不正リスクを監査報告書でどう語るのか――ISA 240改訂をめぐる論争
シリーズ第4回／全6回
▶ シリーズの入口へ
前回は、2024年2月に公表された国際監査基準240「財務諸表監査における不正に関する監査人の責任」の改訂公開草案（以下「ED-240」という。）に対して、監査法人側がなぜ異議を唱えたのかを見てきた。
ED-240には、不正に関連するKAM（KAMs related to fraud。以下「不正関連KAM」という。）を少なくとも一つ報告しなければならないとは書かれていない。それでも、不正関連KAMが報告される方向へ基準が強く誘導しているのではないか。監査法人側の懸念は、そこにあった。
ところが、同じED-240に寄せられたコメントレターを別の側から読むと、まったく違う不満が見えてくる。
「強すぎる」のではない。「まだ足りない」というのである。
監査報告書でもっと不正について語るべきだと考えた投資家や規制・監督当局がいた。ただし、彼らも一枚岩ではない。もっと多くの情報を出すべきだという意見がある一方で、書かれた言葉が利用者に誤解され、監査人が実際には与えていない保証まで与えたように受け取られることを警戒する意見もあった。つまり、論争は「不正について報告するか、しないか」だけではなかった。
では、監査報告書で不正についてもっと語ることを求めた人たちは、何を知りたかったのだろうか。そして、どこから先は「語りすぎる」ことになると考えたのだろうか。今回は、不正について監査報告書の透明性を高める方向を支持しながらも、それぞれ異なる境界線を求めたコメントレターをたどってみたい。
CFA Instituteが求めたのは「KAMを増やすこと」ではなかった
投資家が監査報告書に何を期待していたのか。その考え方がよく表れているのが、投資専門家の国際的な団体であるCFA Instituteのコメントレターである。
そのコメントレターは、不正について監査報告書の透明性を高めるというED-240の方向を支持していた。ただ、求めていたのは「不正関連KAMをもっと出してほしい」ということではなかった。
CFA Instituteは監査報告書を、投資家にとって「監査のうち観察できる唯一の部分」と位置付けている。投資家は、監査チームがどこに不正リスクを認識し、どのような議論をして、どのような監査手続を行ったのかを直接見ることはできない。一方、財務諸表の虚偽表示によって損失を被るのは、その財務諸表を使って意思決定する投資家である。だからこそ、監査人が何をしたのかを外から知ることのできる監査報告書には、もっと情報が必要だという。
しかも、CFA Instituteが透明性に期待した効果は、投資家への情報提供だけではなかった。監査報告書で不正について詳しく説明させれば、監査人が不正を発見するために払う努力が高まり、それが経営者やガバナンスに責任を有する者の行動にも影響する。さらに、株主が監査委員会や監査人を評価する材料が増え、最終的には財務諸表や資本市場への信頼にもつながる、と考えていた。監査報告書で何を語らせるかによって、監査そのものが変わる効果まで期待していたのである。
そう考えるCFA Instituteにとって、不正を他のKAMと同じ場所で扱うED-240には物足りなさが残った。KAM制度そのものを否定していたわけではない。むしろ、企業固有の情報によって監査報告書の透明性を高めたものとしてKAMを評価している。それでも、不正については別扱いにすべきだと考えた。
求めたのは、監査報告書の中に不正についての独立したセクションを設けることである。そこに、監査人がリスク評価で識別した`fraud risks`（不正リスク）、それに対する`auditor’s response`（監査人の対応）、さらに`findings and conclusions`（発見事項及び結論）を記載する。これらをこの順番で投資家に見せるということだ。
なぜKAMでは足りないのか。CFA Instituteは、不正関連事項を他のKAMと一緒にすれば、不正の重要性が埋もれる可能性を指摘した。不正関連KAMが加わることで他のKAMが減ることもあり得る。また、異質な事項を一つのKAMセクションに並べれば、かえって内容が見えにくくなるかもしれない。
その背景には、不正を他の監査上の論点とは違うものとして見る投資家側の認識がある。不正は投資家に重大な損失をもたらし、場合によっては投資価値そのものを失わせる。だから、不正に関する監査人の責任は特に重要であり、監査報告書でもそれに見合った扱いをすべきだというのである。
不正について「もっと語る」とは、KAMを一件増やすことではなかった。
CEAOBには、ED-240でもまだ弱かった
投資家側だけではない。監査を監督する側からも、ED-240より強い方向付けを求める意見が出ていた。EU・EEA各国の監査監督当局で構成されるCEAOB（Committee of European Auditing Oversight Bodies）である。
CEAOBは、ED-240を全体として`good step forward`（良い前進）と評価した。そのうえで、不正関連KAMについては、さらに明確に目立たせるべきだとした。適切な小見出しを付けるという提案を支持した。不正に対する公益上の高い関心やステークホルダーの期待を踏まえれば、不正関連事項はKAMの中で`always be highlighted`（常に目立つように示されるべき）だというのである。
さらに強いのが、不正関連KAMが一つもない場合についての考え方だった。ED-240では、上場企業の監査で少なくとも一つの不正関連KAMが選ばれないことは`may be rare`（まれであると考えられる）として提案されていた。CEAOBは、実務上の報告状況を踏まえて「ゼロ件側を例外として明確化する」ことを求めた。監査人が不正に関するKAMはないと判断することは`exceptional situations`（例外的な状況）に限られるべきであり、また、不正関連KAMを一つも開示しないことこそ`the exception`（例外）だと、より明確に示すべきだとしたのである。
背景には、監査規制当局としての検査経験があった。CEAOBによれば、不正関連KAMが報告されていないケースは、実務上、残念ながら「rare」ではない。その認識に立って、CEAOBは、「ゼロ件は稀かもしれない」とするED-240の表現よりも踏み込み、不正関連KAMが一つも開示されないことを明確に例外として位置付けるよう求めたのである。
その姿勢は、ED-240の別の適用指針への反応にも表れている。不正による重要な虚偽表示リスクであっても、監査人が特に注意を払う必要がなかったと判断すればKAMの候補にならない場合がある、という説明について、CEAOBは`wrong signal`（誤ったメッセージ）を送るものだと批判した。一部の不正リスクには監査人の特別な注意が必要ないかのように読めるとして、ISA 240と国際監査基準701の双方から削除するよう求めたのである。
監査法人側が「強く誘導しすぎる」ことを問題にしたのに対し、CEAOBが気にしたのは、その逆だった。監査人の判断によって、不正リスクが監査報告書まで上がってこない余地が残ることである。
しかも、CEAOBが求めたのは、不正リスクをKAMとして表に出すことだけではなかった。CEAOBは、すでに不正について監査報告書で情報提供している国々の初期的な経験にも触れている。そこでは、不正リスクと監査人が実施した手続は報告されている一方、その不正リスクについて監査から得られた`findings and conclusions`（発見事項及び結論）は報告されていないという。
そこで、IAASBに対し、不正についての発見事項、さらには不正リスクについての発見事項と結論まで監査人に報告させるべきか検討するよう求めた。同時に、そうした報告が定型的な記載に流れないための方法も考えるべきだとしている。「何をしたのか」だけでなく、「その監査で何が分かったのか」までだ。
CEAOBから見れば、ED-240は不正関連KAMを報告する方向へ進んではいた。しかし、不正関連KAMが監査報告書に現れない余地はまだあり、たとえ現れても、その先にある発見事項や結論までは利用者に届かない。その意味で、ED-240でもまだ弱かったのである。
IOSCOは「もっと報告せよ」と「そこまでは言うな」を両立させた
では、不正について監査報告書でもっと語ることを支持した側は、みな同じ方向を向いていたのだろうか。いや、そうではない。各国・地域の証券規制当局で構成されるIOSCO（証券監督者国際機構）のコメントレターを見ると、そのことがよくわかる。
IOSCOは、監査報告書における不正関連事項の透明性を高めるIAASBのアプローチを`generally supportive`（概ね支持する）としていた。ただし、具体的な仕組みについては、ある部分をもっと強くするよう求める一方、別の部分は削除すべきだとした。強化を求めたのは、不正関連事項をKAMとして報告するための方向付けであった。
ED-240の適用指針では、不正に関連する事項は`often`（しばしば）監査人が特に注意を払う事項となり、そのような事項は`ordinarily`（通常）当年度の監査において最も重要な事項になることが示されていた。IOSCOは、この考え方を適用指針に置いておくだけではなく、要求事項そのものに組み込むことを提案した。
ところが、もう一つの透明性向上策には反対した。ED-240は、上場企業の監査で不正関連KAMが一つもないと監査人が判断した場合、その旨を監査報告書に記載することを求めていた。いわゆる`negative statement`（不正関連KAMがない旨の記載）である。IOSCOは、この要求を削除するよう求めた。
理由は`expectation gap`（期待ギャップ）であった。「不正関連KAMはない」という明示的な記載があると、利用者は、監査人が不正について何らかの追加的な保証を与えたと受け取る可能性がある。IOSCOは、財務諸表全体に不正による重要な虚偽表示がないかについて監査人が提供する合理的保証を超えて、より高い水準の保証が与えられていると推測されるおそれを懸念したのである。
不正関連KAMはもっと表に出す。しかし、「ない」ということまで積極的には語らせない。
IOSCOが線を引いたのは、`negative statement`が単に情報を一つ増やすだけでは済まないからである。「不正関連KAMはない」という記載が、不正そのものがなかったことについて監査人が何らかの保証を与えたかのように読まれれば、かえって期待ギャップを広げるおそれがある。
透明性を高めれば、それでよいわけではない。IOSCOが気にしたのは、書いた一文が、監査人の保証していないことまで保証したように読まれることだった。
利用者側にもあった「誤解される」という懸念
規制当局だけではない。財務諸表を実際に利用する側からも、似た懸念が出ていた。Corporate Reporting Users’ Forum（CRUF）である。
CRUFは、投資家やアナリストなど企業報告の利用者によるネットワークである。ED-240へのコメントでは、不正とそれに対する監査人の対応について情報を提供することは、財務諸表利用者にとって`relevant and useful`（関連性があり、有用）だと評価した。
また、CFA Instituteのように不正について独立したセクションを設けることまでは求めていない。CRUFは、不正リスクに関連する事項をKAMで扱うED-240の提案を評価していた。KAMという既存の仕組みを使って、不正についてより多くの情報を利用者に伝えるという方向には賛成していたのである。
ただ、そこに`fraud`という言葉が現れたとき、利用者がどう受け取るかを気にした。
ED-240の適用指針では、不正による重要な虚偽表示リスクはしばしば監査人が特に注意を払う事項となり、そのような事項は通常、当年度の監査において最も重要な事項になることが示されていた。CRUFはこの記述から、上場企業の監査では少なくとも一つの不正関連KAMが報告されることが想定されていると読んだ。
しかし、不正関連KAMが報告されたからといって、その企業で実際に不正があったことを意味するわけではない。不正が疑われているという意味でもない。CRUFは、この区別が十分に理解されない可能性を問題にした。
コメントレターでは、不正についてKAMで言及することは、その企業に不正又は不正の疑いがあることをまったく意味しないとしたうえで、ED-240の方向付けを維持するのであれば、不正関連KAMの意味についてステークホルダーに十分な教育を行うことが不可欠だと指摘している。不正についてもっと知りたい利用者自身が、「不正」と書かれた監査報告書が誤解されることを心配していたのである。
この点には、監査法人側の懸念との接点がある。ただし、結論は同じではない。
CRUFは、誤解される可能性を理由に、不正関連KAMの報告を抑えるよう求めたわけではなかった。不正関連情報は利用者にとって有用であり、KAMを使う方法にも賛成する。そのうえで、不正関連KAMが何を意味し、何を意味しないのかを、利用者が正しく理解できるようにすべきだと考えた。
同じ「誤解される」という懸念を見ながら、監査法人側は強い誘導そのものを問題にしたのに対して、CRUFは報告を進めながら誤解を防ぐ方法を求めたのである。
争点は「報告するか」ではなく「どこまで語るか」だった
ここまでのコメントレターを並べると、監査報告書の透明性をめぐる議論には、二つの軸があったことが見えてくる。
一つは、監査人がどこまでの情報を語るのかである。不正について監査報告書に現れる情報は、段階を追って深くなり得る。監査人がどのような不正リスクを重要と考えたのか。そのリスクにどう対応したのか。さらに、その監査から何が分かったのか。
不正リスク → 監査人の対応 → 発見事項及び結論
CFA InstituteとCEAOBが押し広げようとしたのは、この情報の深さだった。ED-240がKAMの枠組みを使って不正関連事項と、それに監査でどう対応したのかを見えるようにする方向へ進んだのに対し、その先にある`findings and conclusions`まで利用者に伝えることを視野に入れたのである。
もう一つは、書かれた情報が利用者にどう読まれるのかという軸である。IOSCOとCRUFが示した懸念は、情報を増やすこと自体への反対ではなかった。むしろ、いずれも不正関連情報の透明性を高める方向を支持している。それでも、「不正関連KAMはない」と書けば、不正がないことまで保証したように読まれるかもしれない。「不正関連KAM」と書けば、実際に不正があったように読まれるかもしれない。
ここでは、情報を増やすことと、その情報が正しい意味で伝わることが、必ずしも同じではなくなる。「どこまで語るか」と「どう読まれるか」は、別の問題だったのである。
こうして見ると、ED-240をめぐる論争は、「透明性を高めるべきか」という一つの問いには収まらない。透明性を高めるとして、監査人が知ったことのどこまでを利用者と共有するのか。そして、その情報によって、監査人が実際には示していないことまで示したように受け取られないか。監査報告書で不正について「もっと語る」という方向を支持した側にも、その先に引こうとした境界線には違いがあったのである。
「強すぎる」と「まだ足りない」の間で
前回見た監査法人側の懸念は、ED-240が不正関連KAMを報告する方向へ強く誘導しすぎている、というものだった。
一方、今回取り上げたコメントレターからは、同じED-240に別の注文が付いた。もっと深く情報を出すべきだという意見がある一方、書き方によっては監査人の保証の意味まで違って受け取られかねないという慎重論もあった。求められた境界線は、一つではなかったのである。
では、IAASBはどこに線を引いたのか。
コメント募集を終えたIAASBは、これらの意見を踏まえてED-240を再審議することになる。「強すぎる」という批判を受けて方向付けを弱めたのか。「まだ足りない」という要求には、どこまで応えたのか。
次回は、ED後の再審議と最終版ISA 240（改訂）をたどりながら、IAASBがどの批判を受け入れ、どの批判を退けたのかを見ていきたい。
▶ 第5回へ続く
