J-SOXとは何か｜内部統制報告制度の全体像

「J-SOX対応」と聞くと、まず思い浮かぶのは、3点セットの作成やRCMの整備、評価調書づくり、監査法人への資料提出といった実務ではないでしょうか。

もちろん、これらはJ-SOX対応を構成する大切な要素です。ただ、J-SOXを「資料をそろえる作業」として捉えてしまうと、本来向き合うべき論点を見失いやすくなります。

J-SOXの本質は、会社が自ら作成する財務報告について、どのような業務、権限、確認、承認、証跡、IT、モニタリングによって信頼性を確保しているのか。それを経営者自身が評価し、外部に説明する仕組みにあります。

言い換えれば、J-SOXは、監査法人に提出する資料を整えるだけの制度ではありません。会社の数字が、どの業務から生まれ、誰によって承認され、どの証跡に基づき、どのように決算・開示へつながっているのか。それを説明できる状態にするための制度なのです。

本記事では、シリーズの入口として、J-SOXとは何か、内部統制報告制度は何を目的としているのか、そして経営者評価と内部統制監査はどのような関係にあるのかを整理していきます。評価範囲の具体的な決め方や3点セットの作り方、整備評価・運用評価の詳細にはあえて深入りせず、まずは制度全体の輪郭をつかんでいただくことを目的とします。

J-SOXとは、財務報告に係る内部統制を経営者が評価し、監査を受ける制度

J-SOXとは、一般に、金融商品取引法に基づく「財務報告に係る内部統制報告制度」を指します。

制度上は、上場会社等が、財務計算に関する書類その他の情報の適正性を確保するために必要な体制を評価し、内部統制報告書を提出する仕組みです。内部統制報告書は金融商品取引法第24条の4の4を根拠とし、内部統制監査については同法第193条の2第2項が関係します。
出典：e-Gov法令検索｜金融商品取引法

この制度は、2008年4月1日以後に開始する事業年度から適用されています。金融庁・企業会計審議会が2023年4月7日に公表した資料でも、上場会社を対象に、財務報告に係る内部統制について経営者による評価と公認会計士等による監査を求める制度として説明されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

実務では、おおむね次のような枠組みで会社の内部統制を整備・評価していきます。

区分	内容
制度目的	財務報告の信頼性を確保する
評価主体	経営者
報告書	内部統制報告書
監査主体	公認会計士または監査法人
監査報告	内部統制監査報告書
実務上の対象	全社的内部統制、決算・財務報告プロセス、業務プロセス統制、IT統制など
実務上の成果物	評価範囲資料、3点セット、RCM、評価調書、証跡、是正管理資料など

ここで押さえておきたいのは、J-SOXは「会社のすべての業務を完璧に管理する制度」ではないということです。

制度の中心にあるのは、あくまで財務報告の信頼性です。売上、売掛金、棚卸資産、固定資産、引当金、税効果、連結、開示といった、財務報告に影響する情報が、信頼できるプロセスを通じて作成されているか。そこが問われます。

とはいえ、財務報告は経理部だけで完結するものではありません。売上は販売プロセスから、仕入や原価は購買・在庫・生産プロセスから、人件費は人事労務プロセスから、資金情報は財務・銀行取引から、連結数値は子会社・グループ管理から生まれてきます。

だからこそJ-SOX対応は、結果として、会社の業務フロー、権限設計、証跡管理、ITシステム、子会社管理、決算・開示体制と深く結びついていくことになります。

J-SOXの目的は「投資家に安心してもらうため」だけではない

J-SOXの制度目的を一言でいえば、財務報告の信頼性を高めることです。

上場会社は、投資家、金融機関、取引先、従業員、その他の利害関係者に対して、有価証券報告書などを通じて、会社の財政状態、経営成績、キャッシュ・フローの状況を説明します。

その財務報告が信頼できなければ、投資家は適切な判断を下せません。金融商品取引法が企業内容等の開示制度を整えているのも、投資家保護と公正な市場形成のためです。
出典：e-Gov法令検索｜金融商品取引法

ただ、J-SOXを投資家保護の制度としてだけ理解してしまうと、その実務上の意味をやや狭く捉えることになります。

財務報告の信頼性を確保することは、実は社内にとっても重要です。というのも、外部に提出する数字が信頼できない会社では、社内で使っている数字もまた、経営判断の土台として不安定である可能性が高いからです。

たとえば、次のような状態では、内部統制報告制度への対応以前に、経営判断そのものが揺らぎます。

状態	経営上の影響
月次決算が遅い	問題の把握が遅れ、投資・採用・資金繰りの判断が後手になる
売上計上の根拠が曖昧	業績の実態、債権回収リスク、監査対応に不安が残る
承認権限が不明確	重要取引や支払に対する責任の所在が説明しにくい
証跡が残っていない	実施した統制を後から説明できない
子会社の決算資料が不安定	連結財務諸表やグループ管理の信頼性が下がる
IT権限や変更管理が曖昧	システム処理結果の信頼性を説明しにくい

J-SOX対応とは、こうした状態を一つひとつ整え、会社の数字を「後から説明できる状態」へ近づけていく取り組みでもあります。

その意味でJ-SOXは、守りの制度対応であると同時に、決算早期化、開示品質の向上、業務標準化、権限移譲、内部監査の高度化、子会社管理の改善へとつながり得る、経営管理上のテーマだといえます。

内部統制とは、会社の目的達成を支えるプロセスである

J-SOXを理解するには、まず「内部統制」という言葉を整理しておく必要があります。

内部統制というと、チェック、承認、牽制、ルール、規程、監査対応といった言葉が思い浮かびます。しかし、内部統制は単なるチェック作業ではありません。

金融庁・企業会計審議会の内部統制基準では、内部統制は、4つの目的を達成するために業務へ組み込まれ、組織内のすべての者によって遂行されるプロセスであり、6つの基本的要素から構成されるものとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

内部統制の4つの目的は、次のとおりです。

目的	内容
業務の有効性及び効率性	事業活動の目的達成のため、業務の有効性・効率性を高める
報告の信頼性	組織内外への報告の信頼性を確保する
事業活動に関わる法令等の遵守	法令その他の規範の遵守を促進する
資産の保全	資産の取得、使用、処分が正当な手続・承認の下で行われるようにする

内部統制の6つの基本的要素は、次のとおりです。

基本的要素	意味
統制環境	組織の気風、経営者の姿勢、権限・職責、取締役会・監査役等の機能など
リスクの評価と対応	目標達成を阻害するリスクを識別・分析・評価し、対応を選択するプロセス
統制活動	承認、照合、職務分掌、レビューなど、方針・手続を実行する活動
情報と伝達	必要な情報が適時・適切に伝達される仕組み
モニタリング	内部統制が有効に機能しているかを継続的または個別に評価する活動
ITへの対応	IT環境の理解、IT利用・統制、システムに関する統制対応

この枠組みを理解すると、J-SOX対応でよく話題にのぼる「承認印があるか」「チェックリストがあるか」「評価調書を作ったか」といった論点が、内部統制のごく一部にすぎないことが見えてきます。

承認印があっても、承認者が何を確認したのか分からなければ、統制としては弱くなります。チェックリストがあっても、リスクに対応していなければ形式的です。規程があっても、実際の業務が規程と異なっていれば、整備された統制とは言いにくいでしょう。

内部統制は、業務に組み込まれて初めて機能するものなのです。

2023年改訂で強調されたのは、評価範囲・不正リスク・IT・ガバナンスとの接続

J-SOXを理解するうえでは、2023年の内部統制基準・実施基準の改訂も押さえておきたいところです。

金融庁は2023年4月7日、企業会計審議会による「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」を公表しました。続く2023年8月31日には、「内部統制報告制度に関するQ&A」および「内部統制報告制度に関する事例集」の改訂も公表しています。
出典：金融庁｜『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』の公表について
出典：金融庁｜『内部統制報告制度に関するQ&A』等の改訂について

改訂基準・改訂実施基準は、2024年4月1日以後に開始する事業年度における財務報告に係る内部統制の評価及び監査から適用されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

この改訂で重要なのは、J-SOX対応が「従来の基準を機械的に当てはめればよい」という方向ではなくなった、という点です。

とりわけ、次の点は実務上の影響が大きいと考えられます。

改訂・強調された論点	実務上の意味
「財務報告の信頼性」から「報告の信頼性」への概念拡張	内部統制の基本的枠組みとしては非財務情報を含む報告の信頼性が意識される。ただし、J-SOXの評価・報告対象は引き続き財務報告の信頼性が中心
評価範囲の重要性判断	「売上高等のおおむね3分の2」や「売上・売掛金・棚卸資産の3勘定」を機械的に適用すべきではない
不正リスクへの対応	リスク評価において不正リスクを考慮する重要性が明確化された
ITへの対応	IT委託業務、クラウド、サイバーリスク、情報システムのセキュリティがより重要になった
経営者による内部統制の無効化	経営者または業務責任者が統制を無視・無効化するリスクへの対応が重視された
監査役等・内部監査人の役割	監査役等、内部監査人、監査人との連携や情報入手の重要性が明確化された
内部統制とガバナンス・全組織的リスク管理	内部統制をガバナンスやERMと一体で整備・運用する重要性が示された

ここから見えてくるのは、J-SOX対応において、形式的な文書整備や前年踏襲の評価だけでは不十分になりつつある、ということです。

特に評価範囲については、過去の数値基準をそのまま当てはめるのではなく、会社の事業、組織、取引、子会社、IT環境、会計上の見積り、不正リスクを踏まえた説明が求められるようになっています。

この点は、専門家がJ-SOX対応を支援する場面でも大切になります。単に「前年の評価範囲を更新する」のではなく、「なぜその範囲で財務報告リスクをカバーできるのか」を説明できることが必要なのです。

経営者評価とは何か

J-SOXでは、経営者が自社の財務報告に係る内部統制を評価します。

ここでいう経営者評価とは、経営者が自社の内部統制について「財務報告の信頼性を確保するうえで有効に整備・運用されているか」を判断し、その結果を内部統制報告書として外部に報告することを指します。

もっとも実務上は、経営者自身がすべての評価作業を手で行うわけではありません。通常は、経理・財務部門、内部監査部門、J-SOX担当部門、情報システム部門、各業務部門、子会社担当者などが関与します。

それでも、制度上の評価責任は経営者にあります。

したがってJ-SOX対応では、担当者が評価調書を作成するだけでは不十分です。経営者が自社の内部統制評価の前提を理解し、評価範囲、重要な不備、是正状況、監査法人との重要な協議事項を把握できる状態にしておくことが欠かせません。

経営者評価では、一般に次のような流れで検討を進めます。

ステップ	内容
1. 基本方針の決定	評価の基準日、評価対象、体制、スケジュールを決める
2. 評価範囲の決定	重要な事業拠点、勘定科目、業務プロセス、IT統制を選定する
3. 文書化	業務記述書、フローチャート、RCMなどで業務・リスク・統制を整理する
4. 整備評価	統制がリスクに対応するよう設計されているか確認する
5. 運用評価	統制が一定期間、継続して実施されているか証跡で確認する
6. 不備判定	不備の重要性を検討し、補完統制や影響範囲を評価する
7. 是正・フォロー	不備の原因、対応策、責任者、期限を管理する
8. 内部統制報告書作成	評価結果を内部統制報告書に反映する

この流れを見れば、J-SOX対応が経理部門だけで完結しないことが分かります。

販売、購買、在庫、固定資産、人件費、資金、決算、開示、IT、子会社といった業務が、財務報告の信頼性に影響する限り、それぞれの業務部門が関わってくるのです。

内部統制報告書とは何を書く書類か

内部統制報告書は、経営者による内部統制評価の結果を外部に報告するための書類です。

内部統制府令上、内部統制報告書には、財務報告に係る内部統制の基本的枠組みに関する事項、評価の範囲・基準日・評価手続に関する事項、評価結果に関する事項、付記事項、特記事項などが記載されます。
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令

ここで実務上大切なのは、内部統制報告書は単なる最終書類ではない、ということです。

内部統制報告書に「有効」と記載するためには、その背後に、評価範囲の検討、業務プロセスの理解、統制の設計、証跡の確認、不備の集計、是正状況の管理が存在していなければなりません。

内部統制報告書の記載自体は、短く見えるかもしれません。しかし、その記載を支える実務は広範に及びます。

とりわけ、次の点が整理されていないと、内部統制報告書の作成段階や監査法人対応で手戻りが生じやすくなります。

手戻りが生じやすい論点	典型的な問題
評価範囲	なぜ対象に含めたのか、なぜ除外したのかを説明できない
3点セット	業務実態と文書が一致していない
RCM	リスクと統制の対応関係が曖昧
証跡	統制を実施した事実が残っていない
IT統制	会計システムや業務システムのアクセス権限・変更管理が不明確
子会社管理	子会社の決算資料や統制状況を親会社が説明できない
不備判定	不備の重要性や補完統制の有無を整理できない

内部統制報告書は、結果だけを記載する書類ではありません。会社がどのように財務報告の信頼性を支えているかを、要約して示す書類なのです。

内部統制監査とは何を監査するのか

J-SOXでは、経営者が作成した内部統制報告書について、公認会計士または監査法人による監査証明を受けることが求められます。

内部統制監査は、会社のすべての内部統制を監査法人が直接評価するものではありません。基本的には、経営者が作成した内部統制報告書が、一般に公正妥当と認められる内部統制の評価の基準に準拠しているか、そして財務報告に係る内部統制の評価について、すべての重要な点において適正に表示しているかを監査するものです。

日本のJ-SOXでは、米国SOX法におけるようなダイレクト・レポーティングは採用されていません。つまり、監査人が会社の内部統制の有効性そのものについて直接意見を表明するのではなく、経営者による評価結果の表示の適正性について意見を表明する構造になっています。

ただし実務では、監査法人は経営者評価の妥当性を検討する過程で、評価範囲、キーコントロール、整備状況、運用状況、証跡、不備判定、是正状況などを確認していきます。

また2023年改訂では、監査人が財務諸表監査の過程で入手した監査証拠を内部統制監査にも活用すること、評価範囲について経営者と必要に応じて協議すること、財務諸表監査の過程で評価範囲外から内部統制の不備を識別した場合には内部統制報告制度への影響を考慮することが、それぞれ明確化されました。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

こうした点を踏まえると、内部統制監査への対応では、監査法人から求められた資料を提出するだけでなく、会社として次の点を説明できる状態にしておく必要があります。

説明すべき事項	実務上のポイント
評価範囲	重要性とリスクを踏まえた根拠があるか
キーコントロール	財務報告リスクに対して本当に効いているか
整備評価	統制の設計がリスクに対応しているか
運用評価	証跡により継続運用を確認できるか
不備判定	影響額、質的重要性、補完統制を検討しているか
是正状況	原因分析、対応策、期限、再評価が管理されているか

監査法人対応で重要なのは、「資料があること」ではなく、「判断過程を説明できること」です。

J-SOX対応の対象は、経理部門だけではない

J-SOX対応を経理部門や内部監査部門だけの仕事と考えてしまうと、実務はうまく回りません。

財務報告は、会社全体の業務から生まれてくるものだからです。

売上は営業・販売・請求・回収のプロセスから生まれます。棚卸資産は購買・入出庫・生産・実地棚卸・評価のプロセスから生まれます。人件費は人事マスタ、勤怠、給与計算、賞与、社会保険、退職給付のプロセスから生まれます。開示資料に至っては、経理、財務、経営企画、法務、IR、子会社など、複数の部門の情報を集約して作成されます。

そのためJ-SOX対応では、各部門が次のような役割を担うことになります。

関係者	主な役割
経営者	内部統制の整備・運用、評価結果の最終責任
経理・財務部門	決算・財務報告プロセス、会計処理、開示基礎資料の整備
内部監査部門	経営者評価の実施、独立的評価、改善フォロー
業務部門	日常業務に組み込まれた統制の実施、証跡作成
情報システム部門	アクセス権限、変更管理、システム運用、IT統制
子会社・グループ会社	連結パッケージ、親会社報告、子会社統制の運用
監査役等	取締役の職務執行、内部統制システム、監査法人・内部監査との連携
監査法人	内部統制報告書に対する監査、財務諸表監査との一体的な検討
外部専門家	論点整理、評価範囲検討、文書化、改善設計、監査法人対応支援

なかでも、内部監査部門の役割は重要です。

内部監査部門は、評価調書を作るだけの部署ではありません。会社のリスクを把握し、統制が実際に機能しているかを確認し、不備があれば改善につなげていく役割を担います。

監査法人との関係でも同じことがいえます。内部監査部門の評価品質が高ければ、社内での論点整理や監査対応は円滑に進みやすくなります。逆に、評価手続が属人化し、調書品質が不安定で、証跡の確認が甘い場合には、監査法人対応で手戻りが増えやすくなります。

J-SOX対応でよくある誤解

J-SOX対応では、制度の入口でいくつかの誤解が生じやすいものです。

誤解1：3点セットを作ればJ-SOX対応は終わる

3点セットは、たしかに重要です。業務記述書、フローチャート、RCMは、業務、リスク、統制を整理するうえで欠かせません。

しかし、3点セットは統制そのものではありません。

業務記述書に書かれている承認が実際には行われていない。フローチャートと実務が食い違っている。RCMに記載された統制の証跡が残っていない。こうした状態では、文書はあっても、内部統制は機能していないことになります。

3点セットは、監査法人に提出するための資料ではありません。会社が自社の業務とリスクを説明するための、共通言語なのです。

誤解2：前年と同じ評価範囲でよい

事業内容、組織、システム、子会社、取引、会計方針、監査法人指摘が変わっていないのであれば、前年の評価範囲が一定の参考になることはあります。

しかし、評価範囲は毎年見直す必要があります。

2023年改訂でも、重要な事業拠点や業務プロセスの選定にあたって、例示された数値基準や3勘定を機械的に適用すべきではないことが明確化されました。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

新規事業、M&A、子会社化、海外展開、システム導入、決算体制の変更、会計上の見積りの重要化、不正リスクの顕在化などがあれば、そのつど評価範囲の見直しが必要になります。

誤解3：監査法人が決めてくれる

評価範囲を決定するのは経営者です。監査法人は、独立性を保持しながら、必要に応じて協議し、指導的機能を発揮する立場にあります。

監査法人からのコメントはもちろん重要です。しかし、会社側が自らリスクと重要性を検討し、自社の判断として評価範囲を説明できなければなりません。

「監査法人に言われたから」という理由だけでは、経営者評価としての説明力は弱くなってしまいます。

誤解4：統制を増やせばよい

内部統制は、多ければよいというものではありません。

統制を増やしすぎると、現場の負荷が増え、実施されない統制が生まれ、形式的なチェックがふくらんでいきます。その結果、本当に重要な統制が埋もれてしまうこともあります。

大切なのは、財務報告リスクに対して有効な統制を、現場で継続運用できる形で設計することです。

過剰統制も、統制不足も、どちらもJ-SOX対応上の問題になり得ます。

誤解5：J-SOXは上場コストでしかない

J-SOX対応には、たしかに一定の負荷がかかります。文書化、評価、証跡管理、監査法人対応、内部監査体制の整備には、時間もコストも必要です。

しかし、J-SOX対応をうまく経営管理体制へ接続できれば、単なるコストでは終わりません。

業務フローが整理されれば、属人化は減ります。承認権限が明確になれば、権限移譲がしやすくなります。証跡が整えば、監査対応や金融機関対応が進めやすくなります。決算プロセスが整えば、決算早期化につながります。子会社管理が整えば、グループ経営の説明力が高まります。

J-SOX対応は、会社の信頼性と判断力を高める機会にもなり得るのです。

J-SOXを経営管理体制につなげる視点

J-SOX対応で整えるべきものは、制度対応のための資料だけではありません。

本来、J-SOX対応は、会社の経営管理体制と接続して考えるべきものです。

J-SOX対応の論点	経営管理上の意味
業務フローの整理	業務の属人化を減らし、引継ぎや標準化をしやすくする
権限設計	承認責任を明確にし、現場への権限移譲を進めやすくする
証跡管理	後から説明できる数字と判断過程を残す
決算プロセス統制	決算の手戻りを減らし、開示品質を高める
IT統制	システム処理結果やデータの信頼性を確保する
子会社管理	グループ全体の数字と統制状況を親会社が把握する
内部監査	課題を早期に発見し、改善サイクルを回す
不備管理	問題を放置せず、原因分析と再発防止につなげる

この視点を持つと、J-SOX対応は、決算や開示の最後に行う確認作業ではなく、日常業務から決算・開示までをつなぐ仕組みづくりへと姿を変えていきます。

たとえば、決算が遅い会社では、単体決算、連結決算、開示業務が縦割りになっていることがあります。業務の「手待ち」「手戻り」「重複」が生じ、開示基礎資料も分断されがちです。こうした状態では、J-SOX対応でも、統制の証跡が後追いになり、評価手続も重くなってしまいます。決算早期化の実務では、最終成果物から逆算して決算・開示業務を組み立てる「森を見る視点」が重要だとされますが、J-SOX対応でも、まさに同じ視点が求められます。

また、業務フローを理解することは、適切な内部統制の整備、全体最適化、専門家としての指導、業務フロー構築へと直結します。J-SOX対応でフローチャートを作る意味は、図を作ること自体ではなく、業務上のリスクと統制の必要性を理解することにあるのです。

J-SOX対応を経営管理に活かせている会社では、次のような問いが自然に出てくるようになります。

問い	意味
この数字は、どの業務プロセスから生まれているか	財務報告と業務実態の接続
この統制は、どのリスクに効いているか	RCM・キーコントロールの妥当性
誰が、何を見て、承認しているか	権限・職務分掌・レビュー証跡
後から第三者に説明できる証跡があるか	監査対応・開示対応・不備対応
統制は現場で継続運用できるか	過剰統制・形骸化の防止
子会社やITを含めて説明できるか	グループ経営・IT統制への接続

この問いに答えられる状態こそ、J-SOX対応が実務上めざすゴールです。

J-SOX対応の入口で確認すべきこと

J-SOX対応を導入・見直しする場合は、詳細な手続に入る前に、まず次の点を確認しておくことが重要です。

確認事項	確認の観点
制度対象	上場会社、上場準備会社、グループ会社としての位置づけ
財務報告プロセス	単体決算、連結決算、開示資料作成の流れ
評価範囲	重要な事業拠点、勘定科目、業務プロセス、IT統制
業務フロー	販売、購買、在庫、固定資産、人件費、資金などの主要プロセス
文書化	業務記述書、フローチャート、RCMの有無と更新状況
証跡	承認、照合、レビュー、例外処理の証跡が残っているか
IT	アクセス権限、変更管理、運用管理、外部委託、クラウド利用
子会社	連結パッケージ、親会社レビュー、子会社統制の把握状況
内部監査	評価担当者、独立性、調書品質、フォローアップ体制
監査法人対応	指摘事項、協議履歴、未解決論点、今後のスケジュール
経営管理接続	月次決算、予算管理、経営会議、開示品質との関係

この確認をしないまま3点セット作成や評価手続に入ると、表面的には作業が進んでいるように見えても、後で大きな手戻りが発生しやすくなります。

とりわけ上場準備会社では、J-SOX対応を「上場後に必要になる制度」として後回しにしてしまうと、監査法人、主幹事証券、取引所審査、上場後運用の各段階で、課題が一気に顕在化することがあります。IPO準備の実務では、N-2期、N-1期、申請期にわたって、管理体制の整備、内部統制の整備評価・運用評価、決算体制の確認が段階的に求められます。だからこそ、早い段階から上場会社レベルの安定運用を意識しておく必要があるのです。

J-SOXは「合理的な保証」であり、完全性の保証ではない

内部統制には、限界があります。

どれだけ統制を整えても、すべての誤りや不正を完全に防止・発見できるわけではありません。担当者の誤解、判断ミス、共謀、経営者による統制の無効化、予期しないシステム障害、外部環境の変化などにより、内部統制が十分に機能しないこともあります。

そのため、内部統制は「絶対的な保証」ではなく、「合理的な保証」を得るための仕組みとして位置づけられています。

ここを誤解すると、J-SOX対応は過剰統制に傾きやすくなります。すべてを細かくチェックし、すべてに承認を求め、すべてを二重三重に確認する。そうした設計は、一見すると安全に見えるかもしれません。

しかし、そのような統制は現場で続けられず、やがて形骸化していくおそれがあります。

大切なのは、会社のリスク、規模、業務特性、人的体制、IT環境、監査上の重要性を踏まえて、必要十分な統制を設計することです。

内部統制は、会社を止めるための仕組みではありません。会社が安心して前に進むための仕組みなのです。

J-SOXの全体像を一言で整理する

J-SOXとは何か。

制度としては、上場会社等が財務報告に係る内部統制を経営者自身で評価し、内部統制報告書として開示し、その報告書について公認会計士または監査法人の監査を受ける制度です。

実務としては、評価範囲を定め、業務プロセスとリスクを整理し、統制を設計し、証跡を残し、整備評価・運用評価を行い、不備を判定・是正していく取り組みです。

そして経営管理としては、会社の数字、業務、権限、証跡、IT、子会社、内部監査、監査法人対応をつなぎ、後から説明できる会社にしていくための基盤づくりだといえます。

J-SOX対応は、資料を作ることでは終わりません。

会社が自らの財務報告について、「なぜこの数字になったのか」「どの業務から生まれたのか」「誰が確認したのか」「どの証跡で説明できるのか」「どのリスクに対応しているのか」を説明できる状態にしていく。そこにこそ、J-SOX対応の本質があります。

J-SOX対応に不安がある場合に整理すべき論点

J-SOX対応について専門家に相談する前には、少なくとも次の論点を整理しておくと、課題の所在が見えやすくなります。

論点	確認すべきこと
制度理解	J-SOXを文書化対応ではなく、財務報告の信頼性を支える仕組みとして理解しているか
評価範囲	重要性とリスクに基づいて説明できるか
業務フロー	実際の業務と文書が一致しているか
統制設計	リスクに対して有効な統制が設計されているか
証跡管理	実施した統制を後から説明できる証跡が残っているか
IT統制	会計・業務システムのアクセス権限、変更管理、運用管理を説明できるか
決算・開示	開示基礎資料、リードシート、レビュー、承認が整理されているか
子会社管理	子会社の決算・業務・IT統制を親会社が把握できているか
内部監査	評価体制、調書品質、改善フォローが機能しているか
監査法人対応	指摘事項、協議事項、未解決論点を整理できているか

J-SOX対応の課題は、一つひとつが単独で発生しているように見えて、実際には複数の問題がつながっていることが少なくありません。

証跡不足の背景に、業務フローの未整備がある。決算遅延の背景に、子会社パッケージの品質問題がある。監査法人対応の手戻りの背景に、評価範囲の説明不足がある。IT統制の不備の背景に、経理部門と情報システム部門の責任分担の曖昧さがある。

こうした構造を整理することが、J-SOX対応を前へ進める第一歩になります。

まとめ｜J-SOX対応は、説明できる会社づくりである

J-SOXは、内部統制報告制度への対応として始まります。

しかし実務上は、決算・開示体制、業務フロー、権限設計、証跡管理、IT統制、子会社管理、内部監査、監査法人対応、経営管理体制と、深くつながっています。

J-SOX対応を形式的に進めてしまうと、文書はあるが運用されない、評価範囲の説明ができない、証跡が残らない、監査法人対応で手戻りが生じる、決算・開示の品質改善につながらない、といった状態に陥りがちです。

一方で、J-SOXを「説明できる会社づくり」として捉えれば、制度対応は、会社の管理体制を見直す絶好の機会になります。

大切なのは、次の問いを持ち続けることです。

問い	J-SOX上の意味
何のための統制か	財務報告リスクへの対応
どのリスクに効いているか	RCM・キーコントロールの妥当性
誰が実施し、誰が確認するか	職務分掌・権限設計
どの証跡で説明できるか	運用評価・監査対応
現場で継続できるか	過剰統制・形骸化の防止
決算・開示・経営管理にどうつながるか	制度対応を経営基盤へ接続する視点

J-SOX対応に不安がある場合、最初に取り組むべきことは、資料を一気に作り直すことではありません。

まずは、現在の評価範囲、業務フロー、統制、証跡、IT、子会社管理、監査法人指摘、決算・開示体制を整理し、どこに手戻りの原因があるのかを見極めること。ここから始めるのが得策です。

犬飼公認会計士・税理士事務所では、J-SOX対応を、単なる文書作成やチェックリスト対応としてではなく、財務報告の信頼性、決算・開示体制、業務フロー、証跡管理、経営管理体制をつなぐ実務課題として整理しています。

J-SOX対応の導入・見直し、評価範囲の整理、3点セット・RCMの見直し、監査法人対応、内部監査体制の整備、決算・開示体制との接続に課題を感じておられる場合は、まずは現在の状況と論点を整理するところから、お気軽にご相談ください。

この記事の振り返り

項目	要点
J-SOXとは	金融商品取引法に基づき、財務報告に係る内部統制を経営者が評価し、内部統制報告書を提出し、監査を受ける制度
制度目的	財務報告の信頼性を確保すること
経営者評価	経営者が内部統制の整備・運用状況を評価し、結果を報告する
内部統制監査	監査法人が内部統制報告書の表示の適正性について監査する
内部統制の4目的	業務の有効性・効率性、報告の信頼性、法令等の遵守、資産の保全
内部統制の6要素	統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応
2023年改訂のポイント	評価範囲の機械的適用の見直し、不正リスク、IT、ガバナンス、監査役等・内部監査人の役割が重視された
実務上の注意点	3点セット作成だけでは不十分。統制の目的、リスク、証跡、運用可能性を説明できる必要がある
経営管理との接続	J-SOX対応は、決算早期化、開示品質、業務標準化、権限移譲、子会社管理、内部監査高度化にもつながる
相談前に整理すべきこと	評価範囲、業務フロー、証跡、IT統制、子会社管理、監査法人指摘、決算・開示体制の現状