そして、日本でも今、同様の法律(通称、日本版SOX法)の制定が検討され、準備されている。日本版SOX法については、日本でもいろいろと議論されているので、このコラムでは、米国に住んでいる立場から、米国のSOX法と、それに対して企業がどのようなことをしなければならなかったかについて述べ、来るべき日本版SOX法にどうそなえるべきかを考えていきたい。
米国でも、これまでSOX法に類似した法律がなかったわけではないが、それらは金融や医療関連など、特定業種向けのものが多く、すべての株式上場企業に対し、このような責務を課すものはなかった。そういう意味で、多くの米国企業は、まず何から始めたらよいかもわからず、かなり混乱した、というのが現状である。実はこの混乱を招いた原因には、この法律そのものの曖昧さがあり、その曖昧さゆえに、どこまで内部統制をやればよいかわからず、そのため必要以上の時間と労力、コストをかけてしまったという反省が米国内でも広がっている。
ただ、これにはやむを得なかった事情もある。ひとつにはSOX法があまり詳細な規定をしておらず、そのため、どこまで作業をすべきか、する必要がないかの目安をつけるのが難しかったことがある。SOX法コンプライアンスのための事前作業の支援に多くの外部コンサルタントも利用されたが、彼らも1年目は初めてのことであり、「疑わしきは、ともかくやっておくべき」という対応をしたので、よけいな作業もやってしまった可能性がある。
また、本来ならばツールを使って効率よく作業を実施すべきだったと述べたが、実はそのツールそのものも、SOX法が詳細を明記していないこともあり、十分そろっていなかったのも現状であった。ただ、SOX法コンプライアンスそのものでなくても、そのために必要となる情報セキュリティ関連のツール等はすでに存在していたわけで、打つ手がなかったわけではない。しかし、こちらについても新たなツールを購入し、導入してきちっとした体制を確立することよりも、時間が限られていたため、ともかく監査を通すことに企業は専念してしまった、というのが実態であった。
インターネットが普及して以来、情報セキュリティが注目されるようになったが、それでも十分な情報セキュリティの体制をとっている企業は、日本ではまだまだ少ないといえる。CISO(Chief Information Officer)というタイトルの人間をおき、情報セキュリティに力を入れることは、今や米国では当たり前のことであるが、日本ではまだCISOを置いている企業は少なく、置いている企業でも別な仕事を本業とする人間が形だけ兼務している、というようなことが実態のようだ。