
`ordinarily`は削除されなかった
2023年9月、6月に不正タスクフォースが示した案がIAASBで審議された。そこで議論になったのが、`ordinarily`であった。
6月案では、重要な監査人の注意を必要とした不正関連事項のうち一つ以上は、`ordinarily`、当年度の監査において最も重要な事項となり、KAMになるとされていた。これはCUSP起草原則・ガイドラインで最も高い発生可能性を示す表現である。
この文言に対して、IAASBメンバーから懸念が示された。承認済み議事録には、問題の適用指針がKAM絞り込みの仕組みを損なうのではないか、という指摘が記録されている。KAMは、監査人が特に注意を払った事項を、そのまま監査報告書へ移す制度ではない。その中からさらに、当年度の監査において最も重要であった事項を決める。ところが、不正に関連する事項の一つ以上は「通常」そこに入るとあらかじめ方向付ければ、ISA 701が求める二段階目の選別に影響するのではないか。問題になったのは、まさにこの点だった。
それでもIAASBは、`ordinarily`を削除しなかった。議事録に記録された理由は、この言葉を残しても、個々の監査の事実及び状況に照らして不正関連KAMはないと監査人が判断する余地がある、というものだった。ゼロ件の場合には、その旨を監査報告書に記載する仕組みも予定されていたため、その判断は利用者から見えないままにはならない。
ここで、6月の不正タスクフォース資料にあった`at least one`の位置づけが、もう少しはっきりする。もし「少なくとも一つ」を義務づけるのであれば、ゼロ件という判断は成り立たない。一方、不正について何ら特別な方向付けを加えず通常のISA 701だけに委ねる設計とも異なる。
9月の審議を経ても残されたのは、その中間にある仕組みだった。ISA 701による絞り込みは維持し、不正関連KAMがゼロになる可能性も排除しない。その一方で、不正に関連する事項がKAMになる可能性については、基準の側から強い方向付けを与える。
注目すべきなのは、`ordinarily`の語が置かれた場所だった。KAM絞り込みの仕組みとの緊張が審議で指摘されたにもかかわらず、不正関連事項について最も強い発生可能性を示す表現が維持されたのである。
6月に強い方向付けを提案したのは不正タスクフォースであり、9月にその方向付けとISA 701の絞り込みとの関係が審議されたのはIAASBだった。不正タスクフォースは`a very strong steer`によって、少なくとも一つの不正関連KAMを伝達するよう促そうとした。その後のIAASBの審議では、こうした適用指針がKAMの絞り込みに及ぼす影響について懸念が示された。それでも、`ordinarily`は削除されなかった。
そこで初めて確認できるのは、不正タスクフォースの起草上の目標そのものではなく、IAASBが公開草案として外部に提示した制度が、実際にどこまで不正関連KAMの報告を方向付けたのかである。
公開草案が引いた線
こうした審議を経て、2024年2月にED-240が公表された。2023年6月の不正タスクフォース資料にあった`at least one`は、要求事項には入らなかった。ED-240第61項が監査人に求めたのは、ISA 701に従ってKAMを決定する際、不正に関連する三つの事項を考慮することだった。監査人が識別・評価した不正による重要な虚偽表示リスク、識別された不正又は不正の疑い、そして不正の防止・発見に関連する内部統制の重要な不備である。
ここで対象になっているのは、不正による重要な虚偽表示リスクだけではない。監査の過程で実際に識別された不正や不正の疑い、内部統制の重要な不備も含めて、KAMを決める際に考慮することになる。だからといって、この三つのどれかを必ずKAMにするわけではなかった。第61項はISA 701に従ってKAMを決定するという枠組みを維持しており、「この中から少なくとも一つを報告せよ」とは要求していない。
一方、適用指針には、前年までに検討されてきた強い方向付けが残った。不正に関連する事項は`often`、重要な監査人の注意を必要とする事項となり、そのうち一つ以上は`ordinarily`、当年度の監査において最も重要な事項となってKAMになる。この二つの確率表現とISA 701による絞り込みを併存させる形で、公開草案は外部に示された。
監査報告書の見た目にも、不正ははっきり現れることになった。従来の「監査上の主要な検討事項（Key Audit Matters）」というセクション名は、「不正に関連する事項を含む監査上の主要な検討事項（Key Audit Matters Including Matters Related to Fraud）」へ変更することが提案された。不正関連KAMがある場合には、各KAMに付ける小見出しによって、それが不正に関連する事項であることを示すのである。
2022年12月に通常のKAMセクションへの統合を選んだ際、不正タスクフォースは、ISA 701がもともと要求している小見出しを使えば、新しいサブセクションを設けなくても不正関連事項であることを示せると考えていた。ED-240では、それに加えてKAMセクションの見出しそのものにも「不正」が入った。さらに第64項は、不正関連KAMが一件もない場合にも、そのことを監査報告書から見えるようにした。監査人が不正に関連するKAMはないと判断した場合、その旨をKAMセクションに記載するよう求めたのである。これで、独立した不正セクションを設けずに、不正関連KAMの有無はいずれも監査報告書に現れる。
ED-240とともに公表された説明資料（Explanatory Memorandum）を読むと、これが偶然そうなったのではないことがわかる。IAASBは、不正に関する監査報告書の透明性を高めたいというステークホルダーのニーズに応えるため、不正関連KAMの報告を増やす方向へ監査人を`drive`（導く）する要求事項と適用指針の開発に努めた、と説明している。この段階では、IAASB自身が、不正関連KAMの報告を増やす方向へ監査人を導くことを公開草案の狙いとして説明している。
それでも、最低一件という要求事項にはしなかった。この線引きこそ、ED-240が外部の意見にさらされることになる出発点だった。ED-240のどこにも、一件以上という結果を直接義務づける要求事項はない。一方、要求事項、適用指針、監査報告書の表示を合わせて見ると、不正関連KAMが報告される方向への誘導はかなり強い。
その二つは、本当に両立しているのか。公開草案を受け取った側から、今度はその点が問われることになる。
▶ 第3回へ続く
