J-SOX対応というと、販売プロセス、購買プロセス、在庫管理、固定資産、決算・財務報告プロセス、IT統制、3点セット、RCM、運用評価といった、個別論点に目が向きがちです。
もちろん、それらは重要です。売上がどのように計上されるのか。仕入や支払がどのように承認されるのか。棚卸資産がどのように管理され、決算整理仕訳が誰によってレビューされるのか。こうした業務プロセスごとの統制が弱ければ、財務報告の信頼性は保てません。
しかし、J-SOX対応を安定的に運用できる会社と、毎年のように手戻りや指摘が出る会社との違いは、個別業務プロセスの統制だけでは説明できません。
その前提にあるのが、全社的内部統制です。
全社的内部統制が弱い会社では、個別統制を整えても、運用が続かない、証跡が残らない、責任者が曖昧になる、監査法人から同じ指摘を受ける、子会社や現場にルールが浸透しないといった問題が起こりやすくなります。
反対に、全社的内部統制が機能している会社では、個別業務プロセスの統制が単なる作業ではなく、会社全体の管理体制の一部として動きます。J-SOX対応を、資料作成やチェックリスト消化で終わらせないためには、まずこの全社的内部統制を正しく捉えておく必要があります。
全社的内部統制とは、個別統制が機能するための土台である
内部統制とは、会社の目的を達成するために業務の中に組み込まれ、組織内のすべての者によって遂行されるプロセスです。
金融庁の内部統制基準では、内部統制は、業務の有効性・効率性、報告の信頼性、法令等の遵守、資産の保全という4つの目的を達成するための合理的な保証を得る仕組みとされています。そして、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応という6つの基本的要素から構成されると整理されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
このうち、J-SOX、すなわち内部統制報告制度で中心となるのは、財務報告に係る内部統制です。
ただし、財務報告に係る内部統制は、経理部門だけで完結するものではありません。売上、購買、在庫、資金、人件費、固定資産、IT、子会社管理、決算、開示といった会社全体の活動が、最終的に財務報告へつながるからです。
全社的内部統制とは、その会社全体に影響を及ぼす内部統制を指します。
もう少し実務的にいえば、個別業務プロセスの統制が有効に機能するための前提となる、会社全体の管理姿勢、組織構造、権限設計、リスク管理、情報共有、モニタリングの仕組みのことです。
たとえば、販売プロセスに「売上計上前に上長が承認する」という統制があったとします。それでも、会社全体として売上目標の達成だけが過度に重視され、異常な取引に疑問を持つ文化がなければ、その承認は形だけのものになりかねません。
購買プロセスに「一定金額以上の発注には稟議が必要」というルールがあっても、権限規程が現場に浸透していなければ、実際には事後承認や例外処理が常態化します。
決算プロセスに「重要な決算整理仕訳はレビューする」という統制があっても、レビュー担当者に十分な知識や時間がなく、証跡も残っていなければ、統制として機能しているとはいえません。
全社的内部統制は、こうした個別統制が「本当に動く会社か」を支える土台なのです。
全社的内部統制と業務プロセス統制の違い
J-SOX対応では、全社的内部統制と業務プロセスに係る内部統制を、分けて考える必要があります。
業務プロセス統制は、販売、購買、在庫、固定資産、人件費、資金、決算といった個別業務において、財務報告上の虚偽表示リスクを低減するための統制です。売上の実在性、債権の回収可能性、在庫の評価、支払の正当性、仕訳の承認、開示基礎資料の網羅性など、比較的具体的な取引や会計処理に結びつきます。
これに対して、全社的内部統制は、特定の取引だけに直接対応するものではありません。会社全体の統制意識、経営者の姿勢、取締役会や監査役等の機能、内部監査の有効性、リスク評価の仕組み、重要情報の伝達、規程体系、人材管理、IT統制への基本方針など、複数の業務プロセスに横断的に影響します。
つまり、業務プロセス統制が「個別の取引や会計処理を正しくするための統制」だとすれば、全社的内部統制は「それらの統制が会社全体で継続して機能するための環境」だといえます。
この違いを理解しないままJ-SOX対応を進めると、3点セットやRCMは整っているのに、なぜか監査法人から「全体として不安がある」と見られる状態になります。
その不安の正体は、個別の承認印やチェック欄にあるのではありません。会社全体としてリスクを把握し、必要な統制を設計し、運用し、問題があれば是正する仕組みが弱いことにあります。
全社的内部統制で見るべき6つの視点
全社的内部統制を理解するうえでは、内部統制の6つの基本的要素を、単なる用語としてではなく、実務上の確認観点として捉えることが重要です。
1. 統制環境｜会社の空気が統制の効き方を決める
統制環境は、内部統制の中でも特に重要な土台です。
金融庁の基準でも、統制環境は組織の気風を決定し、組織内のすべての者の統制に対する意識に影響を与え、他の基本的要素の基礎となるものとされています。例として挙げられているのは、誠実性・倫理観、経営者の意向・姿勢、経営方針、取締役会・監査役等の機能、組織構造、権限・職責、人事方針などです。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
実務上、統制環境は「社内規程があるか」だけでは判断できません。
重要なのは、経営者が財務報告の信頼性をどの程度重視しているか、数字の根拠を確認する文化があるか、経理や内部監査の指摘が軽視されていないか、現場が不自然な取引や例外処理を報告しやすいか、そして取締役会や監査役等が実質的に監督機能を果たしているか、という点です。
統制環境が弱い会社では、J-SOX対応が「監査法人に出す資料を整える作業」になりやすくなります。現場は統制の意味を理解せず、経理部門や内部監査部門だけが資料を集め、経営層は評価結果を形式的に承認する。
こうした状態では、個別統制がいくら整っていても、会社全体としての内部統制は脆弱です。
2. リスクの評価と対応｜前年踏襲ではなく、今の会社のリスクを見る
J-SOX対応では、評価範囲や重要なプロセスの選定が重要になりますが、その前提となるのがリスク評価です。
事業内容、組織体制、取引形態、IT環境、子会社の状況、決算体制、会計上の見積り、非定型取引、不正リスク。これらは、毎年同じとは限りません。
新規事業が始まった、重要なシステムを導入した、子会社を取得した、決算担当者が交代した、海外取引が増えた、資金繰りや業績目標のプレッシャーが高まった。こうした変化は、いずれも財務報告リスクに影響します。
にもかかわらず、評価範囲や全社統制評価が前年踏襲になっていると、J-SOX対応は形式化していきます。
リスク評価で重要なのは、「何が変わったか」「その変化が財務報告にどう影響するか」「従来の統制で対応できるか」を確認することです。
これは、単にリスク一覧を作ることではありません。会社の実態変化を、評価範囲、業務プロセス、IT統制、子会社管理、決算・開示プロセスに反映させることを意味します。
3. 統制活動｜会社全体のルールが現場の統制を支える
統制活動とは、リスクに対応するための具体的な方針や手続です。
全社的内部統制における統制活動としては、次のようなものが挙げられます。
- 職務権限規程、職務分掌
- 稟議規程、決裁ルール
- 会議体、規程改廃手続
- 経理規程、決算承認プロセス
- 子会社報告ルール
ここで注意しておきたいのは、規程があることと、統制が効いていることは同じではないという点です。
規程は整っていても、実際には誰も参照していない。承認権限表はあるが、例外処理が多い。稟議は通っているが、財務影響や会計処理の確認が含まれていない。子会社から資料は提出されているが、親会社側でレビューしていない。
このような状態では、統制活動は形式的に存在しているだけです。
全社的内部統制として見るべきなのは、規程やルールが、現場の業務プロセスと財務報告リスクに実際につながっているかどうかです。
4. 情報と伝達｜重要な情報が必要な人に届くか
内部統制は、情報が流れなければ機能しません。
財務報告に影響する取引や事象は、必ずしも経理部門から発生するわけではありません。営業部門の契約条件変更、購買部門の長期契約、製造部門の滞留在庫、法務部門の訴訟・クレーム、人事部門の賞与・退職給付、情報システム部門のシステム障害、子会社の会計処理変更。財務報告に影響する情報は、会社中に散らばっています。
全社的内部統制で重要になるのは、こうした情報が、決算・開示・J-SOX評価に必要なタイミングで、必要な部署に届く仕組みがあるかどうかです。
情報伝達が弱い会社では、決算の終盤で重要論点が発覚します。監査法人からの質問で初めて契約変更が明らかになる。開示資料の作成時点で子会社の未報告事項が見つかる。内部監査の指摘が経営層に十分共有されない。
このような状態では、財務報告の信頼性が個人の注意力に依存してしまいます。
情報と伝達は、メールや会議体の有無ではなく、「財務報告に必要な情報が、漏れなく、遅れず、判断可能な粒度で伝わるか」という観点で見る必要があります。
5. モニタリング｜問題を発見し、改善につなげる仕組み
モニタリングとは、内部統制が有効に機能しているかを継続的に確認する活動です。
J-SOX対応では、内部監査部門やJ-SOX評価担当者による評価が、モニタリングの中心になります。ただし、全社的内部統制としてのモニタリングは、それだけではありません。
経営会議での業績・差異分析、取締役会への報告、監査役等による監視、監査法人からの指摘事項管理、内部通報制度、不備の是正フォロー、子会社往査、IT障害報告なども、会社全体のモニタリングに関係します。
モニタリングで問われるのは、単に「評価を実施したか」ではありません。
発見事項が適切に重要度評価されているか。改善策に責任者と期限があるか。翌期に同じ指摘が繰り返されていないか。経営層や監査役等に必要な情報が報告されているか。改善が現場に定着しているか。こうした点が重要になります。
内部統制は、最初から完璧に整備できるものではありません。だからこそ、問題を見つけ、原因を整理し、改善し、翌期に反映するサイクルが必要になります。
モニタリングが弱い会社では、不備が「発見された事実」で止まり、「会社を改善する材料」にはなりません。
6. ITへの対応｜全社的統制とIT統制は分断できない
現在の財務報告は、ITから切り離せません。
販売管理システム、購買システム、在庫管理システム、給与システム、会計システム、連結システム、ワークフロー、電子契約、クラウドストレージ、BIツール。財務報告の基礎情報は、多くのシステムを経由しています。
全社的内部統制の観点では、ITを個別システムの設定だけで見るのではなく、会社全体としてITリスクをどのように管理しているかを見る必要があります。
たとえば、重要システムの範囲が整理されているか。アクセス権限の付与・変更・削除が管理されているか。システム変更時に経理・内部監査へ情報が共有されるか。クラウドサービスや外部委託先の統制をどう把握しているか。システム障害が決算・開示に与える影響を想定しているか。こうした論点です。
2023年の内部統制基準改訂では、ITへの対応に関して、委託業務に係る統制、サイバーリスクの高まり、情報システムに係るセキュリティ確保の重要性も明示されています。金融庁は、2023年4月に内部統制基準・実施基準の改訂意見書を公表し、2023年8月には内部統制報告制度に関するQ&A・事例集の改訂を公表しています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
出典：金融庁｜内部統制報告制度に関するQ&A等の改訂について
全社的内部統制が弱いと、なぜ個別統制も弱くなるのか
全社的内部統制が弱い会社では、個別業務プロセスの統制に次のような影響が出ます。
まず、統制の目的が現場に伝わりません。承認、照合、レビュー、証跡保存といった手続が、「監査法人に言われたからやる作業」と受け止められます。その結果、形式だけが残り、異常値や例外処理に気づく力が弱くなります。
次に、責任の所在が曖昧になります。誰が統制を実施するのか、誰がレビューするのか、誰が不備を是正するのか、誰が監査法人に説明するのか。これらがはっきりしません。責任が曖昧な統制は、担当者が変わった瞬間に崩れます。
さらに、リスク変化への対応が遅れます。事業が変わっても、評価範囲やRCMが更新されない。システムが変わっても、IT統制や証跡設計が見直されない。子会社が増えても、親会社のモニタリングが追いつかない。こうした問題は、個別プロセスの担当者だけでは解決できません。
そして、経営者による内部統制の無効化リスクが高まります。J-SOX上、経営者の姿勢や統制環境は非常に重要です。経営者が短期的な業績達成を過度に優先し、財務報告の信頼性や証跡を軽視する場合には、通常の承認統制が十分に機能しないことがあります。
つまり、全社的内部統制の弱さは、個別統制の弱さとして現れます。
個別業務プロセスで同じ指摘が繰り返される場合、その原因は販売プロセスや購買プロセスそのものではなく、会社全体の権限設計、情報伝達、モニタリング、経営姿勢にあることも少なくありません。
全社的内部統制の評価は、質問票を埋める作業ではない
J-SOX実務では、全社的内部統制の評価に質問票を使うことがあります。質問票そのものが悪いわけではありません。会社全体の統制項目を網羅的に確認するうえで、有用な道具です。
問題は、質問票の回答が「ある」「実施している」「該当なし」といった形式的な記載で終わり、その根拠や実効性が確認されていない場合です。
全社的内部統制の評価では、少なくとも次のような観点が必要になります。
- 規程や方針は、存在するかだけでなく、実際に使われているか
- 取締役会や監査役等は、開催されているかだけでなく、内部統制や財務報告に関する重要論点を把握しているか
- 内部監査は、実施されているかだけでなく、発見事項が改善につながっているか
- リスク評価は、行われているかだけでなく、評価範囲や統制設計に反映されているか
- 情報伝達ルートは、あるかだけでなく、重要情報が遅れずに届いているか
金融庁の基準上も、監査人は経営者による全社的な内部統制の評価の妥当性を検討するにあたり、取締役会、監査役等、内部監査等、経営レベルにおける内部統制の整備・運用状況を十分に考慮するものとされています。また、取締役会や監査役等の監視機能について、規程の存在、議事録等の記録、経営者を監督・監視する責任の理解と実行、内部監査人・監査人との連携などを確認することが重要とされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
したがって、全社的内部統制の評価では、回答欄を埋めるだけでは足りません。
- その回答を裏づける資料は何か
- その統制はいつ、誰が、どのように運用したのか
- その運用結果はどこに記録されているのか
- 不備や課題があった場合、誰がどう是正したのか
- その統制は財務報告リスクにどのように効いているのか
ここまで説明できて、初めて評価として意味を持ちます。
全社的内部統制は評価範囲にも影響する
全社的内部統制は、それ自体が評価対象になるだけではありません。業務プロセスに係る内部統制の評価範囲や評価方法にも影響します。
会社全体の統制環境が良好で、リスク評価やモニタリングが機能している場合と、統制環境に不安があり、重要情報の伝達や内部監査が弱い場合。同じ業務プロセスであっても、評価上の見方は変わってきます。
たとえば、全社的内部統制が弱い会社では、現場で運用されている統制に対して、より慎重な評価が必要になることがあります。逆に、全社的内部統制が有効に機能している会社では、個別プロセスの統制設計や評価方法を検討する際にも、その土台を踏まえた合理的な判断がしやすくなります。
金融庁の基準でも、全社的な内部統制の評価結果を踏まえ、業務プロセスに係る評価の範囲や方法等を調整する考え方が示されています。また、全社的な内部統制に不備が認められる場合には、業務プロセスに係る内部統制に及ぼす影響も含めて、財務報告に重要な影響を及ぼす可能性を慎重に検討することが求められます。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
ここが、全社的内部統制を軽視してはいけない理由です。
全社統制の評価が形式的であれば、評価範囲の判断も形式的になります。評価範囲の判断が形式的であれば、重要な業務プロセスやリスクを見落とします。その結果、J-SOX対応全体が「前年と同じ資料を更新する作業」になってしまいます。
J-SOX実務で全社的内部統制を確認するときの判断軸
全社的内部統制を実務上確認する際には、細かなチェック項目に入る前に、次の判断軸を持っておくことが重要です。
第一に、経営者が財務報告の信頼性を重要な経営課題として扱っているか。
経理・内部監査・監査法人の指摘が、単なる管理部門の話として処理されていないか。決算・開示・内部統制の課題が、必要に応じて経営会議や取締役会で扱われているか。ここに会社の姿勢が出ます。
第二に、会社のリスクが毎期見直されているか。
事業、組織、システム、子会社、取引形態、会計処理、外部環境の変化が、評価範囲や統制設計に反映されているか。前年踏襲で済ませていないかを確認する必要があります。
第三に、権限と責任が明確か。
誰が承認し、誰がレビューし、誰が評価し、誰が是正するのか。責任が曖昧な会社では、J-SOX対応が特定の担当者に依存し、担当者交代や組織変更に弱くなります。
第四に、重要情報が上がる仕組みがあるか。
現場で発生した例外取引、契約変更、システム障害、子会社の問題、監査法人からの指摘、内部通報、決算上の重要論点が、適切な部署と経営層に共有されているかを確認します。
第五に、不備や指摘が改善につながっているか。
指摘を受けること自体よりも、同じ指摘が繰り返されることのほうが問題です。原因分析、是正策、責任者、期限、再評価まで管理されているかを見る必要があります。
第六に、会社の規模や成熟度に合った仕組みになっているか。
過剰な統制は現場を疲弊させます。一方で、人的制約を理由に必要な統制を省略すれば、財務報告リスクは残ります。重要なのは、会社の現実を踏まえながらも、後から説明できる統制水準を確保することです。
全社的内部統制が形骸化している会社に見られる兆候
全社的内部統制が形骸化している会社には、いくつかの兆候があります。
- 全社統制評価の質問票が毎年ほとんど変わらない
- 回答の根拠資料が曖昧である
- 規程はあるが、実際の業務と合っていない
- 取締役会や監査役等への報告が、J-SOX評価結果の形式的な共有にとどまっている
- 内部監査の指摘事項が改善されず、翌年も同じ問題が残る
- 監査法人からのコメントが、経理部門だけで処理されている
- 子会社や現場の統制状況を、親会社が十分に把握していない
- IT部門のシステム変更が、経理やJ-SOX評価担当者に共有されない
こうした兆候がある場合、問題は「全社統制評価シートの書き方」ではありません。会社全体として、内部統制を運用し、改善し、説明する仕組みが弱い可能性があります。
J-SOX対応では、質問票や評価調書を整えることも必要です。しかし、それは結果であって目的ではありません。目的は、財務報告に重要な影響を及ぼすリスクを把握し、会社として合理的に対応し、その状態を経営者が説明できるようにすることです。
全社的内部統制を整えることは、守りだけではない
全社的内部統制というと、どうしても守りの話に聞こえます。不正を防ぐ、ミスを防ぐ、監査法人に対応する、開示リスクを抑える。もちろん、それらは重要です。
しかし、全社的内部統制を整える意味は、それだけではありません。
経営者の意思が組織に伝わる。現場のリスク情報が経営層に届く。権限と責任が明確になる。重要な取引や会計処理が早めに共有される。決算・開示に必要な情報が遅れずに集まる。内部監査や監査役等の指摘が改善につながる。子会社や拠点の管理状況が見える。
この状態は、J-SOX対応だけでなく、会社の経営管理そのものを強くします。
決算早期化、開示品質の向上、業務標準化、権限移譲、子会社管理、M&A後の統合、IPO準備、経営会議の高度化。これらは、いずれも全社的内部統制と無関係ではありません。
全社的内部統制が整っている会社は、数字と業務の状態を説明しやすくなります。説明できる会社は、監査法人、金融機関、投資家、取締役会、監査役等、子会社、現場との対話もしやすくなります。
J-SOX対応を、上場会社として避けられないコストで終わらせるのか。それとも、会社の信頼性と判断力を高める仕組みに変えるのか。その分岐点にあるのが、全社的内部統制です。
全社的内部統制を見直すときは、どこから始めるべきか
全社的内部統制を見直す際に、いきなりすべてを作り替える必要はありません。むしろ、全社統制を一度に大きく変えようとすると、現場に過度な負荷がかかり、運用が続かなくなることがあります。
まず確認すべきなのは、現在のJ-SOX評価において、全社的内部統制がどのように評価されているかです。質問票、評価調書、根拠資料、監査法人コメント、内部監査報告、取締役会・監査役等への報告資料を確認します。
次に、直近で発生している問題と照らし合わせます。決算遅延、監査法人指摘、証跡不足、規程未更新、子会社からの資料遅延、IT統制の不備、例外承認の多発、内部監査指摘の未改善。こうした事象がある場合、それらが全社的内部統制のどの要素に関係しているかを整理します。
そのうえで、優先順位をつけます。
すぐに整えるべきなのは、財務報告に重要な影響を与える可能性が高い領域です。たとえば、経営層への報告が弱い、重要な会計論点が経理に届かない、内部監査の改善フォローが機能していない、子会社管理が不十分、IT変更情報がJ-SOX評価に反映されていない、といった論点です。
全社的内部統制の見直しは、立派な規程を作ることから始めるのではありません。会社のどこで情報が止まり、どこで責任が曖昧になり、どこでリスクが見えなくなっているのか。それを把握することから始まります。
まとめ｜全社的内部統制は、会社全体の説明力を支える仕組み
全社的内部統制とは、J-SOX評価上の一項目ではありません。
それは、会社が財務報告の信頼性を確保するために、経営者の姿勢、組織体制、権限、リスク評価、情報伝達、モニタリング、IT対応を、会社全体で機能させる仕組みです。
個別業務プロセスの統制は重要です。しかし、その統制が継続して動くか、異常を発見できるか、不備を改善できるか、経営層や監査法人に説明できるか。それらは、全社的内部統制に左右されます。
J-SOX対応が形式的になっている会社では、全社的内部統制の評価も形式的になっていることが少なくありません。質問票を埋めるだけではなく、会社の実態、リスク、情報の流れ、責任の所在、改善サイクルを確認する必要があります。
全社的内部統制を整えることは、会社を縛ることではありません。決算・開示・業務・IT・子会社管理を、後から説明できる状態に近づけていくことです。
それは、会社の信頼性を高めるだけでなく、経営判断の質を高める取り組みでもあります。
J-SOX対応・全社的内部統制の見直しをご検討の方へ
全社的内部統制の評価が形式的になっている。監査法人から毎年同じような指摘を受けている。J-SOX対応が経理部門や内部監査部門に偏っている。子会社やIT統制まで含めた全体像を整理できていない。
このような状態では、個別の3点セットや評価調書を修正するだけでは、根本的な改善につながらないことがあります。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる文書化やチェックリスト対応ではなく、決算・開示・業務フロー・権限設計・証跡管理・子会社管理・経営管理体制をつなぐ仕組みとして整理します。
まずは、現在のJ-SOX対応状況、監査法人からの指摘、全社統制評価の進め方、社内体制の課題を確認したうえで、どこから整えるべきかを一緒に整理することが重要です。
J-SOX対応や全社的内部統制の見直しについて、専門家の視点から課題を整理したい場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。
振り返り｜この記事の重要ポイント
| 論点 | 重要ポイント |
|---|---|
| 全社的内部統制の位置づけ | 個別業務プロセス統制が有効に機能するための、会社全体の土台である |
| 業務プロセス統制との違い | 個別取引に効く統制ではなく、経営姿勢・組織・権限・情報伝達・監視に横断的に影響する |
| 統制環境 | 経営者の姿勢、倫理観、取締役会・監査役等の機能、組織構造、権限・職責が統制の効き方を左右する |
| リスク評価 | 前年踏襲ではなく、事業・組織・IT・子会社・取引の変化を評価範囲や統制設計に反映する |
| 情報と伝達 | 財務報告に必要な情報が、必要な部署・経営層に適時に届く仕組みが必要である |
| モニタリング | 不備や指摘を発見するだけでなく、原因分析・是正・再評価までつなげる必要がある |
| ITへの対応 | 財務報告に関係するシステム、アクセス権限、変更管理、外部委託、サイバーリスクも全社的統制と関係する |
| 評価上の注意点 | 質問票を埋めるだけでは不十分であり、根拠資料、運用実態、改善状況まで確認する必要がある |
| 経営管理との接続 | 全社的内部統制は、決算早期化、開示品質、業務標準化、子会社管理、経営判断の質にも影響する |
