J-SOX対応を進めていくと、評価範囲、3点セット、RCM、キーコントロール、整備評価、運用評価、不備判定といった実務用語が次々に出てきます。
ただ、これらの手続を正しく理解するには、その前提として押さえておきたいものがあります。それが、内部統制の「4つの目的」と「6つの基本的要素」です。
J-SOXは、広い意味での内部統制のすべてを評価する制度ではありません。金融商品取引法上の内部統制報告制度は、あくまで財務報告に係る内部統制を対象とする制度です。
とはいえ、財務報告に係る内部統制だけを切り離して考えることもできません。売上、在庫、固定資産、人件費、資金、連結、開示といった財務報告の数字は、日々の業務、権限、証跡、IT、組織文化、リスク管理から生まれてくるものだからです。
だからこそ、J-SOXを形式的な制度対応で終わらせないためには、内部統制の4目的・6要素を単なる用語として覚えるのではなく、会社の数字と業務を説明するための判断軸として理解しておくことが大切になります。
本記事では、内部統制の4目的・6要素を整理したうえで、J-SOXがその中でどこに位置づくのか、そして実務上どのように使えばよいのかを解説します。
内部統制とは、会社の目的達成を支える「業務に組み込まれたプロセス」である
内部統制という言葉は、現場ではしばしば「チェック」「承認」「牽制」「規程」「監査対応」といった意味合いで使われます。
たしかに、それらも内部統制の一部です。ただ、内部統制は個別のチェック作業そのものを指すわけではありません。
金融庁・企業会計審議会の内部統制基準では、内部統制を次のように位置づけています。すなわち、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全という4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内のすべての者によって遂行されるプロセスであり、6つの基本的要素から構成されるもの、という整理です。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
この定義で特に押さえておきたいのは、次の3点です。
| 観点 | 意味 |
|---|---|
| 合理的な保証 | 内部統制は絶対的な保証ではなく、リスクを許容可能な水準に抑えるための仕組みである |
| 業務に組み込まれる | 内部統制は、日常業務と別に存在する書類ではなく、日々の業務の中で実行される |
| 組織内のすべての者が遂行する | 内部統制は経理部門や内部監査部門だけの仕事ではなく、経営者、現場、IT、子会社を含む組織全体の活動である |
ここを誤解すると、J-SOX対応は一気に形骸化してしまいます。
承認印があるか、チェック欄が埋まっているか、評価調書が作られているか。こうした点だけを見ていると、内部統制はいつのまにか「紙の上の作業」になっていきます。
本来確認すべきなのは、承認者が何を見て判断したのか、その判断がどのリスクに対応しているのか、証跡として後から説明できるのか、そして現場で継続して運用できるのか、といった点です。
内部統制の4つの目的
内部統制の4つの目的は、次のとおりです。
| 目的 | 内容 |
|---|---|
| 業務の有効性及び効率性 | 事業活動の目的を達成するため、業務の有効性・効率性を高める |
| 報告の信頼性 | 組織内外への報告の信頼性を確保する |
| 事業活動に関わる法令等の遵守 | 法令その他の規範の遵守を促進する |
| 資産の保全 | 資産の取得、使用、処分が正当な手続・承認の下で行われるようにする |
この4つは別々の目的として整理されていますが、実務の現場では互いに強く結びついています。
たとえば、棚卸資産の実地棚卸を適切に行うことは、資産の保全に関係します。同時に、在庫数量や評価の正確性を通じて、財務報告の信頼性にもつながります。さらに、棚卸差異の原因分析や滞留在庫の把握は、業務の効率性や経営管理にも関わってきます。
内部統制の4目的は、制度上の分類であると同時に、実務上は「その統制が何のために存在しているのか」を見極めるための視点でもあるのです。
目的1：業務の有効性及び効率性
業務の有効性及び効率性とは、事業活動の目的達成のために、業務の有効性と効率性を高めることをいいます。金融庁の実施基準では、業務の有効性は事業活動や業務の目的が達成される程度、業務の効率性は時間・人員・コスト等の資源が合理的に使用される程度として説明されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
J-SOX対応では、業務の有効性・効率性そのものが直接の評価目的ではないように見えるかもしれません。J-SOXの中心は、あくまで財務報告の信頼性だからです。
しかし、財務報告は、非効率で属人的な業務プロセスの上に安定して成り立つものではありません。
次のような状態を思い浮かべると、その理由が見えやすくなります。
| 状態 | 財務報告への影響 |
|---|---|
| 売上計上の締め処理が担当者依存 | 期間帰属の誤り、締め漏れ、監査対応の遅延につながる |
| 請求書発行と売上計上のタイミングが部門ごとに異なる | 売上・売掛金の網羅性や正確性に不安が生じる |
| 在庫管理が現場任せで、帳簿と現物の差異原因が追えない | 棚卸資産の数量・評価の信頼性が低下する |
| 決算資料が担当者ごとに異なる形式で作成される | レビューの効率が下がり、開示資料への転記ミスが増える |
| 子会社パッケージの提出遅延が常態化している | 連結決算、監査対応、開示スケジュールに影響する |
J-SOX対応で業務フローを整理する意味は、単にフローチャートを作ることではありません。業務がどこで始まり、どこで承認され、どの情報が会計記録に反映され、どの証跡が残るのか。これを明らかにすることに意味があります。
業務フローを理解することは、適切な内部統制の整備、全体最適化、専門家や指導的立場での業務、業務フローの構築に直結します。業務フロー上の位置づけを把握できれば、重複したチェックを減らす、必要な統制を追加する、不要な手続を簡略化するといった判断もしやすくなります。
J-SOXでは、統制を増やすことだけが正解ではありません。財務報告リスクに効いており、かつ現場で継続できる統制を設計することが重要です。
目的2：報告の信頼性
2023年改訂前の内部統制基準では、内部統制の目的の一つは「財務報告の信頼性」とされていました。2023年改訂では、これが「報告の信頼性」へと改められ、組織内および組織外への報告、さらには非財務情報を含む報告の信頼性を確保する概念へと整理されました。
ただし、ここで注意しておきたい点があります。
金融商品取引法上の内部統制報告制度、いわゆるJ-SOXは、あくまで「財務報告の信頼性」の確保を目的とする制度です。改訂基準でも、「報告の信頼性」には「財務報告の信頼性」が含まれること、そして金融商品取引法上の内部統制報告制度は財務報告の信頼性の確保が目的であることが強調されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
つまり、内部統制の基本的枠組みとしては「報告の信頼性」が広く整理された一方で、J-SOXの評価・報告対象は、現時点では財務報告に係る内部統制が中心に据えられている、ということです。
この違いを整理すると、次のようになります。
| 区分 | 内容 |
|---|---|
| 広義の内部統制における報告の信頼性 | 財務情報、非財務情報、内部報告、外部報告を含む報告の信頼性 |
| J-SOXにおける中心対象 | 金融商品取引法上の財務報告に係る内部統制 |
| 実務上の注意点 | 非財務情報や内部管理情報を含めて統制意識は広がるが、内部統制報告書の制度対象を過度に広げて誤解しない |
もっとも、J-SOXの対象が財務報告に限定されるからといって、経営管理情報や非財務情報を無視してよいわけではありません。
社内の月次資料、取締役会資料、予算資料、KPI資料、決算短信、有価証券報告書。これらの説明が大きく食い違っていれば、外部開示の信頼性そのものにも疑問が生じます。
J-SOX対応では、最終的な財務報告だけを見るのではなく、その基礎となる社内管理資料、決算資料、開示基礎資料、承認資料が一貫しているかを確認する視点が欠かせません。
目的3：事業活動に関わる法令等の遵守
法令等の遵守は、一見するとJ-SOX対応の直接の評価目的ではないように見えます。しかし、法令違反や契約違反、規制違反は、財務報告に大きな影響を与えることがあります。
たとえば、次のような論点は、いずれも財務報告と無関係ではありません。
| 法令等遵守の論点 | 財務報告への影響 |
|---|---|
| 重要な契約違反 | 損害賠償、引当金、偶発債務、継続企業の前提に影響する可能性 |
| 労務コンプライアンス違反 | 未払賃金、社会保険、引当金、IPO審査上の論点になる可能性 |
| 下請法・独禁法等の違反 | 課徴金、損害賠償、開示、レピュテーションに影響する可能性 |
| 個人情報・情報セキュリティ上の問題 | 事故対応費用、損害賠償、内部統制評価、開示判断に影響する可能性 |
| 税務上の重要な指摘 | 税金費用、未払税金、偶発債務、過年度修正に影響する可能性 |
コンプライアンスは、単なる法令遵守にとどまるものではありません。法令を超えた社会規範や社会道徳、ステークホルダーの利益や要請に応えることまで含む概念として捉えられます。そして、制度や文書を整備しただけでは真のコンプライアンスは実現しない。この点は、内部統制にもそのまま当てはまります。
J-SOX対応で重要なのは、法令遵守の論点を「法務部門だけの問題」として切り離さないことです。
財務報告に重要な影響を与える可能性がある法務・労務・税務・契約・規制の論点については、決算・開示プロセスへ情報が適時に伝わる必要があります。
そのため、J-SOX上は、法令違反そのものを網羅的に監査するというよりも、財務報告に影響する重要な情報が、経理・開示・監査役等・監査法人へ適切に伝達される仕組みがあるかどうかが重要になります。
目的4：資産の保全
資産の保全とは、資産の取得、使用、処分が正当な手続および承認の下で行われるようにすることをいいます。
J-SOXにおいて、資産の保全は財務報告の信頼性と密接に関係します。
たとえば、現金預金、棚卸資産、固定資産、有価証券、暗号資産、重要な契約書、電子データなど。これらが適切に管理されていなければ、資産の実在性、評価、権利義務、開示に影響が及びます。
| 資産 | 内部統制上の主な論点 |
|---|---|
| 現金預金 | 出納権限、振込権限、銀行口座管理、残高照合、印章・ID管理 |
| 棚卸資産 | 入出庫管理、実地棚卸、棚卸差異、評価減、滞留在庫、外部倉庫 |
| 固定資産 | 取得承認、台帳登録、現物管理、除売却、減損兆候、リース |
| 債権 | 与信、請求、入金消込、滞留管理、貸倒見積り |
| 重要書類 | 契約書、議事録、申告書控、開示基礎資料、電子取引データ |
| システムデータ | アクセス権限、バックアップ、ログ、変更管理、外部委託先管理 |
資産の保全を軽視すると、横領や流用だけでなく、財務報告の誤りにもつながります。
たとえば、在庫は販売機会を確保するために保有されますが、実際の在庫数量を誤って把握していれば、過大購入、欠品、滞留、評価誤りが生じます。在庫管理は、資産保全であると同時に、販売・購買・生産・資金繰り・財務報告をつなぐ管理の論点でもあるのです。
J-SOX対応における資産保全は、単に「物がなくならないようにする」ことではありません。資産が実在し、会社に帰属し、適切に評価され、適切な承認の下で取得・使用・処分され、その結果が財務報告に正しく反映される。こうした状態を作ることが目的です。
内部統制の6つの基本的要素
内部統制の目的を達成するために必要な構成部分が、6つの基本的要素です。
| 基本的要素 | 内容 |
|---|---|
| 統制環境 | 組織の気風、経営者の姿勢、権限・職責、取締役会・監査役等の機能など |
| リスクの評価と対応 | 目的達成を阻害するリスクを識別・分析・評価し、対応を選択するプロセス |
| 統制活動 | 承認、照合、職務分掌、レビューなど、方針・手続を実行する活動 |
| 情報と伝達 | 必要な情報が適時・適切に識別、把握、処理、伝達される仕組み |
| モニタリング | 内部統制が有効に機能しているかを継続的または個別に評価する活動 |
| ITへの対応 | IT環境の理解、IT利用・統制、システムに関する統制対応 |
金融庁の内部統制基準では、これら6つの基本的要素は、内部統制の目的を達成するために必要とされる構成部分であり、内部統制の有効性を判断する規準になるものとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
J-SOX対応では、6つの要素を単独で眺めるのではなく、「この会社の財務報告リスクを低減する仕組みとして、全体がつながっているか」という視点で見ていく必要があります。
要素1：統制環境
統制環境は、内部統制の土台です。
どれだけ詳細な承認フローやチェックリストを整えても、経営者が数字を軽視している、期限優先で根拠確認を省略する、問題を報告しにくい、権限と責任が曖昧、といった状態では、内部統制は安定しません。
金融庁の内部統制基準でも、統制環境は組織の気風を決定し、組織内のすべての者の統制に対する意識に影響を与え、他の基本的要素の基礎になるものとされています。その例としては、誠実性・倫理観、経営者の意向・姿勢、経営方針・経営戦略、取締役会・監査役等の機能、組織構造、権限・職責、人的資源に対する方針と管理などが挙げられています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
J-SOX対応で統制環境を見るときは、次のような問いが手がかりになります。
| 問い | 確認すべき観点 |
|---|---|
| 経営者は正確な財務報告を重視しているか | 業績目標達成だけを優先し、会計処理や開示判断を軽視していないか |
| 取締役会・監査役等は内部統制を監視しているか | 不備、監査法人指摘、決算遅延、子会社課題を把握しているか |
| 権限と責任は明確か | 誰が承認し、誰がレビューし、誰が最終責任を持つかが明確か |
| 問題を報告しやすいか | 現場の違和感、不備、例外処理が上位者に伝わる仕組みがあるか |
| 人材配置は適切か | 経理、内部監査、IT、子会社管理に必要な専門性とリソースがあるか |
統制環境が弱い会社では、個別統制だけをいくら増やしても、統制は形骸化しやすくなります。
要素2：リスクの評価と対応
リスクの評価と対応とは、会社の目的達成を阻害する要因をリスクとして識別・分析・評価し、適切な対応を選択するプロセスです。
J-SOXでは、財務報告に重要な虚偽表示が生じるリスクを中心に考えます。
ここで大切なのは、リスクを先に考え、そのリスクに対応する統制を設計するという順序です。
実務では、次の流れが基本になります。
| 順番 | 内容 |
|---|---|
| 1 | 財務報告上、どの勘定科目・開示項目が重要かを把握する |
| 2 | その数字がどの業務プロセスから生まれるかを確認する |
| 3 | どこで誤り・不正・漏れ・期間ずれ・評価誤りが起こり得るかを識別する |
| 4 | そのリスクを防止または発見する統制があるかを確認する |
| 5 | 統制が過不足なく、現場で運用できるかを検討する |
2023年改訂では、リスクを評価する際に不正に関するリスクを考慮することの重要性が明示されました。あわせて、内部統制とガバナンス、全組織的なリスク管理との関連性も整理されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
会計不正は、取引スキームを熟知している人物が内部統制の欠陥を突いて行うことがあります。その場合、不正実行者以外は取引の詳細を把握しておらず、モニタリングが機能していないというケースも珍しくありません。J-SOX対応で不正リスクを考える際には、単に「不正の兆候」を探すだけでなく、業務構造上どこで不正が成立し得るのかを見極める視点が必要になります。
リスク評価が弱いと、J-SOX対応はチェックリスト処理に陥ります。
「前年もこの統制を見ていたから」「監査法人から言われたから」「他社もこうしているから」。こうした理由だけでは、自社のリスクに合った統制設計とはいえません。
要素3：統制活動
統制活動とは、経営者の命令や方針が適切に実行されることを確保するための方針・手続です。
J-SOX対応の中で最も目に見えやすいのが、この統制活動です。
| 統制活動 | 実務上の例 |
|---|---|
| 承認 | 取引承認、支払承認、仕訳承認、見積り承認 |
| 照合 | 請求書と発注書・検収書の照合、帳簿と実在資産の照合 |
| レビュー | 月次決算レビュー、勘定科目分析、差異分析、開示資料レビュー |
| 職務分掌 | 起票者と承認者の分離、支払申請者と支払実行者の分離 |
| アクセス制限 | 会計システム、販売管理システム、銀行口座権限の制限 |
| 例外処理管理 | 通常フローを外れる取引の承認、記録、モニタリング |
統制活動で気をつけたいのは、「何かをチェックしている」だけでは不十分だという点です。
たとえば、月次決算のレビューで「前月比を確認した」と記載されていても、どの程度の差異を異常と判断するのか、異常差異があった場合にどの資料を確認するのか、誰が追加調査を行うのか、結果をどこに残すのか。ここが曖昧なままでは、統制としての説明力は弱くなってしまいます。
統制活動は、次の4点がそろって初めて、J-SOX上の評価に耐えやすくなります。
| 観点 | 確認内容 |
|---|---|
| 目的 | どの財務報告リスクに対応しているか |
| 実施者 | 誰が実施し、必要な権限・知識を持っているか |
| 頻度 | 取引ごと、日次、月次、四半期、年次のどの頻度か |
| 証跡 | 何を確認し、どのような判断をし、どこに記録したか |
統制活動は、作ればよいというものではありません。リスクに効いており、運用でき、証跡で説明できること。この三つがそろって、はじめて意味を持ちます。
要素4：情報と伝達
情報と伝達は、内部統制を機能させる血流のようなものです。
どれだけ統制活動が整っていても、必要な情報が必要な人に届かなければ、内部統制は機能しません。
J-SOX対応では、情報と伝達はとりわけ次の場面で重要になります。
| 場面 | 情報と伝達の論点 |
|---|---|
| 決算・開示 | 決算に必要な情報が経理部門に期限内に届くか |
| 子会社管理 | 子会社の財務情報、会計方針差異、重要取引が親会社に伝わるか |
| 法務・労務・税務 | 財務報告に影響する重要な契約、紛争、税務指摘、労務リスクが共有されるか |
| IT | システム変更、障害、権限変更、外部委託先の問題が経理・内部監査に伝わるか |
| 内部統制上の不備 | 不備や例外処理が担当者レベルで止まらず、適切な階層へ報告されるか |
2023年改訂では、大量の情報を扱う状況等において、情報の信頼性を確保するうえでシステムが有効に機能することの重要性も記載されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
J-SOX対応でよく見かける問題は、情報が「存在しない」のではなく、「つながっていない」ことです。
現場は知っているが経理が知らない。経理は知っているが内部監査が知らない。内部監査は知っているが監査役等や経営層に届いていない。IT部門はシステム変更を把握しているが、J-SOX評価への影響が検討されていない。こうした断絶が、随所で起きています。
情報と伝達が弱い会社では、不備が発見されても改善につながらず、同じ指摘が毎年繰り返されやすくなります。
要素5：モニタリング
モニタリングとは、内部統制が有効に機能しているかを継続的または個別に評価する活動です。
J-SOXでは、内部監査部門やJ-SOX評価担当者による整備評価・運用評価が典型的なモニタリングですが、それだけにとどまりません。
日常的な上長レビュー、月次決算レビュー、棚卸差異分析、システムログ確認、子会社パッケージレビュー、監査役等による監査、監査法人からの指摘対応。これらもまた、内部統制を維持・改善するためのモニタリングと関わっています。
| モニタリングの種類 | 内容 |
|---|---|
| 日常的モニタリング | 業務の中で行われるレビュー、照合、差異分析、上長確認 |
| 独立的評価 | 内部監査部門、J-SOX評価担当者、外部専門家による評価 |
| 是正フォロー | 発見された不備について、原因分析、是正策、期限、再評価を管理する |
| 経営層報告 | 重要な不備、監査法人指摘、内部監査結果を経営層・監査役等に報告する |
内部監査は、ガバナンス、リスクマネジメント、コントロールを対象に、アシュアランスや改善支援の役割を担います。J-SOX対応においても、内部監査部門が単なる評価作業の担当ではなく、リスクベースで統制の実効性を確認し、改善を促す役割を果たせるかどうかが重要になります。
モニタリングが弱い会社では、内部統制は初年度に整備されても定着しません。
3点セットが更新されない。評価範囲が前年踏襲になる。統制の実施者が変わっても引継ぎされない。システム変更がRCMに反映されない。不備が是正されない。こうした綻びが、少しずつ積み重なっていきます。
J-SOX対応を継続的に運用していくには、評価そのものよりも、評価結果を改善につなげる仕組みのほうが重要です。
要素6：ITへの対応
ITへの対応は、現代のJ-SOX対応において避けて通れない要素です。
金融庁の内部統制基準では、ITへの対応を次のように整理しています。すなわち、組織目標を達成するために適切な方針・手続を定め、業務の実施において組織内外のITに適切に対応することをいい、組織の業務内容がITに大きく依存している場合や、情報システムが高度にITを取り入れている場合には、内部統制の有効性に係る判断の規準となる、という位置づけです。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
2023年改訂では、IT委託業務に係る統制の重要性、クラウドやリモートアクセス等の利用、サイバーリスクの高まり、情報システムのセキュリティ確保が強調されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
J-SOXにおけるITへの対応は、大きく次のように整理できます。
| 区分 | 内容 |
|---|---|
| IT全社統制 | IT方針、IT組織、情報セキュリティ、外部委託管理など |
| IT全般統制 | アクセス権限管理、変更管理、運用管理、障害対応、バックアップなど |
| IT業務処理統制 | 自動計算、入力制限、承認ワークフロー、インターフェース、出力帳票など |
| 電子証跡 | ログ、電子承認、タイムスタンプ、アクセス履歴、ワークフロー履歴など |
IT統制で気をつけたいのは、「システムを使っているから安全」とは限らないという点です。
システム上で承認されていても、誰がどの権限で承認したのかが分からない。退職者や異動者のアクセス権限が残っている。マスタ変更の承認履歴がない。手入力で上書きできる。外部委託先の障害時対応やデータ保全が不明確。こうした状態では、ITを使っていても財務報告の信頼性を十分に説明できません。
J-SOX上のIT統制は、情報システム部門だけの論点ではありません。経理部門、業務部門、内部監査、監査法人が、財務報告に関係するシステムとデータの流れを共通して理解しておく必要があります。
4目的・6要素とJ-SOXの関係
ここまで整理してきた4目的・6要素は、内部統制全体の枠組みにあたります。
では、J-SOXはその中でどこに位置づくのでしょうか。
結論からいえば、J-SOXは、広義の内部統制のうち、金融商品取引法上の財務報告に係る内部統制を対象とする制度です。
| 区分 | 広義の内部統制 | J-SOX |
|---|---|---|
| 目的 | 4目的すべて | 財務報告の信頼性が中心 |
| 対象 | 業務、報告、法令遵守、資産保全に関わる会社全体の仕組み | 財務報告に重要な影響を与える内部統制 |
| 関係者 | 経営者、取締役会、監査役等、内部監査、全従業員など | 経営者、経理、内部監査、業務部門、IT、監査法人など |
| 成果物 | 規程、業務フロー、監査計画、リスク管理資料など幅広い | 内部統制報告書、評価範囲資料、3点セット、RCM、評価調書など |
| 実務上の焦点 | 会社の目的達成を支える仕組み | 財務報告の重要な虚偽表示リスクを低減する仕組み |
つまり、J-SOXは内部統制全体の一部にあたります。
ところが、J-SOX対応を実務で進めていくと、結局は内部統制全体の成熟度が問われることになります。
財務報告に係る内部統制は、経理部門だけで完結するものではないからです。販売、購買、在庫、固定資産、人件費、資金、IT、子会社、法務、労務、経営企画、内部監査、監査役等。これだけの領域が関係してきます。
そのため、J-SOX対応では、次のような理解が必要になります。
| 誤った理解 | 実務上必要な理解 |
|---|---|
| J-SOXは経理部門の制度対応である | 財務報告に関係する全社的な業務・IT・証跡・監査体制の整備である |
| 3点セットを作ればよい | 業務、リスク、統制、証跡が説明できる状態にする必要がある |
| 評価範囲は前年踏襲でよい | 事業・組織・IT・子会社・不正リスクの変化に応じて見直す必要がある |
| 統制を増やせばよい | リスクに効き、現場で継続できる統制に絞る必要がある |
| 監査法人に言われたことに対応すればよい | 経営者評価として、会社自身が判断根拠を説明できる必要がある |
J-SOXは、内部統制全体のうち「財務報告に係る部分」を評価する制度です。しかしその実効性は、広義の内部統制がどこまで整っているかに大きく左右されます。
4目的・6要素は、J-SOX実務でどのように使うべきか
4目的・6要素は、教科書的に暗記するためのものではありません。
J-SOX対応では、次のような場面で実際に使っていきます。
1. 評価範囲を決めるとき
評価範囲を決める際には、財務的な重要性だけでなく、リスクの質も見ます。
このとき、4目的・6要素を軸に置くと、次のように整理できます。
| 観点 | 確認すべきこと |
|---|---|
| 報告の信頼性 | 財務報告に重要な影響を与える勘定科目・開示項目は何か |
| 業務の効率性 | 決算遅延や手戻りが財務報告リスクにつながっていないか |
| 法令遵守 | 法務・労務・税務・規制論点が財務報告に影響しないか |
| 資産保全 | 現金、在庫、固定資産、データ等の管理に重要なリスクはないか |
| 統制環境 | 経営者姿勢、権限、監督、内部監査体制に弱点はないか |
| ITへの対応 | 会計システム、業務システム、クラウド、外部委託のリスクはないか |
2023年改訂では、評価範囲の決定にあたり、例示されている「売上高等のおおむね3分の2」や「売上、売掛金及び棚卸資産の3勘定」を機械的に適用すべきではないことが明確化されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
これは、4目的・6要素を踏まえたうえで、会社ごとのリスクに応じた説明可能な評価範囲を決める必要がある、ということを意味しています。
2. RCMを作るとき
RCMは、リスクと統制の対応関係を示す文書です。
RCMが形式的になってしまう会社では、「リスク」欄に一般的な文言が並び、「統制」欄にチェック手続が列挙されます。ところが、なぜその統制でリスクが低減されるのかを説明できない、ということが起こりがちです。
4目的・6要素を意識すると、RCMの見方が変わってきます。
| RCM上の確認事項 | 判断の観点 |
|---|---|
| リスク | 財務報告のどのアサーションに影響するか |
| 統制活動 | 承認、照合、レビュー、職務分掌のどれで対応しているか |
| 情報と伝達 | 必要な情報は正確・適時に伝わっているか |
| IT | システム処理や電子証跡に依存しているか |
| モニタリング | 不備や例外が発見された場合に是正されるか |
| 統制環境 | その統制が現場で誠実に運用される前提があるか |
J-SOX対応では、RCMを「監査法人に出す表」として作るのではなく、財務報告リスクに対して、どの統制がどのように効いているのかを説明するための資料として作ることが大切です。
3. 整備評価をするとき
整備評価では、統制が設計上有効かどうかを確認します。
ここで見るべきなのは、単に規程やマニュアルがあるかどうかではありません。
| 確認事項 | 具体的な問い |
|---|---|
| リスク対応 | その統制は、識別された財務報告リスクに対応しているか |
| 実施可能性 | 現場の人員、業務量、システム環境で実施できるか |
| 権限・能力 | 統制実施者は適切な権限・知識を持っているか |
| 証跡 | 実施事実と判断内容を後から確認できるか |
| IT依存 | システム設定、アクセス権限、ログ等に問題はないか |
| 例外処理 | 通常フローを外れる場合の承認・記録があるか |
整備評価で重要なのは、「統制が存在するか」ではなく、「リスクに対して意味のある統制として設計されているか」という点です。
4. 運用評価をするとき
運用評価では、統制が一定期間にわたり継続して実施されているかを確認します。
このとき、4目的・6要素のうち、特に「統制活動」「情報と伝達」「モニタリング」「ITへの対応」が重要になります。
| 運用評価の観点 | 確認内容 |
|---|---|
| 実施事実 | 統制が対象期間中に実施されているか |
| 実施内容 | 何を確認し、どのような判断をしたか |
| 証跡 | 実施者、日付、確認資料、判断結果が残っているか |
| 例外 | 例外や差異があった場合に、調査・承認・是正が行われたか |
| IT | システム証跡やログの信頼性を確認できるか |
| レビュー | 上位者や内部監査による確認が機能しているか |
運用評価は、証跡を集める作業ではありません。証跡を通じて、統制が本当に運用されていたかを判断する作業です。
J-SOXで問われるのは「統制があるか」ではなく「説明できるか」
内部統制の4目的・6要素を実務に落とし込んでいくと、最終的には次の問いへと集約されていきます。
| 問い | 意味 |
|---|---|
| 何のための統制か | 4目的のどれに関係し、特に財務報告リスクにどう効くか |
| どのリスクに対応しているか | リスク評価と対応の妥当性 |
| 誰が実施するか | 権限、職責、職務分掌、能力 |
| 何を確認するか | 統制活動の具体性 |
| どの情報に基づくか | 情報と伝達、データの信頼性 |
| どの証跡が残るか | 運用評価・監査対応可能性 |
| 誰がモニタリングするか | 内部監査、上長レビュー、監査役等、経営層報告 |
| ITに依存していないか | IT全般統制・IT業務処理統制との関係 |
| 現場で継続できるか | 過剰統制・形骸化の防止 |
この問いに答えられない統制は、形式上は存在していても、J-SOX上の説明力は弱いままです。
たとえば、「上長が月次で確認している」という統制があるとします。
この統制を評価するには、少なくとも次のことを確認しておく必要があります。
| 確認事項 | 内容 |
|---|---|
| 確認対象 | 試算表、リードシート、差異分析、補助簿、開示基礎資料のどれか |
| 判断基準 | どの程度の差異や異常値を問題とするか |
| 追加手続 | 異常があった場合、誰が何を調査するか |
| 証跡 | 確認日、確認者、確認内容、コメント、修正履歴が残るか |
| 経営報告 | 重要な差異や不備が経営層に報告されるか |
ここまで整理して、はじめて「上長レビュー」という言葉が内部統制として意味を持ってきます。
J-SOXを4目的・6要素で捉えると、過剰統制と統制不足の境界が見える
J-SOX対応では、過剰統制と統制不足の両方に注意が必要です。
統制不足は、比較的分かりやすい問題です。承認がない、証跡がない、職務分掌がない、システム権限が管理されていない、評価範囲が狭すぎる、といった状態がこれにあたります。
一方で、過剰統制も、実務上は大きな問題になります。
| 過剰統制の例 | 問題点 |
|---|---|
| 重要性の低い取引まで詳細な承認を求める | 現場負荷が増え、重要な確認が埋もれる |
| 同じ資料を複数部門が重複チェックする | 手戻りや責任の曖昧化につながる |
| チェックリスト項目が多すぎる | 形式的なチェックになり、判断の質が下がる |
| システム統制があるのに手作業統制を重ねすぎる | 効率性が下がり、運用不能になる |
| 証跡保存ルールが複雑すぎる | 必要な証跡がかえって残らない |
4目的・6要素を使うと、過剰統制かどうかを判断しやすくなります。
その統制は財務報告リスクに効いているのか。統制環境やIT統制で補える部分はないか。モニタリングで発見できるのか。現場で継続できるのか。証跡の質は十分か。こうした問いを重ねていくと、輪郭が見えてきます。
J-SOX対応は、「たくさん統制を置いた会社」がよいわけではありません。重要なリスクに対して、説明可能で、運用可能で、評価可能な統制を置いている会社こそが強いのです。
内部統制の4目的・6要素を経営管理へ接続する
J-SOX対応を経営管理体制へつなげるには、4目的・6要素を「監査対応の用語」としてではなく、「会社を動かす仕組み」として使っていく必要があります。
| 内部統制の観点 | 経営管理への接続 |
|---|---|
| 業務の有効性・効率性 | 決算早期化、業務標準化、属人化解消 |
| 報告の信頼性 | 月次決算、予算管理、取締役会資料、開示品質 |
| 法令等遵守 | 契約管理、労務管理、税務リスク、開示判断 |
| 資産の保全 | 在庫管理、資金管理、固定資産管理、データ管理 |
| 統制環境 | 経営者姿勢、権限移譲、監査役等・内部監査との連携 |
| リスク評価 | 経営上の重要リスクの可視化 |
| 統制活動 | 承認、照合、レビュー、職務分掌 |
| 情報と伝達 | 現場、経理、IT、子会社、経営層の情報連携 |
| モニタリング | 内部監査、月次レビュー、不備是正 |
| ITへの対応 | クラウド、ワークフロー、ログ、アクセス権限 |
決算早期化を実現している会社では、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して業務を組み立てる「森を見る視点」が重視されます。J-SOX対応でも、この考え方は同じです。個別統制だけを見るのではなく、財務報告の最終成果物から逆算して、どの業務、どの情報、どの承認、どの証跡が必要かを整理していく必要があります。
内部統制は、会社を縛るためだけの仕組みではありません。
正しく設計すれば、会社が安心して権限移譲を行い、数字を早く把握し、監査法人や金融機関、投資家に説明し、次の成長判断を行うための基盤になります。
内部統制の4目的・6要素を理解したうえで、自社を見るための問い
J-SOX対応を導入する、あるいは見直す場合には、まず次の問いを使って自社の状況を確認してみることが有効です。
| 観点 | 自社に問いかけるべきこと |
|---|---|
| 業務の有効性・効率性 | 決算・開示・主要業務プロセスに、手戻り、重複、属人化はないか |
| 報告の信頼性 | 月次資料、決算資料、開示資料の数字と説明は一貫しているか |
| 法令等遵守 | 財務報告に影響する法務・労務・税務・規制情報は経理に伝わるか |
| 資産の保全 | 現金、在庫、固定資産、データ、重要書類を後から説明できるか |
| 統制環境 | 経営者、取締役会、監査役等は内部統制上の課題を把握しているか |
| リスク評価 | 重要な虚偽表示リスク、不正リスク、ITリスクを識別しているか |
| 統制活動 | 主要リスクに対して、承認・照合・レビュー・職務分掌が機能しているか |
| 情報と伝達 | 現場、経理、IT、内部監査、子会社、経営層の情報連携は十分か |
| モニタリング | 不備や例外処理が発見され、是正され、翌期に反映されているか |
| ITへの対応 | アクセス権限、変更管理、電子証跡、外部委託先を説明できるか |
この問いに答えようとすると、J-SOX対応の課題が単なる「書類不足」ではないことが見えてきます。
証跡不足の背景には、統制活動の曖昧さがあります。統制活動の曖昧さの背景には、業務フローや権限設計の未整理があります。権限設計の未整理の背景には、統制環境や組織設計の問題があります。そして、監査法人対応の手戻りの背景には、評価範囲やリスク評価の説明不足があります。
J-SOX対応を本当に改善するには、表面に出ている不備だけでなく、その背後にある4目的・6要素のどこが弱いのかを見極める必要があるのです。
まとめ｜J-SOXは内部統制全体の一部だが、会社全体を映す
J-SOXは、広義の内部統制のすべてを対象とする制度ではありません。
制度上は、金融商品取引法に基づく財務報告に係る内部統制の評価・報告・監査が中心に置かれています。金融商品取引法上、内部統制報告書の提出制度は、同法第24条の4の4に定められています。
出典：e-Gov法令検索｜金融商品取引法
しかし、財務報告に係る内部統制は、会社全体の業務、権限、証跡、IT、子会社管理、内部監査、経営者姿勢と切り離すことができません。
内部統制の4目的・6要素は、J-SOX対応を形式的な資料作成で終わらせないための共通言語です。
| 観点 | J-SOX実務での意味 |
|---|---|
| 4目的 | その統制が何のために存在するのかを整理する |
| 6要素 | 統制が有効に機能するための構成要素を確認する |
| 財務報告の信頼性 | J-SOXの制度上の中心目的 |
| 報告の信頼性 | 2023年改訂で広がった内部統制上の概念 |
| 統制環境 | 個別統制の土台 |
| リスク評価 | 評価範囲・RCM・キーコントロールの出発点 |
| 統制活動 | 承認・照合・レビュー・職務分掌などの具体的統制 |
| 情報と伝達 | 現場、経理、IT、内部監査、経営層をつなぐ仕組み |
| モニタリング | 不備を発見し、是正し、継続運用する仕組み |
| ITへの対応 | 現代の財務報告の信頼性を支える不可欠な要素 |
J-SOX対応で問われるのは、単に「内部統制があります」と言えることではありません。
どのリスクに対して、どの統制を、誰が、どの情報に基づき、どの証跡で、どこまで説明できるのか。この問いに答えられる状態を作ることこそが、J-SOX対応の実務上の目標です。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる3点セット作成や評価調書作成としてではなく、内部統制の4目的・6要素を踏まえた経営管理体制の整備として整理しています。
評価範囲の判断、RCMの見直し、統制活動の過不足、証跡管理、IT統制、内部監査体制、監査法人対応。こうした点に不安がある場合は、まず自社の内部統制を「4目的・6要素のどこに課題があるのか」という視点で整理してみることが有効です。
J-SOX対応を形式対応で終わらせず、決算・開示・業務フロー・IT・子会社管理・経営管理へと接続していきたい場合は、現在の体制と論点を整理する段階から、どうぞご相談ください。
この記事の振り返り
| 項目 | 要点 |
|---|---|
| 内部統制とは | 4目的を達成するために業務に組み込まれ、組織内のすべての者により遂行されるプロセス |
| 4つの目的 | 業務の有効性及び効率性、報告の信頼性、法令等遵守、資産の保全 |
| 6つの基本的要素 | 統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応 |
| J-SOXの位置づけ | 広義の内部統制のうち、金融商品取引法上の財務報告に係る内部統制を中心に扱う制度 |
| 2023年改訂の注意点 | 「財務報告の信頼性」から「報告の信頼性」へ概念が広がったが、J-SOXの制度対象は財務報告の信頼性が中心 |
| 業務効率との関係 | 属人化、重複、手戻り、決算遅延は財務報告の信頼性にも影響する |
| 法令遵守との関係 | 法務・労務・税務・規制論点は、引当金、偶発債務、開示、監査対応に影響し得る |
| 資産保全との関係 | 現金、在庫、固定資産、データ等の管理は、財務報告の実在性・評価・権利義務に関係する |
| 実務上の核心 | 統制があるかではなく、どのリスクに効いているか、誰が実施し、どの証跡で説明できるか |
| 相談前に整理すべきこと | 自社の課題が4目的・6要素のどこにあるのかを確認する |
