不備の是正計画とフォローアップ｜J-SOXで指摘対応を改善定着につなげる実務

J-SOX評価で不備が見つかったとき、会社の対応力が問われるのは「指摘にどれだけ早く回答したか」ではありません。「その不備が再発しない状態まで、仕組みを直せたか」です。

承認漏れがあったから承認欄を追加する。レビュー証跡がなかったからチェックリストを作る。IT権限レビューが未実施だったから、一度だけ棚卸を行う。

いずれも必要な対応になることはあります。ただ、それだけでは是正とはいえません。

なぜその統制が運用されなかったのか。統制目的は現場に理解されていたのか。証跡は残せる設計だったのか。承認者に確認する能力と時間はあったのか。システム上の制約や権限設計に問題はなかったのか。子会社や現場部門まで、同じ運用水準で回せるのか。

J-SOXにおける是正計画は、不備を「消す」ための資料ではありません。財務報告リスクを低減し、経営者が内部統制の有効性を説明できる状態に戻すための、改善設計です。

本稿では、9-4「不備・重要な不備・開示すべき重要な不備の判断」を前提に、不備が判定された後の実務を整理します。どのように原因分析を行い、是正策を設計し、責任者・期限・再評価・監査法人報告・経営層報告・残課題管理までつなげるべきか、という流れです。

なお本稿は、2026年7月時点で公表されている金融庁の内部統制基準・実施基準、内部統制報告制度に関するQ&A等を前提とした一般的な解説です。個別の会社における結論は、評価範囲、不備の重要性、期末日までの是正状況、監査法人との協議状況、開示判断等を踏まえて検討する必要があります。

J-SOXにおける「是正」とは、統制を有効な状態に戻すこと

内部統制不備の是正は、単なる修正作業ではありません。

J-SOX上の是正とは、発見された不備によって残っていた財務報告リスクを、統制の設計・運用・証跡・モニタリングによって合理的に低減できる状態に戻すことをいいます。

たとえば、売上計上レビューの証跡がなかった場合を考えてみます。

このとき、チェックリストを新たに作成しただけでは、是正は完了していません。少なくとも、次の状態まで確認しておく必要があります。

• 売上計上に関するどのリスクに対応するレビューなのかが明確である
• レビュー担当者が、契約条件、出荷、検収、請求、会計処理の関係を確認できる
• レビュー対象、頻度、判断基準、例外処理が決まっている
• レビュー結果と修正対応が証跡として残る
• 実際に一定期間運用されている
• 再評価により、設計どおりに運用されていることを確認できる

内部統制基準・実施基準では、経営者による評価の過程で発見された財務報告に係る内部統制の不備は、開示すべき重要な不備を含めて、適時に認識し、適切に対応される必要があるとされています。また、開示すべき重要な不備が発見された場合であっても、報告書における評価時点である期末日までに是正されていれば、財務報告に係る内部統制は有効であると認めることができるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

つまり是正のゴールは、「対応策を作ったこと」ではありません。「評価時点で内部統制が有効に機能していると説明できること」です。

不備の是正は、判定後ではなく発見直後から始まる

実務では、不備判定の結論が出るまで是正を待ってしまう会社があります。しかし、これは危険です。

不備が重要な不備や開示すべき重要な不備に該当するかどうかの判断には、時間がかかることがあります。影響範囲、発生可能性、補完統制、金額的重要性、質的重要性、監査法人の見解を確認しているうちに、期末日までの是正期間が足りなくなってしまうのです。

とりわけ月次統制、四半期統制、年次統制は、是正策を導入しても、運用実績が十分に残らなければ有効性を再評価できません。

たとえば四半期決算レビュー統制に不備があり、第3四半期後に是正策を設計したとしても、期末までに再評価できる運用機会は限られます。年次の税効果レビューや減損レビューのような統制であれば、是正設計のタイミングが遅れることで、当年度中に十分な運用実績を示すことが難しくなります。

したがって不備対応は、次の2段階で考えるべきです。

第一に、発見直後の暫定対応です。影響範囲を確認し、追加レビュー、再実施、代替手続、誤謬の有無の確認などによって、当期の財務報告リスクを抑えます。

第二に、恒久対応として、統制設計・運用ルール・証跡・責任者・モニタリングを見直します。

この2つを混同すると、「当期の財務報告は何とか確認したが、翌期も同じ不備が出る」という状態になってしまいます。

是正計画に入れるべき基本項目

是正計画は、単なる課題管理表ではありません。

監査法人、内部監査、経営層、監査役等、現場部門が同じ前提で進捗を確認できるよう、判断材料を一つの表に集約する必要があります。

最低限、次の項目は整理しておきたいところです。

項目	記載すべき内容
不備番号	年度内で一意に管理できる番号
発見日・発見者	内部評価、監査法人指摘、内部監査、現場報告など
対象プロセス	販売、購買、在庫、決算、IT、子会社など
対象統制	RCM上の統制番号、キーコントロール該当有無
不備内容	何が設計どおりでなかったのか
不備分類	整備上の不備、運用上の不備、証跡不足、IT統制不備など
財務報告リスク	どの勘定科目・注記・開示項目に影響するか
重要性判断	不備、重要な不備、開示すべき重要な不備の判定
原因分析	直接原因、根本原因、組織・人・IT・運用負荷の要因
暫定対応	当期の誤謬有無確認、追加レビュー、代替手続など
恒久対応	統制設計、規程、業務フロー、システム、証跡の改善
責任者	部門責任者、実施担当者、レビュー担当者
期限	設計完了、運用開始、再評価、報告の期限
必要証跡	承認記録、レビュー記録、ログ、会議資料、教育記録など
再評価方法	再実施、追加サンプル、運用テスト、証跡確認
監査法人協議	協議日、論点、合意事項、未決事項
経営層報告	報告先、報告日、意思決定事項
残課題	当期対応できない事項、翌期改善事項、リスク受容の有無
ステータス	未着手、設計中、運用開始、再評価中、完了、継続監視

この表を作る目的は、作業の進捗管理だけではありません。「なぜこの対応で財務報告リスクが下がるのか」を説明するためでもあります。

原因分析は「担当者が失念した」で止めない

不備対応で最も多い失敗は、原因分析が浅いことです。

たとえば、承認漏れの原因を「担当者の失念」と書いてしまう。証跡不足の原因を「保存漏れ」と書いてしまう。IT権限レビュー未実施の原因を「実施時期の認識不足」と書いてしまう。

これでは是正策が、注意喚起や再教育に偏ってしまいます。

けれども、同じ不備が繰り返される会社では、原因は個人の注意不足だけではありません。業務量、締切、権限設計、システム設定、責任分担、レビュー観点、証跡保存ルール、内部監査のフォロー不足など、複数の要因が重なっています。

原因分析は、少なくとも次の3層で行うべきです。

原因の層	例	是正策の方向性
直接原因	担当者が承認前に処理した、証跡を保存しなかった	手順明確化、チェックリスト、証跡保存ルール
構造原因	承認ルートが複雑、締切が非現実的、担当者が統制目的を理解していない	業務フロー見直し、責任分担、教育、締切再設計
根本原因	統制責任が部門に定着していない、内部監査フォローが弱い、経営層への報告がない	全社統制、モニタリング、経営層報告、内部監査計画の見直し

「人が間違えた」と見るのではなく、「間違いが起きても発見・修正される仕組みになっていたか」を見ること。これが重要です。

会計不正や重大な不備の多くも、単一のミスだけで生じるわけではありません。属人化、長期担当、モニタリング不足、例外処理の放置、組織内で不都合な情報が上がらない構造と結びついています。J-SOXの是正計画では、こうした構造的な原因を見落とさないことが大切です。

暫定対応と恒久対応を分ける

不備が見つかった場合、当期の財務報告への影響を抑えるために、まず暫定対応が必要になります。

ただし、暫定対応をしただけで「是正完了」と扱うのは危険です。

たとえば売上計上統制に不備があった場合、暫定対応として、当期の対象売上について追加サンプルを確認し、誤謬の有無を検証することがあります。当期財務諸表のリスクを下げるうえでは、これは有効です。

しかし、翌期以降も同じ統制不備が発生しないようにするには、恒久対応が欠かせません。

区分	目的	例
暫定対応	当期の財務報告リスクを下げる	追加レビュー、再実施、誤謬調査、代替手続、対象母集団の確認
恒久対応	同じ不備を再発させない	業務フロー変更、権限見直し、システム制御、証跡設計、教育、モニタリング

暫定対応は「当期を守る対応」であり、恒久対応は「仕組みを直す対応」です。

監査法人との協議でも、この2つを分けて説明できると、論点が整理されます。

是正策は「過剰統制」と「統制不足」の間で設計する

不備が見つかると、会社は防衛的になりがちです。

すべての承認を部長決裁にする。チェックリストを増やす。二重レビューを三重レビューにする。例外処理を一律禁止する。システム権限を過度に絞る。

一見すると厳格な対応ですが、実務上は逆効果になることがあります。

統制が重すぎると、現場は形式的にチェックするようになります。承認者は内容を見ずに承認し、チェックリストは作業完了印の集合になっていきます。締切に間に合わず決算が遅れ、例外処理が裏側で増えることもあります。

是正策は、厳しくすればよいというものではありません。重要なのは、財務報告リスクに対して必要十分な統制を設計することです。

次の観点で検討します。

• その不備は予防統制で防ぐべきか、発見統制で発見すべきか
• システムで制御できるか、人手レビューが必要か
• 承認者は何を確認するのか
• 確認資料はどこから取得するのか
• 例外が出た場合、誰が判断するのか
• 証跡はどの粒度で残すのか
• 現場の業務量と決算スケジュールに耐えられるか
• 子会社や拠点にも同じ運用を求めるべきか
• 重要性の低い取引に過剰な統制をかけていないか

内部統制の整備では、財務報告の重要な事項に虚偽記載が発生するリスクを識別・分析し、そのリスクを低減する全社的内部統制および業務プロセスに係る内部統制を設定することが求められます。あわせて、権限や職責の分担、職務分掌の明確化、業務手順の整備、統制活動の実行状況を踏まえた必要な改善も、重要な要素とされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

是正策は「監査法人に指摘されないため」ではなく、「会社がそのリスクを自分で管理できる状態にするため」に設計すべきものです。

是正完了の判断は「設計完了」と「運用有効性」を分ける

是正管理でよくある誤解が、規程やマニュアルを改訂した時点で完了にしてしまうことです。

しかしJ-SOX評価上は、統制が設計されただけでは足りません。実際に運用され、その証跡が残り、再評価で有効性を確認できる必要があります。

是正完了は、次の4段階で確認します。

段階	状態	完了判断の例
設計完了	改善後の統制設計が決まった	RCM、業務記述書、フロー、規程、チェックリストを更新
運用開始	改善後の統制が実務で開始された	担当者・承認者に周知し、初回運用を実施
証跡蓄積	評価可能な証跡が残っている	承認記録、レビュー記録、ログ、差異対応記録を保存
再評価完了	設計どおりに運用されたことを確認した	追加サンプル、再実施、ウォークスルー、証跡確認で有効性を判断

とくに月次・四半期・年次の統制では、運用頻度に応じた再評価の設計が必要になります。

日次統制であれば、比較的早く再評価サンプルを確保できます。月次統制では、改善後に少なくとも複数月の運用実績を確認したい場合があります。四半期統制や年次統制になると、改善後の運用機会が限られるため、代替的に設計評価、ウォークスルー、期末処理での運用確認を組み合わせる必要が生じることもあります。

ここは監査法人との認識合わせが重要です。会社側だけで「これで完了」としても、監査法人が再評価証跡として不十分と見れば、期末近くに手戻りが発生してしまいます。

期末日までの是正と期末日後の是正を区別する

J-SOXの是正管理では、時点管理が非常に重要です。

開示すべき重要な不備があったとしても、期末日までに是正されていれば、財務報告に係る内部統制は有効であると認められる可能性があります。一方、期末日後に是正した場合、その是正は期末日時点の内部統制評価を変えるものではありません。

内部統制基準では、期末日後に実施した是正措置について、内部統制報告書に付記事項として記載できるとされています。また、内部統制報告書の付記事項には、期末日後に実施した開示すべき重要な不備に対する是正措置等、前年度に開示すべき重要な不備を報告した場合の当該不備に対する是正状況が含まれています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

さらに2023年の内部統制府令等の改正では、前年度に開示すべき重要な不備を報告した場合、内部統制報告書において、付記事項として当該開示すべき重要な不備に対する是正状況を記載することが追加されました。この改正は、令和6年4月1日から施行・適用されています。
出典：金融庁｜「財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令の一部を改正する内閣府令（案）」等に対するパブリックコメントの結果等について

したがって是正計画では、次の期限を分けて管理する必要があります。

期限	管理すべき内容
発見直後	暫定対応、影響範囲確認、誤謬有無の確認
期末日前	是正設計、運用開始、再評価、必要な証跡の蓄積
内部統制報告書提出日前	期末日後の是正措置、付記事項、開示内容の検討
翌期	残課題対応、再発防止、前年度不備の是正状況報告

「期末までに改善する」と言うだけでは不十分です。

いつまでに設計を終えるのか。いつから運用するのか。何回分の証跡を残すのか。いつ再評価するのか。期末日までに有効性を説明できるのか。

この粒度まで落とし込む必要があります。

監査法人への報告は、結論ではなく判断過程を示す

不備の是正では、監査法人対応が重要になります。

ただし、監査法人に「この対応でよいですか」と結論だけを確認しても、十分な協議にはなりません。

監査法人が見たいのは、次のような判断過程です。

• 不備の内容と発見経緯
• 財務報告リスクへの影響
• 不備判定の根拠
• 影響範囲と発生可能性の評価
• 当期財務諸表への影響確認
• 暫定対応の内容
• 恒久対応の内容
• 改善後の統制設計
• 運用開始日
• 再評価方法
• 再評価サンプル
• 是正完了予定日
• 期末日までに有効性を確認できるか
• 期末日後対応となる場合の付記事項や翌期対応

内部統制監査において、監査人は、経営者が決定した評価範囲の妥当性、統制上の要点の識別の妥当性、整備状況・運用状況の有効性に関する経営者評価の妥当性を検討します。また、経営者の評価がすべて完了していない場合であっても、内部統制の整備状況および運用状況の有効性の検証は可能とされています。
出典：金融庁｜内部統制報告制度に関するQ&A

つまり監査法人との協議は、期末にまとめて行うものではありません。評価範囲、キーコントロール、是正方針、再評価方法について、期中から段階的に認識を合わせておくべきものです。

経営層・監査役等への報告は、監査対応ではなく経営課題として行う

不備の是正は、内部監査部門や経理部門だけで完結するものではありません。

重要な不備や開示すべき重要な不備に該当する可能性がある場合、あるいは決算・開示・IT・子会社管理に影響する不備の場合には、経営層や監査役等への報告が必要になります。

内部統制監査の実施において監査人が開示すべき重要な不備を発見した場合、監査人は経営者に報告して是正を求めるとともに、是正状況を適時に検討し、当該不備の内容および是正結果を取締役会および監査役等に報告しなければならないとされています。また、内部統制監査の結果についても、経営者、取締役会および監査役等に報告することが求められています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

会社側でも、経営層・監査役等への報告を受け身にしてはいけません。

報告内容は、単なる不備一覧ではなく、次の観点で整理します。

報告項目	経営層・監査役等が見るべきポイント
不備の概要	何が起きたのか、どのプロセスか
財務報告リスク	決算・開示にどのような影響があり得るか
重要性	重要な不備、開示すべき重要な不備に該当する可能性
原因	人、業務、IT、組織、モニタリングのどこに原因があるか
是正方針	暫定対応と恒久対応の内容
期限	期末日までに有効性を確認できるか
リソース	人員、システム、外部支援、子会社対応の必要性
未解決事項	監査法人協議中の論点、残課題
再発防止	翌期以降の運用定着策

経営層に報告すべき理由は、単に責任者へ知らせるためではありません。

不備の多くは、現場努力だけでは解決しないからです。人員不足、システム制約、部門間の役割不明確、子会社統制の弱さ、決算スケジュールの無理、承認権限の過集中など、経営判断を伴う原因が背後にあります。

是正計画を経営層報告に接続することで、J-SOX対応は「監査対応」から「経営管理体制の改善」へと移っていきます。

残課題管理をしない会社は、翌期に同じ不備を繰り返す

不備対応では、完了したものよりも、完了していないものの管理が重要です。

期末日までに完全な恒久対応ができない場合には、残課題を曖昧にせず、翌期の改善計画に引き継ぐ必要があります。

残課題管理では、次のように整理します。

残課題の種類	例	管理方法
期末日までに運用実績が不足	改善後の月次レビューが1回分しかない	翌期第1四半期で追加運用評価
システム改修が未了	アクセス権限申請ワークフローが未実装	手作業統制で暫定対応し、改修期限を設定
子会社展開が未完了	親会社は改善済みだが海外子会社未展開	子会社別ロードマップを作成
規程改定は済んだが教育未完了	承認ルール変更を現場が理解していない	教育実施、理解確認、初回運用レビュー
監査法人協議が未了	補完統制の評価方法が合意未了	協議記録、未決論点、追加資料を管理

残課題は「未完了リスト」ではありません。リスクが残っている領域を経営者が認識し、次に何をすべきかを説明するための管理資料です。

是正計画でよくある失敗

不備の是正計画では、次のような失敗がよく見られます。

原因分析が浅い

「担当者の失念」「確認不足」「証跡保存漏れ」で終わってしまうケースです。

この場合、是正策は注意喚起やチェックリスト追加に偏ります。根本原因が業務量、承認者の理解不足、システム制約、権限設計、子会社管理、決算スケジュールにあるのなら、同じ不備が再発します。

是正策が統制目的と合っていない

売上の期間帰属リスクに対する不備なのに、請求書発行後の形式レビューだけを追加する。マスタ変更権限の不備なのに、月次残高分析だけで対応する。

統制目的と是正策がずれていると、財務報告リスクは下がりません。

期限が「期末まで」としか書かれていない

期末までに何をするのかが曖昧なケースです。

設計完了日、運用開始日、証跡保存開始日、再評価日、監査法人協議日、経営層報告日を分けて管理しなければ、実務は進みません。

責任者が部門名だけになっている

「経理部」「情報システム部」「営業部」と書かれているだけで、誰が実施し、誰がレビューし、誰が完了判断するのかが不明確なケースです。

J-SOXでは、責任者と実施者を分けて考える必要があります。

再評価方法が決まっていない

是正策を導入したものの、どの証跡を見て有効性を確認するのかが決まっていないケースです。

この場合、期末になって「本当に是正済みといえるのか」が問題になります。

監査法人への相談が遅い

会社側で是正完了と判断した後に、監査法人から「運用実績が足りない」「補完統制として不十分」「影響範囲が狭すぎる」と指摘されるケースです。

重要な不備ほど、早期の協議が必要になります。

実務例1｜月次決算レビューの証跡不足

月次決算レビューの証跡が残っていない不備を例に考えてみます。

この不備は、単なる押印漏れとは限りません。月次決算レビューが実質的に行われていない場合には、期末決算で誤謬を早期発見できないリスクがあります。とくにリードシート、残高分析、前月比較、予実差異分析、異常値レビューが属人化している会社では、決算遅延や監査対応の手戻りにもつながります。

是正計画では、次のように整理します。

観点	是正内容
原因	レビュー観点が明文化されておらず、証跡保存ルールもなかった
暫定対応	当期月次資料を再確認し、重要な誤謬の有無を確認
恒久対応	月次レビュー項目、確認資料、差異判断基準、レビューコメント欄を整備
証跡	レビュー日、レビュー者、確認資料、差異内容、修正有無を保存
再評価	改善後の月次レビューについて、複数月分の証跡を確認
経営管理接続	月次決算の精度向上、決算早期化、経営会議資料の信頼性向上につなげる

月次決算は、年度途中で業績や財政状態を把握するための仕組みです。正確な月次決算を積み重ねることが、年次決算の精度にもつながります。J-SOX上の決算統制の是正は、単に監査対応のためではなく、経営者が数字から会社の現状を把握し、決算対策や経営判断を行うための基盤整備でもあります。

実務例2｜販売プロセスの承認漏れ

販売プロセスで、受注承認や値引承認が一部漏れていた場合を考えます。

この場合、是正策として「承認欄を追加する」だけでは足りません。

確認すべきリスクは、売上の実在性、期間帰属、価格の妥当性、返品・値引、不正な売上計上です。承認者が契約条件、取引先、価格、納期、検収条件を確認していなければ、承認印があっても統制としては機能しません。

是正計画では、次のように整理します。

観点	是正内容
原因	値引承認の対象基準が曖昧で、営業部と経理部の責任分担も不明確だった
暫定対応	対象期間の値引取引を抽出し、不適切な売上計上・価格設定の有無を確認
恒久対応	値引率、金額、例外条件に応じた承認権限を再設計
証跡	承認者、承認日、承認根拠、契約条件、例外理由を保存
再評価	改善後の対象取引からサンプル抽出し、承認と売上計上の整合性を確認
残課題	販売管理システムの承認ワークフロー化を翌期対応として管理

ここで重要なのは、営業現場を止めることではありません。売上計上に影響する重要条件だけを、適切なタイミングで確認できる統制にすることです。

実務例3｜ITアクセス権限レビュー未実施

ITアクセス権限レビューが実施されていなかった場合を考えます。

この不備は、経理部門だけでは是正できません。情報システム部門、業務部門、経理部門、内部監査が連携する必要があります。

観点	是正内容
原因	システム台帳が不完全で、財務報告に関係するシステム範囲が明確でなかった
暫定対応	主要システムの権限一覧を取得し、退職者・異動者・過大権限を確認
恒久対応	権限申請、承認、付与、変更、削除、定期レビューの運用を設計
証跡	権限一覧、レビュー結果、削除依頼、承認ログ、例外承認記録
再評価	改善後の定期レビュー実施状況と例外処理を確認
経営層報告	システム範囲、IT統制責任、改修要否、外部委託先管理を報告

IT統制の不備は、個別取引の誤謬に直結していないように見えることがあります。しかし実際には、マスタ、仕訳、承認ワークフロー、データ連携、出力帳票の信頼性を支える土台に関わるものです。影響範囲は慎重に検討する必要があります。

内部監査部門は「完了確認者」ではなく「定着確認者」として関与する

不備是正では、内部監査部門の関与が重要になります。

内部監査部門が、単に「対応策が実施されたか」を確認するだけでは不十分です。

内部監査部門は、次の観点から是正の定着を確認すべきです。

• 是正策が不備の原因に対応しているか
• 財務報告リスクを低減する統制になっているか
• 現場が統制目的を理解しているか
• 証跡が継続的に残っているか
• 例外処理が適切にエスカレーションされているか
• 同種不備が他部門・子会社に広がっていないか
• 経営層・監査役等に報告すべき残課題がないか
• 翌期評価計画に反映すべき事項がないか

内部監査が「評価作業の担当者」にとどまってしまうと、不備の背景にある構造的課題を拾いにくくなります。

内部監査は、J-SOX評価の品質を確保するだけでなく、是正状況のフォローアップを通じて、会社のモニタリング機能を高める役割を担っています。

子会社不備は、親会社の説明責任として管理する

子会社で不備が見つかった場合、親会社はこれを「子会社側の問題」として切り離してはいけません。

連結財務報告に影響する子会社であれば、その決算・業務プロセス・IT・証跡の水準は、親会社の財務報告責任に関わります。

子会社不備の是正計画では、次の点を明確にします。

論点	確認事項
親会社の関与	親会社がどこまでレビュー・指導するか
子会社の責任者	現地責任者、経理責任者、業務責任者
連結影響	連結パッケージ、内部取引、会計方針、注記への影響
証跡水準	子会社側で保存すべき資料と親会社に提出すべき資料
IT環境	親会社システムか、子会社独自システムか
教育	子会社担当者への統制目的・証跡ルールの説明
フォロー	親会社内部監査、往査、リモートレビュー、定期報告

とくに海外子会社では、現地制度、言語、人材、システム、決算スケジュールが異なります。日本本社と同じ統制をそのまま押し付けても、回らないことがあります。

重要なのは、親会社が必要な財務報告リスクを把握したうえで、子会社の現実に即した方法で証跡とレビューを確保することです。

是正計画は翌期評価計画に反映する

不備の是正は、当年度で終わりではありません。翌期評価計画に反映して、はじめて改善サイクルになります。

翌期に反映すべき事項は、次のとおりです。

• 是正済み統制の運用継続確認
• 前年度不備があったプロセスの評価時期の前倒し
• サンプル件数や評価範囲の見直し
• 補完統制の再確認
• RCM、業務記述書、フローチャートの更新
• IT統制や子会社統制の追加評価
• 内部監査計画への組込み
• 経営層・監査役等への定期報告
• 同種不備の横展開確認

不備が見つかったプロセスは、翌期に「通常どおり評価」するのではなく、重点確認の対象とすべき場合があります。

前年度の是正が本当に定着しているかを確認しなければ、同じ不備が翌期に再発してしまいます。

是正管理が成熟している会社の特徴

J-SOX対応が安定している会社は、不備がゼロの会社ではありません。

不備を早期に発見し、原因を分析し、優先順位をつけ、期末までに是正し、翌期に改善を定着させる。その仕組みを持っている会社です。

成熟した会社には、次の特徴があります。

• 不備一覧が年度を通じて更新されている
• 不備の原因分析が部門横断で行われている
• 是正策がRCMや業務フローに反映されている
• 監査法人との協議記録が残っている
• 経営層・監査役等への報告が定期的に行われている
• 期末直前ではなく、期中に再評価が完了している
• 子会社不備も親会社が把握している
• IT統制不備が経理部門任せになっていない
• 残課題が翌期計画に引き継がれている
• 不備対応が決算早期化や業務標準化につながっている

反対に、毎年同じ指摘を受ける会社では、不備対応が「その場の回答」「一時的な資料作成」「監査法人向け説明」にとどまっています。

J-SOXの不備対応は、単年度のイベントではありません。経営管理体制を改善していく、継続的なサイクルです。

まとめ｜是正計画は、会社の改善力を示す資料である

J-SOXにおける不備の是正計画は、指摘事項を処理するための管理表ではありません。

不備の原因を明らかにし、財務報告リスクを低減する統制を再設計し、責任者と期限を定め、証跡を残し、再評価し、監査法人・経営層・監査役等に説明できる状態にするための実務設計です。

是正が不十分な会社では、同じ不備が繰り返されます。監査法人対応は後手に回り、決算スケジュールは圧迫され、現場はチェックリストだけを増やされ、J-SOX対応は負担として認識されていきます。

一方、是正計画とフォローアップが機能している会社では、不備対応を通じて、業務フロー、権限、証跡、IT、子会社管理、決算レビュー、内部監査、経営層報告が少しずつ整っていきます。

不備が見つかること自体を恐れる必要はありません。

重要なのは、その不備から会社が何を学び、どのリスクを下げ、どの仕組みを直し、次年度以降にどのように定着させるかです。

J-SOX対応を資料作成で終わらせるか、会社の説明力と改善力を高める仕組みにできるか。その差は、不備発見後の是正計画とフォローアップに表れます。

J-SOXの不備是正・フォローアップでお悩みの方へ

不備の是正計画では、単に「対応済み」と記載するだけでは足りません。

発見事項、原因分析、財務報告リスク、暫定対応、恒久対応、責任者、期限、証跡、再評価方法、監査法人協議、経営層報告、残課題管理を、一つの流れとして整理する必要があります。

犬飼公認会計士・税理士事務所では、J-SOX対応を、評価調書の作成や指摘対応にとどめず、会社が自らの統制状況と改善方針を説明できる状態に整えるための支援として位置づけています。

監査法人から不備指摘を受けている。不備一覧はあるが是正計画に落とし込めていない。期末までに是正完了といえるか不安がある。子会社やIT統制を含む残課題の整理が進まない。このような場合には、現在の不備一覧、RCM、評価調書、監査法人コメントをもとに、優先順位とフォローアップ方法を一緒に整理することができます。

お問い合わせページより、現在のJ-SOX対応状況とご相談内容をお知らせください。不備対応を一時的な指摘処理で終わらせず、翌期以降も継続運用できる改善計画に落とし込むための論点整理から、ご支援いたします。

振り返り｜不備の是正計画とフォローアップの重要ポイント

論点	確認すべきこと	実務上の注意点
是正の目的	財務報告リスクを低減し、統制を有効な状態に戻す	資料作成や回答だけで終わらせない
発見直後の対応	影響範囲、誤謬有無、暫定対応を確認する	不備判定の結論を待ちすぎない
原因分析	直接原因、構造原因、根本原因を分ける	「担当者の失念」で止めない
暫定対応	当期の財務報告リスクを下げる	追加レビューや代替手続を実施する
恒久対応	同じ不備を再発させない仕組みに直す	統制目的と是正策を対応させる
責任者	実施者、レビュー者、完了判断者を明確にする	部門名だけで管理しない
期限	設計、運用開始、証跡蓄積、再評価を分ける	「期末まで」とだけ書かない
証跡	誰が、何を、いつ確認したかを残す	押印形式より検証可能性を重視する
再評価	改善後の統制が設計どおり運用されたか確認する	マニュアル改訂だけで完了にしない
期末日管理	期末日までに是正済みか、期末日後対応かを分ける	期末日後の是正は付記事項や翌期対応も検討する
監査法人協議	是正方針、再評価方法、証跡を早期に共有する	結論だけを確認せず判断過程を示す
経営層報告	重要性、原因、期限、リソース、残課題を報告する	監査対応ではなく経営課題として扱う
監査役等報告	重要不備、是正状況、残課題を共有する	監督機能がフォローできる粒度にする
子会社対応	親会社が子会社不備の影響と是正状況を把握する	子会社任せにしない
IT統制対応	システム範囲、権限、変更管理、ログを確認する	経理部門だけで判断しない
残課題管理	当期未了事項を翌期計画に引き継ぐ	未完了リストではなくリスク管理表にする
翌期評価計画	前年度不備の定着確認を組み込む	同じ不備の再発を防ぐ
経営管理接続	決算早期化、開示品質、業務標準化に活かす	J-SOX対応を改善サイクルに接続する