不正リスクを監査報告書でどう語るのか――ISA 240改訂をめぐる論争
シリーズ第3回／全6回
2024年6月、Deloitteが国際監査基準240「財務諸表監査における不正に関する監査人の責任」の改訂公開草案（以下「ED-240」という。）に提出したコメントレターには、少し引っかかる一節がある。
Deloitteは、ED-240が不正に関連するKAM（KAMs related to fraud。以下「不正関連KAM」という。）を少なくとも一つ報告しなければならないことを明示的な要求として提案しているわけではない、と認めている。
ところが、そのうえで、A170項とA176項の表現は、“an implicit requirement to include at least one fraud KAM” （少なくとも一つの不正関連KAMを含めるという暗黙の要求）と解釈されかねない、と指摘した。要求されていない。それなのに、「暗黙の要求」だという。
Deloitteが挙げたのは、A170項の`ordinarily`（通常）と、A176項の`rare`（稀）、`certain limited circumstances`（一定の限定的な状況）だった。不正に関連する事項の一つ以上は通常、監査において最も重要な事項となる。不正関連KAMが一つもないという判断は稀で、そうした判断があり得るのは一定の限定的な状況だとされていた。さらに、ゼロ件と判断した場合には、その旨を監査報告書に記載することの要求も提案されていた。
こうして並べると、Deloitteが問題にしたものが少し見えてくる。ED-240の提案は、監査人から「不正関連KAMはない」と判断する余地を奪ってはいない。しかし、その判断を、ほかの結果と同じように中立的に置いていたわけでもない。これはDeloitteだけの特殊な読み方ではなかった。
同じ懸念を、三つの監査法人が違う言葉で表した
EYは、ED-240のA170項について、不正関連KAMを監査人が識別することが求められているとの`required presumption`（要求を伴う推定）があるように解釈され得ると指摘した。KPMGも、ED-240の61項と62項によって、不正関連KAMが監査報告書に`always expected`（常に含まれることが期待されている）と監査チームが受け取る可能性を懸念した。
Deloitteの`implicit requirement`、EYの`required presumption`、KPMGの`always expected`。三つ監査法人の表現は異なる。ただ、いずれもED-240に「少なくとも一つの不正関連KAMを報告しなければならない」というshallの要求事項があると主張していたのではない。懸念していたのは、そのような明文の要求がなくても、監査人の判断が一件以上を選ぶ方向へ事実上押されるのではないかという点だった。
三社が懸念していたのは、明文の最低件数があるかどうかではない。監査人がKAMを絞り込む際に、「不正関連KAMは一件以上あるはずだ」という前提が持ち込まれ、その結果として国際監査基準701（ISA 701）による絞り込みの仕方自体が変わってしまうのではないか、という点だった。
もっとも、不正関連KAMがゼロ件という結論は制度上残されている。それでも、不正関連KAMがあることを通常の結果として想定する書きぶりになれば、監査人がKAMを絞り込む際に、「一件以上あるはずだ」という前提に近いものが持ち込まれることにならないか。
この懸念は、単なる件数論では終わらない。KAMには、もともとISA 701の下で「何が当年度の監査において最も重要であったのか」を絞り込む仕組みがある。不正関連KAMを一件以上生じさせる方向への誘導が強くなれば、その既存の絞り込み過程そのものに影響するのではないか。EYとKPMGが次に問題にしたのは、そこだった。
問題は「一件」という数字ではなかった
ISA 701では、監査役等とコミュニケーションを行った事項の中から、監査人が特に注意を払った事項を決定し、さらにその中から、当年度の財務諸表監査において「最も重要であった事項」をKAMとして選ぶ。ある事項が不正による重要な虚偽表示リスクに関係しているだけで、自動的にKAMになるわけではない。ほかの事項との比較を経て絞り込む。この絞り込みの仕組みに、監査人の職業的判断が組み込まれている。
EYは、ED-240によって、KAMの選定プロセスが二重になるように読まれることを懸念した。KAMを決定するプロセスはISA 701に一つだけ置かれるべきであるため、不正関連KAMについてISA 240に`a separate parallel process`（別個に並行して行うKAM選定プロセス）を設けるべきではない、としたのである。
KPMGも、ED-240の61項と62項について、ISA 701によるKAMの決定とは`separate and additional`（別個かつ追加的）なプロセスを作るように解釈され得ると指摘した。仮に、不正に関連する事項よりも、複雑な会計上の見積りや大規模な企業結合の方が当年度の監査で重要だったとする。ISA 701による比較の結果、不正に関連する事項がKAMに残らないことはあり得る。そこへ不正関連KAMを生じさせる方向から別の力が加われば、「最も重要であった事項」を比較して選ぶという判断はどうなるのか。
`parallel process`（並行プロセス）という批判が意味していたのは、単に二つの基準書にKAMについての規定が置かれるという形式上の問題ではなかった。ISA 701が求めるのは、その監査で何が相対的に最も重要だったのかという判断である。その結論に対して、ISA 240の側から不正という属性を理由に特定の方向付けを加えることが、その判断のあり方を変えてしまわないか。EYとKPMGはそこを問題にしていた。
では、IAASBは本当に、不正について別のKAM選定プロセスを作ろうとしていたのだろうか。
同じ絞り込みを使うはずだった
2023年6月の不正タスクフォース資料を見ると、監査法人が懸念した`parallel process`とは少し違う姿が見える。
不正タスクフォースは、ISA 701を`foundational standard`（基礎となる基準）と位置付け、要求事項も`In applying ISA 701`（ISA 701を適用するに当たり）という形で組み立てていた。不正関連KAMについても、通常のKAMと`the same filtering mechanism`（同じ絞り込みの仕組み）を使うと明記している。つまり、不正だけに別のKAM絞り込みの仕組みを設けようとしていたわけではなかった。
前回見たように、その一方で不正タスクフォースは、不正関連KAMが報告される方向へ監査人の判断を強く促そうとしていた。最低一件を要求事項として義務づけるのではなく、ISA 701の絞り込みを残したまま、その結果として不正関連KAMが現れやすくなるよう制度を組み立てようとしていたのである。
もし不正関連KAMについて、ISA 701とは別の絞り込みの仕組みを設けていたのであれば、「不正だけに別のKAM選定プロセスを作った」という監査法人の批判は、そのまま当てはまる。だが、不正タスクフォースが考えていたのはそうではない。同じ絞り込みの仕組みを使いながら、そこから不正関連KAMが生じる方向へ強く誘導する、という設計だった。
2023年6月の不正タスクフォース資料には、この二つが並んで示されていた。「少なくとも一つ」を要求事項として義務づけるのではなく、ISA 701と同じ絞り込みの仕組みを使う。その一方で、不正関連KAMが報告される方向へ監査人を強く導き、少なくとも一つの報告を促す。
この組み合わせであれば、ISA 701による絞り込みの結果としてゼロ件となる余地は形式上残る。それでも、不正関連KAMが報告される方向へ強いシグナルを送ることはできる。不正タスクフォースの起草は、そのような構造になっていた。
一方、監査法人側は、その両立に疑問を投げかけた。同じ絞り込みを使っていても、そこから生じる結果をあらかじめ強く方向付ければ、「何が当年度の監査において最も重要であったのか」という比較に影響しないのかと。
そして、監査人がその方向付けを受けて「何か一つ」を選ぼうとしたとき、次の問題が現れる。
その先にボイラープレートがあった
KPMGが挙げたのは、経営者による内部統制の無効化、仕訳入力、収益認識だった。ISA 240は、経営者による内部統制の無効化に起因するリスクへの対応をすべての監査で求め、その一環として仕訳入力等の検討を要求している。また、収益認識については、不正による重要な虚偽表示リスクが存在すると推定することを求めている。
こうした基準上あらかじめ強く意識される領域は、不正関連KAMを一件以上報告する方向への誘導が強まったとき、選ばれやすい候補になり得る。KPMGは、その結果としてKAMが特定の領域へ収斂することを懸念した。
KAMは、その企業の当年度の監査において最も重要であった事項を伝えるためのものである。ところが、「何か一つ」を選ぼうとする力が働く結果、選びやすい不正関連事項へ収斂すれば、その企業、その年度の監査に固有の事情を伝えるはずのKAMがボイラープレート化しかねない。職業的判断への強い方向付けという問題の先に、ボイラープレートすなわち企業ごとの差が乏しい定型的な記載となる問題があった。
興味深いのは、PwCである。PwCは、Deloitte、EY、KPMGとは異なり、ED-240の透明性に関する質問に`Agree, with comments below`（賛成。ただし、以下のとおりコメントあり）と回答していた。不正に関する透明性を高めるため、独立した不正セクションを設けるのではなく既存のKAMを使うことを、`reasonable and pragmatic solution`（合理的かつ実務的な解決策）と評価している。
そのPwCも、特定の不正関連事項がボイラープレート化されたKAMになることには警戒した。根拠の一つとして挙げたのが、英国とオランダでの経験だった。KAM導入後、経営者による内部統制の無効化や収益認識などがKAMとして報告されたものの、こうした`presumed KAMs`（KAMとなることがあらかじめ想定された事項）について利用者から価値が乏しいとのフィードバックがあった。そのため、多くの監査法人がその後こうした扱いから離れていったという。PwCは、ED-240によって同じ状況が再び生じることを懸念した。
PwCのコメントを加えると、ボイラープレートへの懸念と、不正関連KAMそのものへの賛否を分けて考える必要があることが分かる。KAMを使って透明性を高めるという制度選択には賛成しながら、特定の不正関連事項へKAMが収斂することを懸念する立場もあり得た。
しかも、ボイラープレート化の危険を認識していたのは監査法人だけではなかった。不正タスクフォースは2022年12月の段階で、経営者による内部統制の無効化や収益認識への対応ばかりが不正関連KAMとして報告される可能性を意識していた。そのため、それ以外の企業固有の事項にも目を向けるよう起草を工夫していた経緯があった。2023年6月の論点資料でも、ISA 701の適用を通じて企業固有のKAMを記載してきた経験を、不正関連KAMにも生かせるとの見方を示している。
ボイラープレートを避けたいという点では、両者に大きな隔たりはなかった。違ったのは、その原因と処方箋である。監査法人側は、不正関連KAMが生じる方向へ強く誘導すれば、経営者による内部統制の無効化や収益認識のような事項が選ばれやすくなり、結果としてKAMが特定の領域へ収斂するとみた。
一方、不正タスクフォースはすでに制度設計の段階で、ISA 701の絞り込みの仕組みを維持し、企業固有の記載を促すことでボイラープレート化を避けようとしていた。ただ、企業固有に書くことにも限界がある。とりわけ「不正」ではなく、まだ「不正の疑い」にとどまる事項をKAMとして扱う場合である。
「不正の疑い」をKAMにしたとき、誰が最初に語るのか
EYは、不正を申し立てる空売り投資家のレポートや内部通報を例に挙げている。こうした申立てを受けて調査を行った結果、疑いに根拠がないと判明しても、その調査への対応が監査人による重要な注意を必要とすることはあり得る。
不正は確認されなかったが、その疑いへの対応が監査人による重要な注意を必要としたのであれば、KAMの選定対象となる可能性は残る。そこでEYが問題にしたのが、とりわけ、その申立てが内部通報などによるもので、会社自身も外部に公表していない場合だった。
KAMは、監査人が企業についての情報を最初に公表するための制度ではない。企業に関する情報を利用者へ提供する第一義的な責任は経営者にある。だからこそ、ISA 701も、監査人による`original information`、すなわち企業について監査人が初めて提供する情報の提供はKAMの目的ではないという考え方を採っている。それでも、不正の疑いに対して監査人が何を行ったのかを企業固有に説明しようとすれば、なぜその手続が必要になったのかにも触れざるを得ないことがある。会社が公表していなければ、監査人がその疑いを最初に外部へ伝えることになり得る。
EYは、調査の結果として疑いに根拠がないと判断された場合であっても、監査報告書への記載が企業の評判に影響し、法的な紛争につながる可能性を指摘した。さらに懸念は、監査報告書が公表された後の影響だけにとどまらなかった。不正又は不正の疑いを監査人へ伝えれば、それがKAMとして外部へ公表されるかもしれないと経営者や監査役等が考えるようになれば、監査人への情報提供をためらう可能性があるという。EYは、率直で開かれたコミュニケーションへの意図しない影響まで問題にしていた。
これは、ボイラープレートとは反対側にある難しさだった。一般的な記載にとどめれば、その企業の監査について何を伝えたいのかが薄くなる。これに対して、企業固有に書こうとすれば、監査人が企業についての未公表情報を語る領域へ踏み込むことがある。とりわけ「不正の疑い」は、監査についての透明性を高めることと、企業情報の最初の発信者にならないこととの境界を曖昧にする。
もちろん、不正の疑いに重要な注意を払っただけでKAMになるわけではない。ISA 701の絞り込みを通じて、当年度の監査において最も重要であった事項かどうかを判断する余地は残っている。ただ、その余地が実際にどの程度残るのかという問題は、ゼロ件と判断した場合の扱いにも表れていた。ED-240は、その判断を認める一方で、監査報告書に何も書かずに終えることは認めない提案を行っていた。
「ゼロなら書け」は職業的判断を守ったのか
ED-240の64項は、不正関連KAMがないと監査人が判断した場合、その旨を監査報告書のKAMセクションに記載するよう求めていた。いわゆる`negative statement`（不正関連KAMがない旨の記載）である。
KPMGは、この一文が利用者に別の意味で受け取られることを懸念した。「不正関連KAMはない」という記載から、監査人が不正による重要な虚偽表示リスクを識別しなかった、あるいは不正に対応する監査手続を実施しなかった、さらには企業に重要な不正が存在しない、と受け取られる可能性があるという。
PwCは、別の角度から、その記載がKAMの絞り込みそのものに及ぼす影響を指摘した。`negative statement`が誤解されるリスクを避けるため、本来ならKAMに含めなかった不正関連事項まで報告するように監査人を促しかねないという。ゼロ件という結論は選べても、その結論にだけ追加の記載が伴うのであれば、一件以上を選ぶ場合と同じ重みを持つ選択肢とは限らない。
この仕組みは、冒頭で見たDeloitteの`implicit requirement`という言葉を別の角度から浮かび上がらせる。この点でDeloitteが問題にしたのは、明文上は残されているゼロ件という選択が、適用指針や`negative statement`によって実務上選びにくくなるのではないか、という制度構造への懸念だった。
だからといって、ED-240が実質的なminimum-one requirement（少なくとも一件の不正関連KAMを要求する規定）だったと結論付けることもできない。`negative statement`には、別の説明が成り立つからである。
不正関連KAMが何も記載されていなければ、利用者には、監査人が検討した結果としてゼロ件と判断したのか、それとも不正関連KAMについて検討されなかったのかが見えない。ゼロ件という判断を監査報告書に明示することは、その判断自体を利用者から見えるようにする仕組みとも捉えられる。
ED-240は、ISA 701に基づいて不正関連KAMをゼロ件と判断する余地を残していた。その一方で、不正関連KAMが生じる方向へ監査人を強く促し、ゼロ件と判断した場合には、その旨を監査報告書に記載することを求めていた。
職業的判断は残っている。だが、その判断が置かれた条件まで中立だったわけではない。
ISA 701による職業的判断を残したまま、基準設定主体は、その判断を自らが意図する結果へどこまで強く誘導してよいのか。監査法人側がED-240に突きつけたのは、この問いだった。
では、監査報告書の利用者や規制当局は、監査法人が問題視したこの方向付けを、どう見ていたのだろうか。
