宣言した以上は、実行に移さなければならない。例えば、売上や利益を水増しできないように、受発注業務と伝票管理の担当者を別にしたり、後からシステム上で承認プロセスを追跡できるような仕組みを作ったりといった具体的な対策を講じる。
このような内部統制に関する取り組み状況の善し悪しについて評価を下すのは、企業のトップ、経営者である。したがって、もしもこの報告書自体にウソの記載をしたならば、経営者は法を犯したことになり、「懲役5年以下もしくは罰金500万円以下」の刑事罰が科せられる。ただ、経営者の自己申告だけでは、組織ぐるみの不正を防ぎきれない恐れもある。そこで、内部統制報告書を作成するにあたっては、公認会計士などによる監査証明も有価証券報告書に添付する必要がある。もちろん、監査法人に対しても「内部統制の整備・強化」が必要となり、不正のリスクを減らすべく、監督官庁を含めて関係機関が相互に目を光らせることになる。
コストはかかるが企業にとってのメリットも
金融商品取引法は、証券取引法や商品ファンド法、投資顧問業法、金融先物取引法などなど、この国に存在していた数多くの金融商品やそれを取り扱う業者に対する規制を定めた法律を統廃合して一本化したものだ。これほど多くの法律ができたのは、業者や金融商品について管轄する監督官庁が縦割りになっていたのが要因である。この結果、金融商品の規制内容で異なる見解が生まれたり、新しく開発された金融商品に素早く対応できなかったりなど、円滑な取引の促進といった利便性の面や投資家の保護の観点からは不十分だとかねてより指摘されていた。
そこで、法律全体を整理し直して、今日の多様な金融商品取引の実態に合うようにし、プロだけでなく一般投資家も含めた保護の一環として、ディスクロージャーの信頼性を担保する内部統制の整備・強化が進んでいるのだ。
振り返ると2001年以降、米国では企業のエネルギー大手Enronや通信大手WorldComで不正会計事件が発生し、これが発端となって2002年に企業改革法（SOX法）が制定された。すでに、米国で上場しているいくつかの大手日本企業は、この米SOX法に対応する時点で内部統制の整備着手を迫られている。
この米SOX法で、企業が社内のチェック体制を再構築する際にベースなったのが、COSOフレームワークといわれるものだ。COSOとは、トレッドウェイ委員会組織委員会（the Committee of Sponsoring Organization of the Treadway Commission）の略称であり、その委員会が公表した報告書に「Internal Control」という言葉が登場している。それが日本では「内部統制」と翻訳され、今日に至っている。
COSOフレームワークは、内部統制の構成要素として「統制環境」「リスク評価」「統制活動」「情報とコミュニケーション」「モニタリング」の5つをあげている。日本ではこれに「ITへの対応」が加わる。企業における業務プロセスとITの関係、そしてITそのものが適正に開発され、運用されているかを評価するための環境（いわば、IT自体を管理するためのITや人、プロセス）を整備しなければならない。
このような内部統制にともなうコストはかなり膨大である。米SOX法対応の場合では上場企業1社あたり平均して数億円かかったという指摘もあるほどだ。仮にそこまでいかないとしても、内部統制に関する情報開示は決算の度に訪れるため、そのための費用が継続的に発生することになる。企業にとっては負担も大きくデメリットが大きいように見えるが、必ずしもそうではない。
むしろ、「投資家や金融機関などの信頼を得ることで資金調達が有利になる」、「取引先や顧客からの信頼も獲得することでビジネス機会の創出、拡大が可能になる」といった利点も見逃せない。両方を天秤にかけながら、戦略的に取り組もうとする企業の動きが目立ち始めている。
