J-SOX対応というと、販売、購買、在庫、固定資産、人件費、資金、決算・開示といった個別の業務プロセス統制に、どうしても目が向きがちです。
もちろん、財務報告に直結する業務プロセス統制は重要です。売上計上の承認、仕入計上の照合、棚卸差異の確認、支払承認、決算レビュー、開示基礎資料の確認。こうした統制が機能しなければ、財務報告の信頼性は支えられません。
しかし、個別の統制だけを丁寧に整えても、会社全体の統制環境が弱いままであれば、J-SOX対応は安定しません。
承認ルールはあるものの、実際には例外承認が多い。
職務分掌は定めているが、少人数体制のため牽制が効いていない。
内部通報窓口はあるが、財務報告に影響するリスク情報が経営層や監査部門まで届かない。
取締役会や監査役等への報告はあるが、不備や是正状況まで踏み込んだ議論には至っていない。
子会社の決算・業務・ITの統制状況を、親会社として十分に説明できない。
こうした状態では、業務プロセスごとの統制を文書化しても、監査法人・内部監査・経営層・現場に対して「なぜこの統制が有効といえるのか」を説明しにくくなります。
第五テーマ「全社的内部統制とガバナンス」で扱うのは、J-SOX対応を支える会社全体の土台です。ここでいう土台とは、経営者姿勢、組織体制、権限設計、職務分掌、コンプライアンス、内部通報、リスク情報の伝達、モニタリング、そして全社統制評価の実効性を指します。
このテーマで理解できること
このテーマを通じて整理していただきたいのは、「個別統制の前に、会社全体として何を整える必要があるのか」という視点です。
全社的内部統制は、単なる質問票やチェックリストではありません。会社がどのような価値観で業務を行い、誰にどの権限を与え、どのリスクを把握し、問題が起きたときにどこへ情報を伝え、誰が是正状況を追うのか。会社全体の管理姿勢そのものが問われる領域です。
J-SOX対応では、個別業務プロセス統制の整備・運用評価だけでなく、その前提となる統制環境や情報伝達の仕組みまで説明できる必要があります。金融庁の2023年改訂意見書でも、内部統制報告制度の実効性に関する懸念として、評価範囲外で開示すべき重要な不備が明らかになる事例や、内部統制の有効性評価が訂正される際に十分な理由が開示されていない事例が見受けられることが示されています。あわせて、COSO報告書の改訂を踏まえ、内部統制とガバナンスや全組織的なリスク管理との関連性、さらには不正に関するリスクへの対応が重視されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
また、金融庁は2023年8月に「内部統制報告制度に関するQ&A」と「内部統制報告制度に関する事例集」も改訂しています。J-SOX対応を検討する際は、旧来の文書化実務だけを前提とするのではなく、現行の基準・実施基準・Q&A・事例集を踏まえた理解が出発点になります。
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について
全社統制を整える目的は、会社を形式的に縛ることではありません。現場が判断でき、経営層が監督でき、内部監査が評価でき、監査法人に説明できる。その状態を作ることにあります。
全社統制が弱い会社で起こりやすい問題
全社統制が弱い会社では、個別統制の不備が繰り返されやすくなります。
たとえば、販売プロセスで売上計上の承認統制を整えたとしても、経営層から売上目標達成への過度な圧力がかかっていれば、期末の例外処理や押込み販売のリスクは残ります。購買プロセスで発注承認ルールを定めても、職務権限規程が古く、実際の承認者が規程と異なっていれば、統制としての説明力は弱くなります。決算レビューを実施していても、重要な会計判断が経理担当者任せになり、取締役会や監査役等へ適切に報告されていなければ、全社としての監督機能に疑問が残ります。
つまり、全社統制は個別統制の外側にある抽象的な論点ではありません。むしろ、個別統制が機能するかどうかを左右する前提そのものです。
このテーマでは、全社統制を次の5つの入口から整理していきます。
- 統制環境
- 権限・職務分掌
- 経営者による内部統制無効化
- コンプライアンス・内部通報・リスク情報の伝達
- 全社統制評価の実効性
このテーマで扱わないこと
第五テーマで焦点を当てるのは、全社的内部統制とガバナンスです。
そのため、販売・購買・在庫・固定資産・人件費・資金といった個別業務プロセス統制の詳細は、第七テーマ「主要業務プロセス統制」で扱います。IT全般統制、IT業務処理統制、電子証跡、クラウド・外部委託先管理の詳細は、第八テーマ「IT統制・システム・データ管理」で取り上げます。整備評価、運用評価、不備判定、是正管理といった具体的な評価実務は、第九テーマ「整備評価・運用評価・不備判定・是正」の範囲です。
また、会計不正や開示訂正が発生した後の原因分析・再発防止の詳細は、第十三テーマ「会計不正・開示訂正・重大不備への備え」へ接続します。
このテーマが担うのは、個別論点を深掘りする前に、会社全体としてどのような統制環境を整えるべきかを俯瞰することです。
推奨する読む順番
第五テーマは、次の順番でお読みいただくことをおすすめします。
まず「5-1. 全社的内部統制とは何か」で、全社統制がJ-SOX対応全体の土台であることを押さえます。次に「5-2. 権限設計・職務分掌とJ-SOX」で、承認・牽制・証跡の前提となる権限設計を確認します。そのうえで「5-3. 経営者による内部統制無効化への備え」に進み、通常の承認統制だけでは対応しにくい経営者・上位者関与リスクを整理します。
続く「5-4. コンプライアンス・内部通報・リスク情報の伝達」では、問題を早期に把握するための情報伝達ルートを確認します。最後に「5-5. 全社統制の評価で見落としやすい論点」で、全社統制評価が前年踏襲や質問票回答で形骸化しないための視点を確認します。
この順番でたどれば、全社統制の基本理解から、権限・不正リスク・情報伝達・評価上の落とし穴まで、段階的に整理できるはずです。
5-1. 全社的内部統制とは何か
「全社的内部統制とは何か」は、第五テーマの入口となる基本コラムです。
このコラムでは、全社統制を単なる全社質問票や管理部門のチェック項目としてではなく、個別業務統制が有効に機能するための土台として整理します。統制環境、リスク評価、情報伝達、モニタリング、経営者姿勢、組織体制といった論点を、J-SOX実務でどのように見ればよいのかを扱います。
お読みいただきたいのは、全社統制評価が毎年同じ質問票で終わっている会社、全社統制と業務プロセス統制の関係が整理できていない会社、そして監査法人から「全社統制の実効性」を問われたときに説明しにくい会社です。
ここで押さえておきたいのは、全社統制は「会社全体に統制があるか」を抽象的に確認するものではなく、個別業務プロセス、決算・開示、IT、内部監査、子会社管理に影響する前提条件だという点です。
5-2. 権限設計・職務分掌とJ-SOX
「権限設計・職務分掌とJ-SOX」では、全社統制のなかでも、承認権限と牽制機能に焦点を当てます。
J-SOX対応では、承認統制やレビュー統制を設定する場面が数多くあります。しかし、その前提となる職務権限規程や職務分掌が実態と合っていなければ、個別統制の有効性は説明しにくくなります。
このコラムで扱うのは、権限規程、承認権限、例外承認、牽制、兼務、少人数体制における代替統制などを、J-SOX上どのように整理すべきかという論点です。
特に、成長途中の会社、IPO準備会社、子会社を増やしている会社、バックオフィスが少人数で回っている会社では、理想的な職務分掌をそのまま当てはめることが難しい場合もあります。重要なのは、正論としての分掌を掲げることではなく、リスクに応じて現実に回る牽制と証跡を設計することです。
承認権限が曖昧な会社、稟議規程と実務がずれている会社、兼務が多く職務分掌に不安がある会社に適したコラムです。
5-3. 経営者による内部統制無効化への備え
「経営者による内部統制無効化への備え」は、全社統制のなかでも避けて通れない、厳しい論点を扱うコラムです。
内部統制は、通常の業務担当者による誤謬や不正を防ぐために設計されます。しかし、経営者や上位者が統制を無効化する場合には、通常の承認統制だけでは十分に機能しないことがあります。
このコラムでは、経営者姿勢、取締役会・監査役等の監督、内部通報、異常取引、関連当事者取引、例外承認といった観点から、経営者関与リスクにどう備えるかを整理します。
この論点は、経営者を疑うためのものではありません。むしろ、経営者自身が会社の信頼性を守るために、どの判断をどの会議体で審議し、どの証跡を残し、誰が監督するのかを明確にするためのものです。
不正リスク、例外取引、関連当事者取引、重要な会計判断、上位者による承認の形骸化に不安がある会社は、このコラムから読み始めると、課題の輪郭が見えやすくなります。
5-4. コンプライアンス・内部通報・リスク情報の伝達
「コンプライアンス・内部通報・リスク情報の伝達」で扱うのは、問題を起こさない仕組みだけでなく、問題を早期に把握する仕組みです。
内部統制は、予防統制だけで成り立つものではありません。どれだけ規程を整えても、現場で例外、違反、誤謬、不正兆候、システム障害、子会社の問題が発生する可能性は残ります。重要なのは、その情報が現場で止まらず、経営層、内部監査、監査役等、そして必要に応じて監査法人との協議まで届くことです。
東京証券取引所のコーポレートガバナンス・コード原則2-5は、従業員等が不利益を懸念することなく、違法または不適切な行為・情報開示に関する情報や真摯な疑念を伝えられるようにし、内部通報に係る適切な体制整備を行うべきとしています。また、取締役会には、体制整備の責務と運用状況の監督が求められています。
出典：東京証券取引所｜コーポレートガバナンス・コード
このコラムでは、内部通報、リスク情報の伝達、コンプライアンス研修、経営層報告、是正フォローを、J-SOXの全社統制としてどのように捉えるかを整理します。
現場のリスク情報が経営層に届かない会社、内部通報制度はあるものの財務報告リスクとの接続が弱い会社、コンプライアンス研修が形式化している会社に適したコラムです。
5-5. 全社統制の評価で見落としやすい論点
「全社統制の評価で見落としやすい論点」は、第五テーマの締めくくりとなる、注意点のコラムです。
全社統制評価では、質問票の回答だけで評価が完了したように見えることがあります。しかし、規程があることと、規程が実際に機能していることは違います。会議体が開催されていることと、重要なリスクや是正状況が審議されていることも、また違います。内部通報制度があることと、通報情報が客観的に検証され、必要な是正に結びついていることも同じではありません。
このコラムでは、規程の実効性、会議体運用、教育、内部通報、モニタリング、子会社管理、是正状況など、全社統制評価で見落としやすい論点を扱います。
全社統制評価が前年踏襲になっている会社、質問票はあるが証跡や改善状況の確認が弱い会社、監査法人から全社統制の評価深度について指摘を受けている会社であれば、このコラムで評価の見直しポイントを確認できます。
課題別の読み方
全社統制の全体像が曖昧だと感じている場合は、まず5-1から読むのが適しています。全社統制がなぜ業務プロセス統制の前提になるのかを理解したうえで5-2以降に進むと、個別論点の意味が整理しやすくなります。
承認権限や職務分掌の曖昧さが課題であれば、5-2を先に読むとよいでしょう。稟議、承認、例外処理、兼務、少人数体制での牽制をどう考えるかが見えてきます。
経営者や上位者が関与する取引、関連当事者取引、例外承認、重要な会計判断に不安がある場合は、5-3が入口になります。通常の業務担当者向けの統制とは異なる観点が必要になるためです。
現場のリスク情報が上がってこない、内部通報制度が形式化している、コンプライアンス研修が実務に効いていない。そう感じる場合は、5-4を読むことで、予防と発見の両面から課題を整理できます。
毎年の全社統制評価が前年踏襲になっている、評価調書はあるが実効性の説明に不安がある。こうした場合は、5-5が、質問票評価から一歩進んだ確認観点を整理する助けになります。
第五テーマと他テーマのつながり
第五テーマは、シリーズ全体のなかで「範囲決定と統制設計」の土台に位置します。
第三テーマ「評価範囲・重要性・リスクアプローチ」で評価範囲を決める際にも、全社統制の状況は重要です。全社統制が弱い場合、評価範囲を狭く説明することは難しくなります。
第四テーマ「3点セット・RCM・文書化と証跡管理」で個別統制を文書化する際にも、権限設計や職務分掌が前提になります。承認者や実施者が曖昧なままRCMを作っても、統制の実効性は説明しにくいままです。
第六テーマ「決算・財務報告・開示プロセス統制」では、経営層、取締役会、監査役等、経理部門、開示担当者の役割整理が重要になります。全社統制が弱いと、決算・開示統制も属人化しやすくなります。
第十テーマ「内部監査・監査役等・監査法人との関係整理」では、全社統制を誰が監督し、誰が評価し、誰に報告するのかを整理します。第五テーマで扱う統制環境やリスク情報の伝達は、内部監査・監査役等・監査法人対応と密接につながる領域です。
第十三テーマ「会計不正・開示訂正・重大不備への備え」では、全社統制の弱さが不正や重大不備にどうつながるかを扱います。経営者による内部統制無効化、内部通報、モニタリング、是正フォローは、平時のJ-SOX対応だけでなく、有事対応の前提にもなります。
全社統制は、会社の管理姿勢を外部に説明する仕組みである
全社統制を整えるというと、規程を増やし、会議体を設け、研修を実施し、チェックリストを作ることだと受け止められがちです。
しかし、J-SOX対応として重要なのは、制度を増やすことではありません。会社として何を重要リスクと捉え、どの権限で意思決定し、誰が実行し、誰が確認し、問題があればどこへ報告し、どう是正するのか。それを説明できる状態にすることです。
東京証券取引所のコーポレートガバナンス・コードは、コーポレートガバナンスを、会社が株主をはじめ顧客・従業員・地域社会等の立場を踏まえたうえで、透明・公正かつ迅速・果断な意思決定を行うための仕組みとしています。また、取締役会には、企業戦略等の方向性を示し、経営陣幹部による適切なリスクテイクを支える環境整備を行い、独立した客観的立場から実効性の高い監督を行う役割が示されています。
出典：東京証券取引所｜コーポレートガバナンス・コード
J-SOXは、ガバナンスそのものを全面的に評価する制度ではありません。制度上の中心は、あくまで財務報告に係る内部統制です。ただし、財務報告の信頼性を、経営者姿勢、権限設計、リスク情報の伝達、内部監査、監督機関の関与と切り離して考えることはできません。
その意味で、第五テーマは、J-SOX対応を会社の管理体制へ接続するための重要な入口だといえます。
全社統制を見直すときの基本姿勢
全社統制の見直しでは、理想的な統制を一気に導入しようとするのではなく、会社の成熟度、人的制約、事業の複雑性、子会社の有無、IT環境、監査法人からの指摘状況を踏まえて優先順位をつけることが重要です。
たとえば、まずは職務権限規程と実際の承認運用のズレを整理する。次に、重要な会議体で財務報告リスクや是正状況が報告されているかを確認する。さらに、内部通報や内部監査で把握された問題が、決算・開示・J-SOX評価へ接続されているかを確認する。
このように、全社統制は「理想論としてのガバナンス」ではなく、「会社の現実から見て、どこを整えれば説明可能性が高まるか」という観点で設計する必要があります。
過剰な統制は現場を疲弊させます。一方で、統制が不足すれば、決算遅延、監査対応の手戻り、不備の拡大、子会社管理の弱さ、開示品質の低下につながります。重要なのは、リスクに応じた統制水準を見極め、継続して運用できる形に落とし込むことです。
全社的内部統制・ガバナンスの見直しをご検討の方へ
全社統制評価が毎年同じ質問票で終わっている。
承認権限や職務分掌が実態と合っていない。
内部通報やリスク情報が、経営層・内部監査・監査役等に十分届いていない。
経営者による内部統制無効化や例外承認のリスクを、どこまでJ-SOX上整理すべきか判断に迷っている。
監査法人から、全社統制の実効性や証跡について指摘を受けている。
IPO準備、M&A後の子会社管理、決算早期化、開示品質向上を見据えて、会社全体の管理体制を見直したい。
このような課題は、個別の評価調書を修正するだけでは解決しにくい領域です。規程、権限、会議体、内部通報、内部監査、子会社管理、IT、決算・開示、不備是正を横断して、会社としてどこまで説明できる状態にするかを整理する必要があります。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる文書化・チェックリスト対応ではなく、会社が自らのリスク、権限、数字、判断、証跡を説明できる状態へ整える取り組みとして支援しています。
全社的内部統制とガバナンスの見直し、監査法人指摘への対応、IPO準備会社の内部管理体制整備、子会社管理を含むJ-SOX対応について整理したいとお考えの場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。
振り返り｜第五テーマで整理する重要事項
| 項目 | このテーマでの位置づけ | 次に読む詳細コラム |
|---|---|---|
| 全社的内部統制 | 個別業務統制が有効に機能するための会社全体の土台 | 5-1. 全社的内部統制とは何か |
| 統制環境 | 経営者姿勢、組織体制、リスク意識、監督機能を含む前提条件 | 5-1、5-3 |
| 権限設計 | 承認統制、レビュー統制、証跡管理の前提となるルール | 5-2. 権限設計・職務分掌とJ-SOX |
| 職務分掌 | 不正・誤謬を防ぐ牽制機能。少人数体制では代替統制の検討が必要 | 5-2 |
| 経営者による内部統制無効化 | 通常の承認統制だけでは防ぎにくい重要リスク | 5-3. 経営者による内部統制無効化への備え |
| 内部通報 | 問題を早期に把握する発見統制。独立性と運用状況が重要 | 5-4. コンプライアンス・内部通報・リスク情報の伝達 |
| リスク情報の伝達 | 現場、経営層、内部監査、監査役等、監査法人協議をつなぐ仕組み | 5-4 |
| モニタリング | 統制が実際に機能しているかを継続的に確認する仕組み | 5-5. 全社統制の評価で見落としやすい論点 |
| 子会社管理 | 親会社が子会社の統制状況を説明できるかというグループ統制の入口 | 5-5、12テーマ |
| 全社統制評価 | 質問票ではなく、実際の運用・証跡・是正状況を見る評価 | 5-5 |
| このテーマの到達点 | J-SOXを会社全体の説明力・判断力・監督機能へ接続すること | 5-1から5-5まで順に確認 |