「大和銀行事件」判例が示す内部統制システムの三層構造
内部統制システムを認めた指導的な裁判例が「大和銀行株主代表訴訟事件」（大阪地判平成12年9月20日）である。この判例を分析すると、内部統制システムが三層構造になっていることが示唆されている。少し長いが、同裁判例の該当部分を引用してみよう。
「健全な会社経営を行うためには、目的とする事業の種類、性質等に応じて生じる各種のリスク、例えば、信用リスク、市場リスク、流動性リスク、事務リスク、システムリスク等の状況を正確に把握し、適切に制御すること、すなわちリスク管理が欠かせず、会社が営む事業の規模、特性等に応じたリスク管理体制（いわゆる内部統制システム）を整備することを要する。そして、重要な業務執行については、取締役会が決定することを要するから（現在の会社法362Ⅳ）、会社経営の根幹に係わるリスク管理体制の大綱については、取締役会で決定することを要し、業務執行を担当する代表取締役及び業務担当取締役は、大綱を踏まえ、担当する部門におけるリスク管理体制を具体的に決定するべき職務を負う。この意味において、取締役は、取締役会の構成員として、また、代表取締役又は業務担当取締役として、リスク管理体制を構築すべき義務を負い、さらに、代表取締役及び業務担当取締役がリスク管理体制を構築すべき義務を履行しているか否かを監視する義務を負うのであり、これもまた、取締役としての善管注意義務及び忠実義務の内容をなすものと言うべきである。……後略……」（赤字部分は筆者の強調）
筆者がロースクール（法科大学院）で会社法を講義する際、大和銀行事件判決は内部統制システムをリスク管理体制の意味で用いているが、会社法では、内部統制システムは業務の適正性確保体制として規定を定め、その内容には、リスク管理体制、法令遵守体制、監査体制が含まれること（会社法362条4項⑥、会施規100条等）を指摘してきた。
そのうえで、下線を付記した箇所については、内部統制システムが、
① 取締役会が「基本方針・大綱」（会社経営の根幹に係わるリスク管理体制の大綱。具体的には内部統制の目標の設定、そのための組織の設置等）を決定する
② 会社の業務全般を担当する職務権限を有し、その他の取締役を統括ないし指揮監督する義務を負う代表取締役が、①に基づき「内部統制組織」を構築する
③ 業務担当取締役が「担当部署の具体的な内部統制」を構築する
という三層構造から構成されていることを重要ポイントのひとつと触れることにしていた。
「基本方針・大綱」は取締役、監査役等が取締役会で議論を尽くして決定し、その基本方針のもと、代表取締役が構築する「内部統制組織」、担当取締役が構築する「担当部署の具体的な内部統制」が築き上げられるというわけだ。
会社の事業全般を監視監督するための仕組みである以上、内部統制システムは非常に堅固なことはもちろん、ともすれば静態的であるとも言える。