現状診断で確認すべきJ-SOX対応の成熟度｜資料の有無ではなく運用実態と証跡を見る

J-SOX対応を新たに導入するとき、あるいは既存の対応を見直すとき、最初に取り組むべきなのは「現状診断」です。

ただし、ここでいう現状診断は、3点セットがあるか、評価調書があるか、規程があるか、チェックリストがあるかを確かめる作業ではありません。

本当に確認すべきなのは、資料の有無ではなく、会社が次の問いに答えられる状態にあるかどうかです。

どの財務報告リスクを見ているのか。
そのリスクに対して、どの統制が効いているのか。
誰が、いつ、何を確認し、どの証跡で説明できるのか。
評価範囲を、なぜそのように決めたのか。
不備があった場合に、原因、影響、是正状況を説明できるのか。
監査法人、内部監査、経営層、現場部門、子会社に対して、同じ前提で説明できるのか。

現状診断の目的は、これまでの対応を否定することではありません。会社のJ-SOX対応が、形式的な文書作成にとどまっているのか、運用実態と証跡に裏づけられているのか、そして監査法人対応や決算・開示体制に接続されているのかを見極めることにあります。

本稿では、J-SOX対応の成熟度を診断する際に確認すべき観点を、実務上の判断軸として整理します。

現状診断の前提｜J-SOX対応は「ある・ない」ではなく「説明できるか」で見る

J-SOX対応の成熟度は、「対応済み」「未対応」と単純に切り分けられるものではありません。

3点セットがあっても、業務実態とずれていれば、成熟しているとはいえません。
評価調書があっても、評価者の判断過程が残っていなければ、説明力は弱くなります。
規程があっても、現場で運用されていなければ、統制として機能しません。
監査法人指摘への回答があっても、根本原因が解消されていなければ、翌期も同じ指摘が出ます。

金融庁は、2023年4月7日に企業会計審議会が公表した内部統制基準・実施基準の改訂を踏まえ、同年8月31日に「内部統制報告制度に関するQ&A」と「内部統制報告制度に関する事例集」を改訂しました。

現状診断においても、旧来の形式的なJ-SOX対応を前提とするのではなく、現行の基準・Q&A・実務指針に照らして、評価範囲、重要性、不備、是正、IT、監査人との協議を見直す必要があります。
出典：金融庁｜「『内部統制報告制度に関するＱ＆Ａ』等の改訂について」

また、内部統制報告書の様式上も、評価範囲、基準日、評価手続、評価結果、付記事項等の記載が求められます。評価範囲については、その範囲を決定した手順・方法・根拠等を簡潔に記載することが予定されています。
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令 第一号様式

したがって現状診断では、単に資料が存在するかどうかではなく、内部統制報告書に記載すべき評価範囲・評価手続・評価結果を、会社自身の言葉で説明できる状態にあるかを見ていくことになります。

現状診断で見るべき成熟度の全体像

J-SOX対応の成熟度は、実務上、次の段階で捉えると整理しやすくなります。

成熟度	状態	典型的な特徴
未整備段階	担当者の経験や属人的対応に依存している	文書・評価範囲・証跡・責任者が曖昧
文書存在段階	3点セットや規程はある	実態とのズレ、更新漏れ、RCMの形式化がある
統制設計段階	リスクと統制の対応関係が整理されている	キーコントロール、実施者、頻度、証跡が一定程度明確
運用証跡段階	統制が継続運用され、証跡で説明できる	運用評価、例外処理、電子証跡、保存ルールが機能している
評価改善段階	評価、不備判定、是正、翌期改善が回っている	内部監査・監査法人協議・経営層報告が一連で管理されている
経営管理接続段階	J-SOXが決算・開示・経営管理に活かされている	決算早期化、開示品質、子会社管理、権限移譲、業務標準化と接続している

この分類は、公式な制度上の区分ではありません。実務上、現状診断で課題の深さを把握するための見立てとして用いているものです。

大切なのは、成熟度を高く見せることではありません。いま自社がどの段階にあり、次にどこを整えれば、監査法人・内部監査・経営層・現場に説明できる状態へ近づくのかを見極めることです。

1. 文書化状況の診断｜3点セットは「あるか」ではなく「使えるか」

現状診断ではまず、3点セット、RCM、評価範囲資料、評価調書、規程・マニュアル類を確認します。

ただし、ここで見るべきなのは「資料が揃っているか」ではありません。確認したいのは、次の点です。

• 業務記述書が、取引の開始から会計処理・証跡まで説明しているか
• フローチャートが、責任分担、承認点、システム処理、例外処理を表しているか
• RCMが、財務報告リスクと統制活動を対応づけているか
• キーコントロールが、なぜ重要なのかを説明できるか
• 統制の実施者、頻度、証跡、評価方法が明確か
• 業務変更、組織変更、システム変更が文書に反映されているか
• 規程・マニュアルと3点セットが矛盾していないか
• 監査法人や内部監査が、その文書を使って評価できる状態か

RCMは、財務報告リスクとこれに対応するコントロールを洗い出し、評価実施者や監査人が理解するための中核資料として位置づけられます。業務記述書やフローチャートは、そのRCMを実効性あるものにするための基礎資料でもあります。

現状診断では、RCM上の統制を一つずつ見ながら、次のように確認していきます。

「この統制は、どの虚偽表示リスクに効いているのか」
「統制が実施されたことは、どの資料で確認できるのか」
「実施者は、何を確認したうえで承認・レビューしているのか」
「その統制がなかった場合、どのような財務報告上の誤りが発生しうるのか」

これらの問いに答えられない場合、文書は存在していても、統制設計としては成熟していない可能性があります。

2. 統制設計の診断｜リスクと統制がつながっているか

J-SOX対応で最も重要なのは、リスクと統制の対応関係です。

現状診断では、業務プロセスごとに、次の流れを確認します。

取引がどこで発生するか。
誰が承認するか。
どのシステムに入力されるか。
誰が確認するか。
どの時点で会計処理されるか。
どの資料が証跡として残るか。
どの統制が財務報告リスクを防止・発見しているか。

業務フローを理解する目的は、フローチャートを作ること自体にあるわけではありません。会社の業務には共通するリスクと、それを低減する内部統制があります。典型的な業務フローを理解しておくことで、自社に必要な統制と不要な統制を見極めやすくなります。

たとえば販売プロセスでは、受注、出荷、検収、売上計上、請求、入金消込、滞留債権管理がつながっています。
購買プロセスでは、取引先審査、発注、検収、仕入計上、請求書照合、支払承認、債務残高管理がつながっています。
在庫プロセスでは、入出庫、実地棚卸、棚卸差異、評価、原価計算、滞留在庫管理がつながっています。
人件費プロセスでは、人事マスタ、勤怠、給与計算、支払、会計計上がつながっています。

成熟度が低い会社では、これらが「部門ごとの作業」として分断されがちです。一方、成熟度が高い会社では、各業務が財務報告リスクと接続しており、どの統制がどのリスクに対応しているかを説明できます。

現状診断では、統制の数を増やすことよりも、統制が本当にリスクに効いているかを確認する必要があります。統制が多くても、同じことを何度も確認しているだけであれば過剰統制です。逆に、承認欄が少なくても、システム制御や上位者レビュー、月次分析が有効に機能していれば、それで十分な場合もあります。

3. 証跡管理の診断｜「やっている」ではなく「後から説明できるか」

実務で非常に多い課題が、証跡不足です。

現場では確認している。
上長はレビューしている。
経理は異常値を見ている。
IT部門は権限管理している。
子会社には資料提出を依頼している。

それでも、評価時や監査法人対応の場面になると、「その確認を誰が、いつ、何を見て、どのように判断したのか」を説明できないことがあります。

現状診断では、証跡について次の点を確認します。

• 統制実施日が分かるか
• 実施者が分かるか
• レビュー者が分かるか
• 何を確認したのかが分かるか
• 差異や例外があった場合の対応が残っているか
• 承認前後の資料が区別できるか
• 電子承認の場合、承認内容と承認対象が明確か
• Excelレビューの場合、レビューの痕跡が残っているか
• メール承認の場合、対象資料との関連が明確か
• システムログやワークフロー履歴を、後から取得できるか
• 保存場所と保存期間が決まっているか

証跡管理の成熟度が低い会社では、「担当者に聞けば分かる」状態になっています。一見すると問題がないように見えますが、担当者の異動・退職・繁忙、監査法人からの追加質問、過年度訂正、不備判定といった場面では、大きな弱点になります。

書類管理についても、必要な資料をすぐに取り出せるよう整理・保存すること、重要書類の紛失・情報漏洩・改ざんリスクを下げることが重要です。電子取引の保存や議事録作成なども含め、文書管理は内部統制の基礎をなすものといえます。

J-SOXにおける証跡は、監査法人に見せるためだけの資料ではありません。会社が自らの判断過程を後から説明するための記録です。

4. 評価履歴の診断｜前年調書を更新しているだけになっていないか

J-SOX評価では、評価計画、整備評価、運用評価、不備判定、是正、報告という一連の流れが必要です。

現状診断では、過年度の評価履歴を確認します。

• 評価計画は毎年見直されているか
• 評価範囲の変更有無が検討されているか
• 評価対象プロセスの追加・除外理由が残っているか
• 整備評価で、統制設計の有効性を確認しているか
• 運用評価で、母集団、サンプル、頻度、証跡が整理されているか
• 例外や逸脱の判断根拠が残っているか
• 不備の集計と重要性判断が文書化されているか
• 是正状況が翌期に引き継がれているか
• 評価調書にレビューの痕跡があるか
• 内部監査部門または評価担当者の独立性・客観性が確保されているか

内部監査においては、コントロールの有効性を検証するにあたり、検査、継続的監査、データ分析等を利用します。あわせて、コントロールの効率性についても、コストと便益、誤謬・遅延・重複の有無を確認する観点が示されています。RCMは、目標、リスク、重大性、対応、コントロール手段、設計妥当性を整理するための、実務上の道具にもなります。

現状診断で避けたいのは、前年調書を形式的にコピーし、日付とサンプルだけを差し替えることです。

前年と同じ評価結果であっても、会社の状況は変化している可能性があります。

新規事業が始まっている。
子会社が増えている。
システムが変更されている。
承認権限が変わっている。
担当者が変わっている。
監査法人から新たな指摘を受けている。
決算スケジュールが遅れている。
開示資料の作成体制が変わっている。

これらを評価履歴に反映できているかどうかが、成熟度を見るうえで重要な判断ポイントになります。

5. 監査法人指摘の診断｜指摘対応ではなく原因分析になっているか

現状診断では、監査法人からのコメントや指摘事項を必ず確認します。

ただし、指摘事項を一覧化するだけでは十分ではありません。確認すべきなのは、指摘の背景にある構造です。

• 評価範囲の判断根拠が弱いのか
• RCMのリスク・統制対応が不十分なのか
• 証跡が不足しているのか
• 統制設計そのものに不備があるのか
• 運用はされているが、評価調書が弱いのか
• IT統制の前提が不十分なのか
• 子会社からの資料品質に問題があるのか
• 決算・開示体制の属人化が原因なのか
• 監査法人との協議タイミングが遅いのか

監査法人指摘は、単に「回答すべきコメント」ではありません。会社のJ-SOX対応の成熟度を示す、重要な診断材料です。

同じ指摘が毎年出ている場合、その問題は担当者の作業漏れではなく、仕組みそのものに原因がある可能性があります。

たとえば、毎年「証跡が不足している」と指摘されるのであれば、個別資料を追加提出するだけでは根本的な解決になりません。統制設計の段階で、どの証跡を残すかを決め、現場業務に組み込む必要があります。

毎年「評価範囲の説明が弱い」と指摘されるのであれば、評価範囲メモの体裁ではなく、重要性、リスク、事業変化、除外理由の検討過程そのものを見直すことになります。

毎年「IT統制の資料が遅い」と指摘されるのであれば、情報システム部門との役割分担、システム台帳、アクセス権限管理、変更管理の年間スケジュールを見直す必要があります。

監査法人指摘は、対応済みか未対応かではなく、「なぜ発生したか」「何を変えれば再発しないか」まで踏み込んで診断することが求められます。

6. 決算・開示体制の診断｜J-SOX対応が期末作業になっていないか

J-SOX対応は、決算・開示体制と切り離せません。

決算が遅い会社、開示基礎資料が属人化している会社、監査法人対応が後手に回る会社では、J-SOX対応も不安定になりがちです。

現状診断では、決算・開示体制について次の点を確認します。

• 月次決算の締め日と精度が安定しているか
• 勘定科目別の残高管理、分析、レビューが行われているか
• 決算整理仕訳の根拠資料が整っているか
• リードシートや分析資料が標準化されているか
• 開示基礎資料の作成責任者とレビュー者が明確か
• 有価証券報告書、決算短信、会社法計算書類の基礎資料が一元管理されているか
• 開示数値と取締役会資料・経営管理資料の整合性が確認されているか
• 監査法人からの質問対応が属人的になっていないか
• 連結パッケージや子会社資料の遅延・差戻しが管理されているか

決算早期化の実務では、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して業務を組み立てる「森を見る視点」が重要になります。決算発表が遅延する会社では、担当者が自分の業務だけを見る「枝を見る視点」に陥り、手待ち・手戻り・重複が発生しやすいとされています。

J-SOX対応でも、事情は同じです。

販売プロセスの統制だけを見る。
決算プロセスだけを見る。
IT統制だけを見る。
開示資料だけを見る。

このような分断があると、財務報告全体としての説明力が弱くなります。

現状診断では、J-SOX対応が期末に資料を集めるだけの作業になっていないかを確認する必要があります。本来は、日常業務、月次決算、四半期決算、年度決算、開示、監査法人対応が、一連の流れとしてつながっているべきものです。

7. IT統制の診断｜会計システムだけを見ていないか

IT統制の成熟度を診断するうえで、会計システムだけを見ていては不十分です。

財務報告に影響するシステムは、販売管理、購買管理、在庫管理、固定資産、人事給与、経費精算、ワークフロー、連結会計、BI、データ連携、クラウドサービスなど、多岐にわたります。

現状診断では、次の点を確認します。

• 財務報告に関係するシステム一覧があるか
• 各システムが、どの業務プロセス・勘定科目に関係しているか
• アクセス権限の付与・変更・削除手続があるか
• 退職者・異動者の権限削除が適時に行われているか
• 特権IDの使用が管理されているか
• システム変更の承認、テスト、リリース記録が残っているか
• マスタ変更の承認と証跡が残っているか
• データ連携の完全性・正確性が確認されているか
• 電子承認やワークフローの証跡性が確認されているか
• クラウドや外部委託先の責任分界が整理されているか
• 障害時対応、バックアップ、ログ管理が財務報告リスクと接続しているか

内部監査実務においても、J-SOXにおけるIT統制は、IT全社統制、IT全般統制、IT業務処理統制に大別されると整理されています。論理的統制では、権限ある利用者だけにアクセスを認め、不正アクセスがあった場合に履歴を記録・通報する仕組みも重要になります。

IT統制の成熟度が低い会社では、情報システム部門が「システムは問題なく動いている」と説明し、経理部門が「数字は合っている」と説明し、内部監査が「証跡が足りない」と指摘する、という分断が起こります。

成熟度が高い会社では、IT部門、経理部門、現場部門、内部監査部門が、財務報告に影響するシステムと統制を共通認識として持っています。

8. 子会社管理の診断｜親会社が説明できる状態か

グループ会社がある場合、J-SOX対応の成熟度は子会社管理に大きく左右されます。

親会社単体の統制が整っていても、重要な子会社の決算、業務プロセス、IT、証跡が弱ければ、連結財務報告の信頼性に影響します。

現状診断では、子会社管理について次の点を確認します。

• 評価対象となる子会社の選定理由が明確か
• 評価対象外とした子会社の除外理由を説明できるか
• 子会社の決算スケジュールが親会社決算と整合しているか
• 連結パッケージの作成・レビュー手続があるか
• 子会社の会計方針が親会社方針と整合しているか
• 子会社から提出される資料の証跡が十分か
• 子会社の業務フロー、権限、承認、IT環境を親会社が把握しているか
• 子会社側の不備や監査法人指摘が親会社で管理されているか
• 海外子会社の場合、言語、現地制度、人材、システム差異を踏まえているか
• 親会社内部監査や外部専門家による子会社レビューが機能しているか

内部統制報告書の記載様式でも、評価範囲を決定した手順・方法・根拠等を記載することが求められます。十分な評価手続が実施できなかった範囲がある場合には、その範囲と理由を記載することが予定されています。子会社を評価範囲に含めるかどうかは、親会社が説明できる判断として整理しておく必要があります。
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令 第一号様式

成熟度が低い会社では、子会社管理が「資料を出してもらう」だけにとどまっています。成熟度が高い会社では、親会社が子会社の財務報告リスクを把握し、必要な統制水準、提出資料、レビュー手続、是正管理まで設計しています。

9. 不備・課題管理の診断｜課題一覧が改善につながっているか

現状診断では、不備や課題の管理方法も重要な確認対象になります。

不備が発見されること自体が問題なのではありません。問題は、不備が発見された後に、原因、影響、是正、再評価が管理されていないことです。

確認すべき項目は、次のとおりです。

• 不備の一覧があるか
• 不備の発見経路が明確か
• 不備の原因が整理されているか
• 財務報告への影響が検討されているか
• 補完統制の有無が検討されているか
• 不備の重要性判断が記録されているか
• 是正責任者と期限が明確か
• 是正完了後の再評価が行われているか
• 監査法人との協議記録が残っているか
• 翌期に持ち越す課題が明確か
• 経営層・監査役等へ報告されているか

2023年の内部統制府令改正では、前年度に開示すべき重要な不備を報告した場合、内部統制報告書において当該不備の是正状況を付記事項として記載することが示されました。また、事後的に内部統制の有効性評価が訂正される際には、訂正内部統制報告書に具体的な訂正の経緯や理由等を記載することとされています。
出典：金融庁｜「『財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令の一部を改正する内閣府令（案）』等に対するパブリックコメントの結果等について」

この改正の趣旨を踏まえると、不備管理は単なる内部管理表ではありません。会社が、どの不備をどのように認識し、なぜその重要性と判断し、どのように是正したのかを説明するための記録です。

10. 全社的内部統制の診断｜個別統制以前に会社全体の土台を見る

J-SOX対応では、業務プロセス統制だけを見ていても十分ではありません。全社的内部統制が弱い会社では、個別統制をいくら整えても安定しません。

現状診断では、次の点を確認します。

• 経営者が財務報告の信頼性に関するリスクを把握しているか
• 取締役会・監査役等が内部統制の整備・運用を監督しているか
• J-SOX評価の責任部署が明確か
• 内部監査部門または評価担当者の権限と独立性が確保されているか
• 権限規程、職務分掌、稟議規程が実態に合っているか
• コンプライアンス、内部通報、リスク情報の伝達が機能しているか
• 経営者による内部統制の無効化リスクに備えているか
• 子会社管理やIT統制の不備が放置されていないか
• 重要な会議体の議事録、承認記録、報告資料が残っているか

全社的内部統制の不備は、開示すべき重要な不備の例示として挙げられることがあります。経営者によるリスク評価、取締役会・監査役等による監督、評価責任部署、IT統制、内部統制の整備状況に関する記録などは、重要な診断対象になります。

現状診断では、質問票の回答だけで全社統制を評価しないことが大切です。

規程はあるが、承認実態が違う。
会議体はあるが、重要な内部統制論点が報告されていない。
内部通報制度はあるが、財務報告リスクに関する情報が監査部門に届かない。
子会社管理規程はあるが、実際のモニタリングが行われていない。

このような場合、形式上の統制環境は整っていても、実効性は不十分といわざるを得ません。

現状診断で集めるべき資料

現状診断を行う際には、少なくとも次の資料を確認します。

区分	確認資料
制度対応資料	内部統制報告書、評価範囲メモ、評価計画、評価結果報告
文書化資料	業務記述書、フローチャート、RCM、規程、マニュアル
評価資料	整備評価調書、運用評価調書、サンプリング資料、例外処理記録
不備管理	不備一覧、課題管理表、是正計画、再評価資料、監査法人コメント
決算・開示	決算スケジュール、リードシート、開示基礎資料、レビュー記録
IT統制	システム一覧、アクセス権限表、変更管理資料、ログ、委託先資料
子会社管理	連結パッケージ、子会社レビュー資料、子会社評価資料、親会社指示文書
ガバナンス	取締役会資料、監査役等報告、内部監査報告、会議議事録
変化情報	組織変更、M&A、システム導入、新規事業、重要取引、会計方針変更

ここで注意したいのは、資料を集めること自体が目的ではないという点です。

資料を見ながら、「この資料で何が説明できるか」「何が説明できないか」を確認していきます。

現状診断で行うべきヒアリング

資料の確認だけでは、J-SOX対応の成熟度は見えてきません。実際には、関係者へのヒアリングが欠かせません。

対象となるのは、経営者、経理・財務・開示部門、内部監査部門、現場部門、IT部門、子会社担当者、監査役等、そして必要に応じて監査法人対応窓口などです。

ヒアリングでは、次のような質問が有効です。

• J-SOX対応で最も困っていることは何か
• 毎年同じ指摘が出ている領域はどこか
• 3点セットと実際の業務にズレはあるか
• 証跡が残りにくい統制はどれか
• 決算・開示で属人化している作業はどれか
• IT部門と経理部門の認識が合っていない領域はどこか
• 子会社からの資料で、信頼性に不安があるものは何か
• 監査法人との協議が後手になりやすい論点は何か
• 不備が発見された後、誰が是正を追っているか
• 経営層に報告されていないが、現場が不安に感じている論点は何か

法務・コンプライアンスリスクの観点からも、制度や文書を整備するだけでは真のコンプライアンスは実現できません。不都合な情報が社内の一部に滞留し、全社的な問題意識にならないことがあるからです。重要情報が正確かつ迅速に経営陣へ共有される仕組みは、内部統制診断においても重要な確認対象となります。

J-SOX対応の成熟度は、現場の言葉に表れます。

「前任者からそう聞いています」
「監査法人に言われたのでやっています」
「証跡は残っていませんが確認しています」
「IT部門で管理しているはずです」
「子会社のことは現地に任せています」

こうした回答が多い場合、資料はあっても、説明責任に耐える状態とは言いにくくなります。

現状診断で避けるべき進め方

J-SOXの現状診断では、次のような進め方は避けたいところです。

1. チェックリストだけで診断する

チェックリストは有用ですが、それだけで成熟度が分かるわけではありません。

「ある」「ない」ではなく、「使えるか」「説明できるか」「評価できるか」「改善につながっているか」を見る必要があります。

2. 文書だけを見て診断する

3点セットや評価調書を見ただけでは、実際の運用までは分かりません。

現場ヒアリング、証跡確認、サンプル確認、システム確認が必要になります。

3. 監査法人指摘だけを診断対象にする

監査法人指摘は重要ですが、指摘されていない領域に問題がないとは限りません。

評価範囲外、子会社、IT、非定型取引、会計上の見積り、経営者無効化リスクなど、指摘に現れていないリスクも確認する必要があります。

4. 課題を細かく出しすぎる

現状診断で大量の課題を列挙しても、改善が進まなければ意味がありません。

課題は、重要性、監査影響、財務報告リスク、是正期限、運用負荷、経営上の影響といった観点から、優先順位をつけていく必要があります。

5. 理想論だけで成熟度を評価する

上場会社として求められる水準はあります。ただし、会社の人員、システム、事業構造、子会社の状況を無視した診断は、実務に落ちません。

現状診断では、正しさと運用可能性の両方を見ます。

診断結果は、改善ロードマップにつなげる

現状診断の成果物は、診断レポートそのものではありません。本当に重要なのは、診断結果を改善ロードマップにつなげることです。

改善ロードマップでは、次のように整理します。

• 直ちに対応すべき重要リスク
• 監査法人との協議が必要な論点
• 期末までに証跡を整えるべき統制
• 翌期に向けて文書更新すべき領域
• IT部門と連携して見直すべき統制
• 子会社管理として改善すべき領域
• 内部監査体制の強化が必要な領域
• 決算・開示体制と一体で見直すべき領域
• 過剰統制として簡素化できる領域

ここで大切なのは、すべてを一度に直そうとしないことです。J-SOX対応の成熟度を上げるには、重要な財務報告リスクに効く領域から順に整えていく必要があります。

優先順位の判断では、次の観点を使います。

• 財務諸表への影響が大きいか
• 開示すべき重要な不備につながる可能性があるか
• 監査法人から指摘されているか
• 期末までに是正できるか
• 証跡を残す運用に変更できるか
• 現場の運用負荷が過大でないか
• IT変更やシステム設定が必要か
• 子会社や海外拠点を巻き込む必要があるか
• 経営層・監査役等への報告が必要か

現状診断は、問題点を見つけるためだけの作業ではありません。会社が次に何を判断すべきかを明確にする作業です。

まとめ｜成熟度診断は、J-SOX対応を「資料」から「仕組み」へ変える入口

J-SOX対応の現状診断で確認すべきことは、資料が揃っているかどうかではありません。

文書化状況、統制設計、証跡、評価履歴、監査法人指摘、決算・開示体制、IT統制、子会社管理、不備管理、全社的内部統制が、財務報告リスクに対して一体で機能しているかを確認することです。

現状診断で重要なのは、次の問いです。

どのリスクを見ているのか。
どの統制で対応しているのか。
誰が実施しているのか。
どの証跡で説明できるのか。
どの評価手続で有効性を確認しているのか。
不備があった場合、原因・影響・是正状況を説明できるのか。
監査法人、内部監査、経営層、現場、子会社に対して、同じ前提で説明できるのか。

この問いに答えられる範囲が広いほど、J-SOX対応の成熟度は高いといえます。

反対に、資料はあるのに説明できない、統制はあるのに証跡がない、評価はしているのに改善につながらない、監査法人指摘が毎年繰り返される。такое状態であれば、見直しが必要です。

J-SOX対応は、資料を揃える作業ではありません。会社が自らの数字、業務、権限、証跡、判断過程を説明できる状態を作る取り組みです。

その入口が、現状診断です。

J-SOX対応の現状診断・成熟度評価に関するご相談について

J-SOX対応を見直す際、最初から3点セットを作り直す必要があるとは限りません。

まず必要なのは、現在の資料、運用、証跡、評価履歴、監査法人指摘、決算・開示体制、IT統制、子会社管理のどこに課題があるのかを整理することです。

犬飼公認会計士・税理士事務所では、J-SOX対応の導入・見直しにあたり、現状診断、成熟度評価、評価範囲の整理、3点セット・RCMの見直し、証跡管理、不備対応、監査法人協議に向けた論点整理、決算・開示体制との接続まで、会社の実態に応じた支援を行っています。

「資料はあるが実態に合っているか不安」「監査法人指摘が毎年繰り返されている」「IT統制や子会社管理まで見切れていない」「J-SOX対応を決算早期化や経営管理にもつなげたい」とお感じの場合は、現状資料をもとに、まずは成熟度診断からご相談ください。

お問い合わせページより、現在の状況とご相談内容をお知らせください。

本記事の振り返り

診断領域	確認すべき成熟度
文書化状況	3点セットやRCMが、業務・リスク・統制・証跡を説明できる状態か
統制設計	統制が財務報告リスクに対応しており、過剰統制・統制不足が整理されているか
証跡管理	誰が、いつ、何を確認したかを後から説明できるか
評価履歴	評価計画、整備評価、運用評価、不備判定、是正が記録されているか
監査法人指摘	指摘対応で終わらず、原因分析と再発防止につながっているか
決算・開示体制	J-SOXが期末作業ではなく、月次・四半期・年度決算、開示基礎資料と接続しているか
IT統制	財務報告に関係するシステム、権限、変更管理、電子証跡が整理されているか
子会社管理	親会社が子会社の決算・業務・IT・証跡を説明できるか
不備管理	不備の原因、影響、是正責任者、期限、再評価が管理されているか
全社的内部統制	経営者、取締役会、監査役等、内部監査、IT、子会社管理が統制環境として機能しているか
改善ロードマップ	診断結果が優先順位づけと次の改善行動につながっているか

参考出典

金融庁｜「『内部統制報告制度に関するＱ＆Ａ』等の改訂について」
金融庁｜「『財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令の一部を改正する内閣府令（案）』等に対するパブリックコメントの結果等について」
e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令
e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令 第一号様式
日本公認会計士協会｜「『財務報告内部統制監査基準報告書第１号「財務報告に係る内部統制の監査」の改正』及び『公開草案に対するコメントの概要及び対応』の公表について」