J-SOX対応で最初につまずきやすい論点の一つが、「どこまでを評価範囲に含めるべきか」という判断です。
評価範囲は、「どの子会社を見るか」「どの業務プロセスを評価するか」「売上の何割までを対象にするか」といった、単なる作業上の線引きではありません。財務報告の信頼性に重要な影響を与え得るリスクを踏まえて、どの拠点・プロセスの統制を、どの証跡によって評価するのか。それを決める判断です。
評価範囲を広げすぎれば、評価作業は重くなります。評価資源が分散して現場の負担が増し、重要な論点への対応に十分な時間を確保できなくなるおそれがあります。
反対に、評価範囲を狭めすぎれば、本来見るべきリスクが評価対象から外れてしまいます。その結果、監査法人との認識の齟齬や、追加評価による手戻りが生じかねません。さらに、開示すべき重要な不備を適時に把握・是正できず、後日になって明らかになるおそれもあります。
2023年4月に企業会計審議会が公表した改訂内部統制基準・実施基準では、経営者が内部統制の評価範囲を決定する際の考え方が明確に示されました。財務報告に対する金額的・質的影響の重要性を踏まえて合理的に評価範囲を決定し、その決定方法や根拠等を適切に記録する、というものです。
改訂後の基準・実施基準は、2024年4月1日以後に開始する事業年度における内部統制の評価及び監査から適用されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）（2023年4月7日）
あわせて、2023年6月に公表された内部統制府令ガイドラインの改正では、内部統制報告書における評価範囲の記載について、次の事項を決定した事由を含めて記載することが求められています。重要な事業拠点の選定に用いた指標や一定割合、業務プロセスの識別に用いた勘定科目、そして個別に追加した事業拠点・業務プロセスです。
出典：金融庁｜内部統制府令ガイドライン 4－4
この記事では、J-SOXにおける評価範囲決定の基本について、制度の形式的な説明ではなく、実務上どのように考えるべきかという視点から整理していきます。
評価範囲決定は、評価対象とその選定根拠を明確にする作業
J-SOXにおける評価範囲決定とは、財務報告に係る内部統制の有効性を評価するにあたり、何を評価対象とするかを決めることです。対象となり得るのは、会社、事業拠点、業務プロセス、決算・財務報告プロセス、IT統制です。
ただし実務では、「評価対象に含めるかどうか」だけを見ていると、本質を見誤ります。評価範囲決定で本当に問われるのは、次のような判断です。
どの事業拠点の数字が、連結財務諸表に重要な影響を与えるのか。どの勘定科目に至るプロセスで、重要な虚偽表示が発生し得るのか。どの統制が、どのリスクに効いているのか。評価対象外とした拠点やプロセスについて、なぜ外してよいと判断したのか。そして、その判断を監査法人、内部監査部門、経営層、監査役等に説明できるのか。
つまり評価範囲決定とは、財務報告への影響の重要性とリスクを踏まえ、内部統制の有効性を評価する対象を合理的に選定する作業です。単に作業量を調整するのではなく、その範囲で必要な評価を行える理由を明確にしなければなりません。
なお、評価対象外としたからといって、財務報告とその信頼性を支える内部統制に関する経営者の責任がなくなるわけではありません。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準 Ⅰ．4．⑴、Ⅱ．2．⑵
評価範囲の決定が弱い会社では、J-SOX対応が毎年同じ資料の更新にとどまりがちです。
一方、評価範囲の判断軸が整っている会社では、事業の変化、子会社の増減、システム変更、非定型取引、不正リスクの高まりに応じて、評価対象を見直すことができます。
J-SOX対応を「守りの制度対応」で終わらせる会社と、「説明できる経営管理体制」へつなげる会社の違いは、ここに表れます。
評価範囲決定の出発点は「財務報告への重要な影響」
評価範囲を考えるうえでの出発点は、財務報告に対する影響の重要性です。
内部統制基準・実施基準では、経営者は、財務報告の信頼性に及ぼす影響の重要性の観点から、必要な範囲について財務報告に係る内部統制の有効性を評価するものとされています。
その評価は原則として連結ベースで行います。また、外部に委託した業務のうち財務報告に重要な影響を及ぼすものについても、関係する内部統制を評価範囲に含めることになります。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑴
出典：金融庁｜内部統制報告制度に関するQ&A 問22
ここで重要なのは、「重要性」を金額だけで見ないことです。
売上高、総資産、税引前利益、勘定科目残高といった金額的重要性は、評価範囲決定の重要な入口になります。しかし、J-SOXで問題となる財務報告リスクは、金額の大きさだけで決まるものではありません。
たとえば、金額規模が相対的に小さい子会社であっても、複雑な取引を行っている、経営者による統制の無効化を防止・発見する仕組みが弱い、取引の実在性に疑義が生じやすい、ITシステムが大きく変更された、重要な見積りを含む、海外拠点で親会社のモニタリングが効きにくい、といった事情を抱えていることがあります。
こうした事情については、財務報告に及ぼす金額的・質的影響と、重要な虚偽表示の発生可能性の両面から検討し、評価対象に含める必要があるかを判断します。
一方で、全社的な内部統制の評価結果、各拠点・プロセスの重要性、前年度の評価結果、内部統制の変更状況などを踏まえ、評価手続の範囲や頻度を調整できる場合もあります。ただしその際は、評価範囲の決定、前年度の評価結果の利用、当年度に実施する評価手続の範囲を、それぞれ区別して判断する必要があります。
たとえば、前年度に評価した重要な事業拠点を当年度の評価対象としない取扱いには、いくつかの条件があります。前年度の評価結果が有効であること、整備状況に重要な変更がないこと、グループ内の中核会社などの特に重要な事業拠点ではないこと、などです。
全社的な内部統制について、前年度の運用状況の評価結果を継続して利用する場合も同様です。財務報告の信頼性に特に重要な影響を及ぼす項目を除き、前年度の評価結果が有効で、整備状況に重要な変更がないことを確認し、その旨を記録する必要があります。
いずれの取扱いを採用する場合も、期末日時点の有効性を評価するための根拠は確保しておかなければなりません。
したがって、評価範囲は「大きいから入れる」「小さいから外す」という単純な判断ではありません。金額的重要性、質的重要性、発生可能性、統制環境、業務の複雑性、変化の有無を組み合わせて決める必要があります。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵、Ⅱ．3．⑴・⑵
「おおむね3分の2」や「売上・売掛金・棚卸資産」は出発点であって結論ではない
J-SOX実務では、重要な事業拠点の選定にあたり、全社的な内部統制の評価が良好な場合の例として、売上高等の指標で連結ベースのおおむね3分の2程度をカバーするという考え方が示されています。
また、一般的な事業会社では、売上・売掛金・棚卸資産の3勘定に至る業務プロセスを評価対象とする考え方がよく用いられます。
これらは実務上の出発点として有用です。評価範囲を一定のルールで整理し、監査法人と初期的な認識合わせを行ううえでも役立ちます。
しかし、これを機械的に適用してしまうと、評価範囲判断の質は大きく下がります。
内部統制実施基準では、事業拠点の選定指標として基本的には売上高が用いられるものの、企業の環境や事業の特性によっては、総資産や税引前利益等の異なる指標、あるいは追加的な指標を用いることがあるとされています。
売上高等の一定割合についても、企業によって事業や業務の特性等が異なるため、一律に示すことは困難だとされています。全社的な内部統制に良好でない項目がある場合には、それに関連する事業拠点を評価範囲に含める必要があります。
さらに、一般的な事業会社における売上・売掛金・棚卸資産の3勘定も、あくまで例示です。個別の業種、企業の置かれた環境や事業の特性等に応じて、適切に判断することが求められます。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵①・②
この点を誤ると、評価範囲は一見整っているように見えながら、実態としてはリスクを取り逃がしている状態になります。
たとえば、売上高を基準にすれば評価対象から外れる領域であっても、在庫評価、金融商品、重要な引当金、減損、税効果、関連当事者取引、非定型契約などによって、財務報告リスクが大きいことがあります。
また、売上・売掛金・棚卸資産の3勘定だけを対象にすると、固定資産、のれん、無形資産、引当金、税効果、借入金、デリバティブなど、会社によっては重要なリスクを含む他の勘定科目に係るプロセスを見落とす可能性があります。
売上を評価対象に含めている場合でも、油断はできません。標準的な販売取引だけを確認し、収益認識に影響する複雑な契約や非定型取引を把握していなければ、必要なプロセスや統制が評価から漏れるおそれがあります。
J-SOXの評価範囲決定において、数値基準を使うこと自体が問題なのではありません。問題は、数値基準を使った後に「それで本当に財務報告リスクを説明できるのか」を検討していないことにあります。
評価範囲は3つの層で考える
実務上は、全社的な内部統制、決算・財務報告プロセス、その他の業務プロセスの3つに分けて整理すると、評価対象を把握しやすくなります。
ただし、決算・財務報告プロセスも業務プロセスの一部です。全社的な観点で評価する部分と、固有の業務プロセスとして評価する部分を区別する必要があります。また、IT統制はこれらの領域に横断的に関係します。
全社的な内部統制
統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応など、企業集団全体の財務報告に影響を与える、土台となる統制です。
全社的な内部統制は、原則としてすべての事業拠点について、全社的な観点から評価します。ただし、財務報告に対する影響の重要性が僅少である事業拠点については、その重要性を勘案して評価対象外とすることができます。
重要な事業拠点を売上高等で選定する手順を、そのまま全社的な内部統制の評価範囲に当てはめるわけではない点に注意が必要です。
全社的な内部統制が弱い場合には、個別の業務プロセス統制が形式的に整っていても、会社全体としての内部統制の有効性に疑義が生じます。
決算・財務報告プロセス
総勘定元帳から財務諸表を作成する手続、連結修正や組替、開示事項を作成する手続など、財務報告の最終成果物に直結するプロセスです。
決算・財務報告プロセスのうち、全社的な観点で評価することが適切なものは、全社的な内部統制に準じて、原則としてすべての事業拠点を対象に評価します。ただし、財務報告に対する影響の重要性が僅少である事業拠点については、評価対象外とすることができます。
それ以外の決算・財務報告プロセスは、固有の業務プロセスとして、その重要性とリスクに応じて評価範囲を検討します。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵、Ⅱ．3．⑵・⑶
その他の業務プロセスに係る内部統制
販売、購買、在庫、固定資産、人件費、資金、原価計算、見積り、非定型取引など、財務諸表の勘定科目に至る業務プロセスが、ここに含まれます。
評価範囲決定では、この3つを混同しないことが重要です。
全社的な内部統制の問題を、販売プロセスの評価だけで解決しようとしても限界があります。決算・開示プロセスの問題を、日常の仕訳承認だけで補うこともできません。反対に、業務プロセス上の具体的なリスクを、全社的な内部統制の質問票だけで十分に評価したことにするのも危険です。
評価範囲を決める際には、「これは全社的な統制の問題なのか」「決算・財務報告プロセスとして見るべきなのか」「個別の業務プロセスとして見るべきなのか」を切り分けて考える必要があります。
また、重要な事業拠点として選定しなかった拠点が、直ちに「重要性が僅少な拠点」になるわけではありません。販売プロセスの評価対象となる重要な事業拠点には選定しない一方で、全社的な内部統制と、全社的な観点で評価する決算・財務報告プロセスは評価する、という整理もあり得ます。
評価対象外とした理由は、どの評価区分から除外したのかと併せて説明する必要があります。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵
連結ベースで考えるということ
J-SOXの評価は、原則として連結ベースで行います。
これは、親会社単体だけを見ればよいという意味ではありません。連結財務諸表を構成する提出会社、子会社、関連会社を、評価範囲の決定手続の対象に含める必要があります。
内部統制実施基準では、連結対象となる子会社等に加え、持分法適用となる関連会社も、評価範囲を決定する際の対象に含まれるとされています。
評価対象とした関連会社について、子会社と同様の評価が行えない場合には、全社的な内部統制を中心に、質問書、聞き取り、当該関連会社が作成した報告の閲覧等によって評価します。こうした評価も行えないなど特段の事情がある場合には、投資損益の把握など、当該関連会社に係る管理プロセスの確認等による評価を検討します。
関連会社であっても、虚偽表示リスクが大きい場合には、重要性の大きい業務プロセスの評価が必要になることがあります。また、関連会社の売上高を連結売上高の一定割合にそのまま算入するのではなく、連結財務諸表に対する影響の重要性を別途検討します。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑴①、Ⅱ．2．⑵①
出典：金融庁｜内部統制報告制度に関するQ&A 問5・問21
この点は、子会社管理に課題を抱える会社では特に重要です。
子会社の数字が親会社の連結財務諸表に取り込まれる以上、親会社としては「子会社側で処理しているのでわからない」という説明では足りません。
子会社の決算スケジュール、連結パッケージ、会計方針、権限規程、証跡管理、ITシステム、そして親会社によるレビュー体制まで含めて、どこまで把握し、どこまで評価するかを決める必要があります。
とくに注意したいのは、M&Aで新たに取得した子会社、海外子会社、急成長している子会社、経理人員が限られている子会社、親会社と異なるシステムを利用している子会社です。これらは、金額規模だけでは判断しにくいリスクを含んでいます。
評価範囲決定では、こうした事情が財務報告への影響の重要性や虚偽表示の発生可能性にどう関係するかを検討したうえで、評価対象に含めるか、少なくとも追加的な確認手続を行うかを判断することが必要です。
評価範囲決定の基本的な進め方
評価範囲の検討は、次の順番で進めると整理しやすくなります。
1. 連結グループ全体を把握する
最初に行うべきことは、評価対象となり得る会社・拠点・事業・業務の全体像を把握することです。
具体的には、親会社、連結子会社、持分法適用会社、支店、事業部、海外拠点、製造拠点、販売拠点、シェアードサービス、外部委託先などを整理します。
事業拠点は、必ずしも地理的な拠点だけを意味するわけではありません。実施基準でも、本社、子会社、支社、支店のほか、事業部等として識別されることがあるとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵①
実務では、評価範囲を決める前の段階で、この全体像が古くなっていることが少なくありません。組織図、連結範囲、管理会計上の事業区分、会計システムの会社コード、連結パッケージの提出単位、業務フロー上の処理単位が、互いに一致していないこともあります。
この段階で大切なのは、「財務報告の責任単位」と「業務運用の実態」の両方を見ることです。
会計上は一つの会社であっても、事業部ごとに業務フローやシステムが異なる場合には、評価単位を分ける必要が生じることがあります。反対に、法人は複数でも、同じシェアードサービスや同じシステムで処理されている場合には、統制の共通性を踏まえて評価方法を検討できることがあります。
2. 全社的な内部統制の評価結果を整理する
全社的な内部統制を評価し、その結果が各拠点・業務プロセスに及ぼす影響を整理します。そのうえで、業務プロセスの評価範囲を決定します。
全社的な観点で評価する決算・財務報告プロセスについても、重要な事業拠点の選定とは区別して、対象範囲を整理します。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵、Ⅱ．3．⑴・⑵
3. 重要な事業拠点を選定する
次に、評価対象とする重要な事業拠点を選定します。
一般的には、売上高、総資産、税引前利益、経常収益などの指標を用い、金額的重要性を踏まえて対象拠点を選びます。ただし、どの指標を使うかは会社の事業特性によって異なります。
販売活動が中心の事業であれば、売上高が有用な指標になりやすいでしょう。一方、投資資産や金融資産が重要な会社では、総資産や特定の勘定残高が重要になることがあります。
利益の変動が大きい会社では、単年度の税引前利益だけで判断すると、リスクの実態を捉えにくい場合があります。銀行等では、経常収益など別の指標が考えられることもあります。
ここで避けたいのは、「前年と同じだから」「監査法人から特に言われていないから」という理由だけで評価範囲を維持することです。
評価範囲を毎年ゼロから作り直す必要まではありません。しかし少なくとも、事業構造、売上構成、利益構成、拠点別のリスク、子会社の状況、システム変更、組織変更、不正リスク、監査法人の指摘を踏まえて、前年の範囲を見直す必要があります。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵・⑶
4. 重要な勘定科目と業務プロセスを結びつける
重要な事業拠点を選定した後は、その拠点において、どの勘定科目に至る業務プロセスを評価対象とするかを決めます。
一般的な事業会社では、売上、売掛金、棚卸資産の3勘定が例示されることがあります。しかし、これをそのまま全社に当てはめるだけでは不十分です。
重要な事業拠点（持分法適用関連会社を除きます。）では、企業の事業目的に大きく関わる勘定科目に至る業務プロセスを、財務報告に及ぼす影響を勘案したうえで、原則としてすべて評価対象とします。
重要な事業や業務との関連性が低く、財務報告への影響の重要性も僅少であるプロセスなどを除外する場合には、そのプロセスと除外理由を記録します。
評価範囲決定で必要なのは、財務諸表項目と業務プロセスを結びつけることです。
売上に至るプロセスであれば、受注、出荷、検収、請求、売上計上、返品・値引、入金消込までを、どこまで見るのか。
棚卸資産であれば、購買、入庫、出庫、実地棚卸、在庫評価、原価計算、滞留在庫管理までを、どこまで見るのか。
固定資産であれば、投資承認、発注、検収、台帳登録、減価償却、除売却、減損兆候の把握までを、どう見るのか。
勘定科目を選ぶだけでは、評価範囲は決まりません。その勘定科目に至る業務プロセスのうち、どこで重要な虚偽表示が発生し得るのか、どの統制がそのリスクに対応しているのかまで整理する必要があります。
また、評価対象とする業務プロセスを決めることと、その中で評価する統制上の要点を選ぶことは、別の判断です。すべての作業や統制を一律に検証するのではなく、財務報告の信頼性に重要な影響を及ぼす統制を評価します。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵②、Ⅱ．3．⑶
5. 個別に追加すべき拠点・プロセスを検討する
数値基準で選ばれた拠点や、典型的な勘定科目に至るプロセスだけでは、評価範囲として不十分なことがあります。
内部統制実施基準では、選定された事業拠点以外の事業拠点についても、財務報告への影響を勘案し、重要性の大きい業務プロセスを個別に評価対象に追加することとされています。
追加検討の対象として挙げられているのは、金融取引やデリバティブ取引、価格変動の激しい棚卸資産、複雑な会計処理、海外拠点、企業結合直後の拠点、見積りや経営者による予測を伴う重要な勘定科目、非定型・不規則な取引などです。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵②
この追加検討こそが、評価範囲判断における実務上の核心です。
J-SOX対応が形式化している会社では、最初の数値基準までは整理されていても、個別追加の検討が弱いことがあります。その結果、金額は小さくても質的に重要な領域が、評価対象から漏れてしまいます。
たとえば、非定型契約、関連当事者取引、重要な見積り、M&A後の統合が済んでいない領域、外部委託先での処理、クラウドシステム上のデータ連携、そして経営者が通常の承認手続を迂回でき、独立したレビューが働きにくい取引といった領域です。
前年から大きな変化がない場合でも、長期間にわたって評価範囲外としてきた事業拠点や業務プロセスについては、評価対象に含める必要性を検討します。
対象外としてきた期間、最後に評価した時点、その後に把握した情報やリスクを踏まえて、追加の要否と判断根拠を整理することが必要です。長期間対象外であることだけを理由に機械的に追加するのではなく、現在の評価範囲が妥当かどうかを改めて検討します。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵
評価範囲の説明可能性を高めるには、「入れた理由」だけでなく、「追加を検討したが入れなかった理由」も残しておくことが重要です。
6. IT統制を後回しにしない
評価範囲を決める際にIT統制の検討を後回しにすると、業務プロセスとの関係を十分に把握できず、後になって大きな手戻りが生じるおそれがあります。
業務プロセスの中には、システム上の自動計算、自動仕訳、マスタ設定、ワークフロー承認、アクセス権限、データ連携、バッチ処理、クラウドサービス、外部委託先での処理に依存しているものがあります。このような場合、業務上の承認証跡だけを見ても、統制の有効性を十分に説明できないことがあります。
たとえば、販売プロセスにおける売上計上が、販売管理システムから会計システムへ自動連携されているケースを考えてみます。
この場合、売上伝票の承認だけでなく、財務報告に関係するデータ連携の完全性・正確性、マスタ変更、アクセス権限などのリスクを把握し、それに対応するIT業務処理統制とIT全般統制を識別する必要があります。
そのうえで、財務報告への影響と統制上の要点を踏まえて、評価する範囲と手続を決定します。手作業による照合などの補完統制が、同じリスクに十分に対応しているかどうかも考慮します。
内部統制基準では、組織の業務内容がITに大きく依存している場合や、情報システムがITを高度に取り入れている場合等には、ITへの対応が内部統制の目的を達成するために不可欠な要素として、内部統制の有効性を判断する規準になるとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準 Ⅰ．2．⑹、財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．3．⑶・⑷
評価範囲決定では、業務プロセスを選んだ後にITを考えるのではなく、業務プロセスとIT依存の関係を同時に整理する必要があります。
特に、クラウドサービス、外部委託、ERPの入替、サブシステム連携、権限管理、電子承認、ログ管理は、評価範囲の検討段階からIT部門と経理部門が連携して確認すべき領域です。ただし、すべてのシステムや権限、ログを一律に同じ粒度で評価するという意味ではありません。
外部委託についても、評価するのは財務報告に重要な影響を及ぼす委託業務に関係する内部統制です。受託会社全体を一律に評価するわけではありません。
委託業務の内容に応じて、自社での検証や受託会社から入手する評価結果等を利用し、それらが十分な評価の証拠となるかを判断します。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑴②
出典：金融庁｜内部統制報告制度に関するQ&A 問22・問24
評価範囲外とした領域も「無関係」になるわけではない
評価範囲外とした拠点や業務プロセスが、J-SOX上の評価作業から完全に切り離されるわけではありません。
実施基準では、評価範囲外の事業拠点や業務プロセスにおいて開示すべき重要な不備が識別された場合には、少なくとも当該不備が識別された時点を含む会計期間の評価範囲に含めることが適切であるとされています。
また、財務報告に対する影響の重要性が僅少である事業拠点の判断についても、特定の比率を機械的に適用すべきものではないとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑵
この点は、実務上きわめて重要です。
「評価対象外だから見なくてよい」という発想は危険です。評価対象外とするには、そうしてよい理由が必要です。
さらに、評価対象外とした後であっても、事業環境や組織体制、決算の状況、監査法人の指摘、不正の兆候、システム変更などによって、評価範囲に含める必要が生じることがあります。
したがって、評価範囲外とした拠点やプロセスについても、最低限のモニタリングは欠かせません。
たとえば、連結パッケージの異常値、親会社レビューでの差戻し、子会社の決算遅延、内部監査の結果、監査法人からのコメント、経営会議資料、重要な契約の発生、システム変更の有無。こうした情報を通じて、評価範囲外の領域に重要な変化がないかを把握する仕組みを持っておくべきです。
これは、対象外としたすべての拠点・プロセスについて、毎年同じ詳細な評価を行うという意味ではありません。対象外としてきた期間の長さや新たに把握した情報を踏まえて、追加評価の必要性を判断します。
監査法人との協議は「承認をもらう場」ではなく「判断の妥当性を検証する場」
評価範囲を決める際には、監査法人との協議が重要になります。
ただし、ここで注意すべき点があります。評価範囲を決定する責任は、あくまで経営者にあります。監査法人が決めるものではありません。
内部統制実施基準でも、経営者は評価範囲の決定前後に、その範囲を決定した方法や根拠等について、必要に応じて監査人と協議を行っておくことが適切であるとされています。一方で、評価範囲の決定は経営者が行うものであり、協議は監査人による指摘を含む指導的機能の一環であることに留意が必要とされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅱ．2．⑶
監査法人との協議で重要なのは、「この範囲でよいですか」と尋ねることではありません。
会社として、どの指標を用いたのか。なぜその指標が自社の事業特性に適しているのか。なぜその一定割合を採用したのか。どの勘定科目を、企業の事業目的に大きく関わるものとして選んだのか。どの拠点・プロセスを個別に追加したのか。
評価対象外とした領域について、どの評価区分から除外したのか。金額的・質的影響や虚偽表示の発生可能性を踏まえ、なぜその範囲の評価を不要と判断したのか。そして、前年からの変更点は何か。
こうした判断の過程を整理したうえで、監査法人の視点を受けることが大切です。
監査法人との協議が遅れると、評価手続が進んだ後になって、「この拠点も入れるべきではないか」「このプロセスの評価が必要ではないか」といった指摘を受け、限られた時間で追加評価を行うことになります。
特に期末近くになってからの評価範囲の変更は、証跡の取得や運用評価の期間確保が難しくなるため、手戻りの負担が大きくなります。
評価範囲は、J-SOXの年間計画の初期段階で検討し、事業や組織に大きな変化があった場合にはその都度見直すべきです。
評価範囲決定で残すべき資料
評価範囲決定の品質は、最終的には資料に表れます。
評価範囲資料は、単なる一覧表では足りません。評価対象会社、重要な事業拠点、評価対象プロセスを示すだけでなく、なぜその範囲としたのかを説明できる内容であることが必要です。
少なくとも、次のような内容は整理しておくべきです。
- 連結グループ全体の会社・拠点一覧
- 連結子会社、持分法適用会社、非連結子会社の位置づけ
- 使用した選定指標とその理由
- 一定割合の考え方
- 重要な事業拠点の選定結果
- 全社的な内部統制、決算・財務報告プロセス、その他の業務プロセスの各評価区分において、対象外とした拠点・プロセスとその理由
- 企業の事業目的に大きく関わる勘定科目
- 当該勘定科目に至る業務プロセス
- 個別に追加した拠点・プロセス
- 長期間評価範囲外としている拠点・プロセス、直近の評価時期、当年度に再検討した結果とその根拠
- IT統制との関係
- 全社的な内部統制の評価結果との関係
- 前年からの変更点
- 監査法人との協議内容
- 評価範囲決定後に発生した変更事項と対応
この資料は、監査法人対応のためだけに作るものではありません。内部監査部門、経理部門、情報システム部門、子会社管理部門、経営層が、同じ前提に立ってJ-SOX対応を進めるための共通認識になります。
評価範囲資料が整っていれば、なぜその拠点を評価対象にしたのか、なぜその業務プロセスを評価対象外にしたのか、なぜ今年から追加したのかを、社内外に説明しやすくなります。
これは、J-SOX対応を担当者個人の判断から、会社としての判断へと変えていくための重要な一歩です。
評価範囲決定でよくある失敗
評価範囲決定では、前年の判断を十分に検証しないまま踏襲したり、制度・業務・システムに関する情報の把握が不足していたりすることで、次のような問題が生じます。
第一に、数値基準だけで評価範囲を決めてしまうことです。売上高の大きい拠点を順に並べるだけでは、質的重要性の高い拠点やプロセスが漏れる可能性があります。
第二に、全社的な内部統制の評価結果を、業務プロセスの範囲決定に反映していないことです。全社的な内部統制に不備や弱点がある場合には、それに関連する拠点やプロセスを追加的に評価する必要が生じます。
第三に、決算・財務報告プロセスを軽視することです。販売や購買などの日常業務プロセスに目が向きすぎる一方で、連結修正、開示基礎資料、会計上の見積り、注記情報、決算整理仕訳のレビューが十分に評価されていないことがあります。
第四に、IT統制を業務プロセスと切り離してしまうことです。システムに依存している統制を、関連するリスクに十分に対応していない手作業の承認やチェックだけで説明しようとすると、後からIT全般統制やIT業務処理統制の不足が問題になることがあります。
第五に、評価範囲外とした理由が残っていないことです。評価対象に含めた理由は残っていても、外した理由が残っていなければ、監査法人との協議や後日の見直しの際に説明が難しくなります。
第六に、前年踏襲です。組織変更、M&A、子会社化、システム変更、新規事業、会計基準の改正、非定型取引、不正リスクの変化があったにもかかわらず、その影響を検討しないまま前年の評価範囲を踏襲している場合には、範囲決定の妥当性が問われます。再検討の結果として範囲を変更しない場合も、その判断根拠を残しておくことが必要です。
評価範囲決定は経営管理体制の鏡である
評価範囲決定を丁寧に行うと、会社の管理体制上の課題が見えてきます。
どの子会社の数字が見えにくいのか。どの業務プロセスが属人化しているのか。どの証跡が残っていないのか。どのシステムの権限管理が弱いのか。どの決算資料が担当者の経験に依存しているのか。どの拠点で親会社のレビューが効いていないのか。
これらは、J-SOX対応に限った問題ではありません。決算早期化、開示品質、子会社管理、予算管理、経営会議資料、金融機関や投資家への説明、M&A後のPMI、IPO準備にもつながる論点です。
評価範囲決定は、「監査のためにどこまで評価するか」を決める作業であると同時に、「会社のどこに説明責任上の弱点があるか」を見つける作業でもあります。
その意味で、J-SOX対応を単なる制度対応で終わらせてしまうのは、非常にもったいないことです。
評価範囲を検討する過程で見えてきた課題を、業務フローの整備、権限規程の見直し、証跡管理、子会社管理、IT統制、決算早期化、内部監査の高度化へとつなげていく。そうすることで、J-SOXは会社の信頼性と判断力を高める仕組みになります。
専門家に相談すべき評価範囲の論点
評価範囲決定は、社内だけで完結できる場合もあります。しかし、次のような状況にある場合は、早い段階で専門家に相談する価値があります。
- 評価範囲が前年踏襲になっている
- 監査法人から評価範囲について毎年コメントを受けている
- 子会社、海外拠点、M&A後の会社が増えている
- ITシステムやクラウドサービスの変更があった
- 決算遅延や開示資料の手戻りが続いている
- 会計上の見積りや非定型取引が増えている
- 評価対象外の拠点やプロセスについて説明根拠が弱い
- 全社的な内部統制の評価結果と業務プロセスの評価範囲が連動していない
- J-SOX対応が担当者任せになっている
- IPO準備や上場後の運用を見据えて内部管理体制を整えたい
評価範囲決定では、制度の知識だけでなく、監査の目線、会計上の重要性、業務フロー、IT、子会社管理、決算・開示、内部監査の実務を横断的に見る必要があります。外部専門家を活用する意味は、ここにあります。
外部専門家の役割は、単に評価範囲資料を作成することではありません。会社の実態を踏まえて、どこに財務報告リスクがあるのかを整理し、どの拠点・プロセスを評価対象に含めるべきか、どこは評価対象外として説明可能か、どの論点を監査法人と事前に協議すべきかを整理することにあります。
まとめ｜「どこを見るか」と「なぜそこを見るか」を一体で説明する
J-SOXにおける評価範囲決定では、評価対象が適切であることと、その選定根拠を説明できることの双方が重要です。
なぜその範囲にしたのか。なぜその指標を使ったのか。なぜその拠点を含めたのか。なぜそのプロセスを外したのか。どのリスクに対応するために追加したのか。そして、その判断を監査法人、内部監査、経営層、現場に説明できるのか。
この説明可能性が、J-SOX対応の品質を左右します。
評価範囲を機械的に決める会社では、J-SOX対応は毎年の作業になりがちです。一方、評価範囲を重要性とリスクから見直す会社では、J-SOX対応が、決算・開示・業務フロー・IT・子会社管理・経営管理体制を整えるきっかけになります。
評価範囲決定は、J-SOX対応の入口であると同時に、会社の管理体制を見直す入口でもあるのです。
J-SOX評価範囲の整理に不安がある場合はご相談ください
J-SOXの評価範囲は、数値基準だけで整理できるものではありません。会社の事業構造、子会社管理、業務プロセス、IT環境、決算・開示体制、監査法人との協議状況を踏まえ、説明可能な判断として整理する必要があります。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる文書化やチェックリスト対応としてではなく、決算・開示・業務フロー・証跡・子会社管理・経営管理体制を整えるための取り組みとして支援しています。
評価範囲の決め方に不安がある、監査法人から指摘を受けている、上場準備や上場後の運用を見据えてJ-SOX対応を見直したい。このような場合は、現在の資料や課題を整理するところからご相談ください。
お問い合わせページより、現在の状況とご相談内容をお知らせください。
重要ポイントの振り返り
| 論点 | 実務上のポイント |
|---|---|
| 評価範囲決定の本質 | 財務報告への影響とリスクに基づき、評価対象とその選定根拠を明確にすること。経営者の責任を評価対象に限定するものではない |
| 判断基準 | 金額的重要性だけでなく、質的重要性、発生可能性、事業変化、統制環境を踏まえる |
| 数値基準の扱い | おおむね3分の2は、全社的な内部統制の評価が良好な場合の例示。3勘定とともに機械的に適用しない |
| 連結ベース | 親会社・連結子会社・持分法適用会社について評価範囲を検討し、財務報告に重要な影響を及ぼす外部委託業務も対象に含める |
| 全社的な内部統制 | 原則としてすべての事業拠点を対象とし、重要性が僅少な拠点の除外を検討する。その評価結果を業務プロセスの範囲決定に反映する |
| 決算・財務報告プロセス | 全社的な観点で評価する部分と、固有の業務プロセスとして評価する部分を区別する |
| 業務プロセス | 勘定科目と業務フローを結びつけ、どこで虚偽表示リスクが生じるかを整理する。対象プロセスの選定と統制上の要点の選定を区別する |
| IT統制 | 財務報告への影響とシステム依存を踏まえ、IT業務処理統制・IT全般統制・補完統制の関係を検討する |
| 長期間評価範囲外の領域 | 対象外としてきた期間、直近の評価時期、その後の情報やリスクを踏まえ、追加の必要性を検討する |
| 監査法人協議 | 承認をもらう場ではなく、会社の判断根拠を検証する場として活用する |
| 記録の重要性 | 評価対象に含めた理由だけでなく、どの評価区分から対象外としたのかと、その理由も残す |
| 経営管理との接続 | 評価範囲の検討で見えた課題は、決算早期化、開示品質、子会社管理、内部監査の高度化につながる |
