内部監査部門がJ-SOXで果たす役割｜評価実務・独立性・改善フォローをどう設計するか

J-SOX対応において、内部監査部門は非常に重要な役割を担います。

ただし、その役割は「評価調書を作る部署」「証跡を集める部署」「監査法人から依頼された資料を取りまとめる部署」にとどまるものではありません。むしろ、内部監査部門がそうした作業担当として固定されてしまうと、J-SOX対応は形式的なものになりやすくなります。

J-SOX対応で本来求められているのは、財務報告に係る内部統制について、会社として説明できる状態を作ることです。

• どのリスクに対して、どの統制があるのか
• その統制は、設計上、有効といえるのか
• 実際に一定期間、継続して運用されているのか
• 証跡は、後から第三者に説明できる品質で残っているのか
• 不備が見つかった場合、どの程度重要で、誰が、いつまでに、どのように是正するのか

内部監査部門は、これらを会社内部の立場から確認し、経営者評価を支え、必要に応じて改善を促す機能です。

前回の記事「10-1. J-SOX対応における三様監査の役割」では、内部監査、監査役等、監査法人の役割の違いを整理しました。本記事では、その中でも内部監査部門に焦点を当て、J-SOX対応において内部監査部門が何を担い、どこまで関与し、どのような品質を確保すべきかを整理していきます。

内部監査部門は、J-SOX評価を「経営者評価として成立させる」ための実務機能である

J-SOX対応の出発点は、経営者による財務報告に係る内部統制の評価にあります。経営者は、財務報告に係る内部統制を整備・運用し、その有効性を評価したうえで、内部統制報告書として外部に報告します。

とはいえ、経営者が自ら全ての評価手続を実施するわけではありません。実務上は、内部監査部門、J-SOX担当部門、経理部門、情報システム部門、子会社管理部門などが関与し、評価に必要な資料の作成、証跡の確認、不備の整理、是正状況の確認を行っていきます。

その中でも、内部監査部門は、経営者評価を実務として支える中心的な機能になりやすい部門です。

金融庁の内部統制基準では、内部監査人は、内部統制の基本的要素であるモニタリングの一環として、内部統制の整備及び運用状況を検討・評価し、必要に応じて改善を促す職務を担うものとされています。また、内部監査人とは、組織内の所属名称にかかわらず、内部統制の整備・運用状況を検討・評価し、改善を促す者及び部署を指すものとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

ここで押さえておきたいのは、内部監査部門の役割が「評価すること」だけでは終わらないという点です。評価した結果、統制の不備や運用上の問題が見つかれば、その改善を促すところまでが内部監査部門の重要な役割になります。

つまり、内部監査部門は、J-SOX対応において次の3つの機能を担っているといえます。

1つ目は、財務報告リスクに対して統制が整備されているかを確認する機能。

2つ目は、その統制が実際に運用されているかを、証跡に基づいて確認する機能。

3つ目は、発見事項を経営者や関係部門に伝え、改善につなげる機能です。

この3つがそろってはじめて、内部監査部門はJ-SOX対応において実効的な役割を果たしているといえます。

内部監査部門は「経営者の責任」を肩代わりするわけではない

内部監査部門がJ-SOX評価を実務上担う場合には、注意しておきたい点があります。

それは、内部監査部門が評価実務を行っていても、経営者評価の責任そのものが内部監査部門に移るわけではない、ということです。

J-SOXにおける内部統制評価は、あくまで経営者の評価です。内部監査部門は、その評価を支えるために、評価計画を作成し、整備評価・運用評価を実施し、評価結果を整理し、不備や改善事項を報告します。しかし、評価範囲の決定、重要な不備の判断、内部統制報告書における結論の責任は、最終的には経営者にあります。

この点が曖昧になると、社内には次のような誤解が生まれがちです。

• 「J-SOXは内部監査部門がやるもの」
• 「評価調書が完成すれば経営者評価は終わり」
• 「監査法人から大きな指摘がなければ問題ない」
• 「不備一覧は内部監査部門が管理しているので、経営層は詳細を知らなくてもよい」

これらはいずれも危険です。

内部監査部門は、経営者が判断できる材料を整える役割を担っています。したがって、内部監査部門の評価結果は、単なるチェック結果ではなく、経営者が「会社としてどう評価するか」を判断できる形で整理されていなければなりません。

たとえば、評価調書に「承認証跡なし」とだけ記載されていても、経営者は判断のしようがありません。必要なのは、その承認証跡がどの統制に関係し、どの財務報告リスクに影響するのか、代替的な確認手続が存在するのか、同様の不備が他部門にも広がっているのか、期末までに是正可能なのかまでを整理することです。

内部監査部門が果たすべき役割は、評価結果を「経営者が説明できる情報」へと翻訳することにあります。

J-SOXにおける内部監査部門の中心業務

内部監査部門がJ-SOX対応で担う業務は、会社の規模、組織体制、内部監査部門の成熟度、外部専門家の利用状況によって変わってきます。ただし、一般的には次のような業務が中心になります。

評価計画の策定

J-SOX評価は、場当たり的に証跡を確認していく作業ではありません。評価範囲、評価対象プロセス、評価時期、評価担当者、レビュー体制、監査法人との協議時期、不備報告の流れを、あらかじめ整理しておく必要があります。

特に、評価計画では次の点が重要になります。

• どの事業拠点を評価対象とするのか
• どの業務プロセスを対象にするのか
• どの統制をキーコントロールとして扱うのか
• 整備評価と運用評価をいつ実施するのか
• IT統制や子会社統制をどの範囲で評価するのか
• 評価者の独立性や能力をどう確保するのか
• 監査法人との認識合わせをいつ行うのか

評価計画が弱いと、後工程で必ずといってよいほど手戻りが発生します。たとえば、期末近くになって監査法人から評価範囲やサンプル選定に疑義が出る、評価担当者の独立性が問題になる、IT統制の確認が遅れる、子会社の証跡が集まらない、といったことが起こります。

内部監査部門は、評価手続を実施するだけでなく、評価全体の進行管理機能も担う必要があるのです。

整備評価

整備評価では、統制がリスクに対応するよう設計されているかを確認します。

ここで見るべきなのは、規程やフローチャートが存在するかどうかだけではありません。重要なのは、その統制が財務報告リスクに対して本当に効いているかという点です。

販売プロセスであれば、売上の実在性、期間帰属、請求・回収、返品・値引、与信管理などのリスクに対して、どの統制が設計されているかを確認します。購買プロセスであれば、発注承認、検収、請求書照合、支払承認、仕入計上の網羅性や期間帰属が問題になります。決算・開示プロセスであれば、リードシート、残高分析、会計上の見積り、開示基礎資料、レビュー・承認の流れが重要になります。

整備評価でありがちな失敗は、「統制があるか」だけを見てしまうことです。

• 承認欄がある
• 規程がある
• チェックリストがある
• システム上の承認フローがある
• 担当者が確認していると言っている

これだけでは、統制が有効に設計されているとは限りません。内部監査部門は、その統制がどのリスクを低減しているのか、実施者に十分な知識と権限があるのか、実施頻度は妥当か、証跡は残るのか、例外処理はどう扱うのかまで確認する必要があります。

運用評価

運用評価では、設計された統制が一定期間にわたり継続して実施されているかを確認します。

運用評価の実務では、サンプリング、証跡確認、例外事項の把握、評価調書の作成、レビュー、不備判定が必要になります。ここで内部監査部門に求められるのは、証跡を集めることではなく、証跡から統制の実施状況を判断することです。

たとえば、承認印があるというだけでは不十分な場合があります。承認者が何を確認したのか、承認時点で必要な資料がそろっていたのか、承認日が処理日と整合しているのか、承認者が適切な権限者であるのか、例外取引が通常承認と同じ扱いになっていないか。こうした点まで確認する必要があります。

電子承認の場合も同様です。ワークフロー上で承認されていても、承認内容、添付資料、承認権限、ログ、差戻し履歴、承認後の変更可否などを確認しなければ、証跡として十分かどうかは判断できません。

運用評価は、形式的に「サンプルを見た」ことではなく、「統制が実際に機能していた」といえるかを判断する作業なのです。

不備の整理と重要性判断の準備

内部監査部門は、不備を発見した場合、それを単に一覧化するだけでは不十分です。

不備には、整備上の不備、運用上の不備、証跡不足、統制の形骸化、職務分掌上の不備、IT統制上の不備、子会社管理上の不備など、さまざまな性質があります。

内部監査部門としては、少なくとも次の点を整理しておく必要があります。

• 不備の内容は何か
• どの統制に関する不備か
• どの財務報告リスクに影響するか
• 発生原因は、制度設計、運用理解、人員不足、IT設定、業務変更、教育不足のどれか
• 同様の不備が他プロセス・他拠点にも存在する可能性はあるか
• 補完統制はあるか
• 虚偽表示の発生可能性と影響はどの程度か
• 是正に必要な対応と期限は何か
• 監査法人や監査役等に報告すべき論点か

最終的な不備判定は、経営者評価の一部として整理されます。内部監査部門は、その判断材料を提供する役割を担っています。

内部監査部門に求められる独立性と客観性

J-SOX対応において内部監査部門が実効的に機能するためには、独立性と客観性が欠かせません。

金融庁の内部統制基準では、内部監査人が業務を遂行するにあたっては、内部監査の対象となる組織内の他部署等からの制約を受けることなく客観性を維持できる状況になければならないとされています。また、経営者は、内部監査人が評価対象となる業務及び部署から独立し、当該業務及び部署に対して直接の権限や責任を負わない状況を確保することが重要とされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

独立性とは、内部監査部門が評価対象部門から不当な影響を受けない組織上の位置づけを確保することです。客観性とは、内部監査人が偏りなく評価し、発見事項を適切に報告できる状態を意味します。

実務上、問題になりやすいのは、内部監査部門が経理部門や管理部門の中に置かれ、評価対象業務と近すぎるケースです。

• 経理部門が作成した決算資料を、同じ経理部門内のJ-SOX担当が評価している
• 情報システム部門が、自らIT統制を評価している
• 子会社管理部門が、自ら実施している子会社レビューを評価している
• 内部監査部門が、過去に自ら設計した統制を評価している

このような場合、直ちに全てが不適切というわけではありませんが、客観性に疑義が生じやすくなります。特に上場会社やIPO準備会社では、監査法人から評価体制の妥当性について確認を受ける可能性があります。

現実には、人員が限られている会社も少なくありません。その場合でも、評価者と実施者を分ける、重要統制は別担当者がレビューする、外部専門家を部分的に活用する、監査役等への報告ルートを明確にするなど、客観性を補完する設計が必要になります。

IIAのGlobal Internal Audit Standardsでも、内部監査が最も有効に機能する条件として、取締役会に対する直接の説明責任を持つ形で独立的に位置づけられること、内部監査人が不当な影響から自由で、客観的評価にコミットしていることが示されています。なお、IIAの基準は日本のJ-SOX制度そのものを定める法令ではありませんが、内部監査機能の品質を考えるうえで有用な国際的枠組みといえます。
出典：The Institute of Internal Auditors｜Global Internal Audit Standards（IPPF Framework）

内部監査部門は、リスクベースでJ-SOX評価を組み立てる必要がある

J-SOX評価は、前年と同じ範囲、同じサンプル、同じ調書を繰り返す作業ではありません。

事業が変われば、リスクも変わります。組織が変われば、権限や承認ルートも変わります。システムが変われば、IT統制や証跡の取り方も変わります。子会社が増えれば、連結・子会社管理・グループ統制のリスクも変わります。非定型取引や会計上の見積りが増えれば、決算・開示プロセスの重要性も高まります。

したがって、内部監査部門は、評価計画の段階でリスクベースの視点を持つ必要があります。

J-SOX対応で内部監査部門が見るべきリスクは、単に金額の大きい勘定科目に限られません。質的な重要性も考慮する必要があります。

• 経営者判断が強く入る領域
• 不正リスクが高い領域
• 属人化している領域
• 証跡が残りにくい領域
• システム処理に依存している領域
• 子会社や海外拠点で、親会社の目が届きにくい領域
• 監査法人から過去に指摘を受けている領域
• 決算・開示の手戻りが多い領域

内部監査部門がリスクを十分に見ていない場合、J-SOX評価は「見やすいところだけを見る」評価になってしまいます。証跡が整っているプロセスばかりを評価し、本当にリスクが高い領域が評価範囲から漏れることもあります。

内部監査部門の価値は、チェック項目をこなすことではなく、会社として本当に見るべきリスクを見落とさないことにあります。

評価調書は、監査法人に見せるためだけの資料ではない

J-SOX評価において、評価調書は重要な位置を占めます。

ただし、評価調書は監査法人に提出するためだけの資料ではありません。評価調書とは、会社がどの統制を、どのように評価し、どの証跡に基づいて、どのような結論を出したのかを説明するための記録です。

良い評価調書には、少なくとも次の要素があります。

• 評価対象の統制が明確であること
• 対応する財務報告リスクが明確であること
• 評価手続が統制目的に対応していること
• 母集団とサンプルの関係が説明できること
• 確認した証跡が具体的であること
• 例外事項や差異の扱いが整理されていること
• 評価者の判断過程が残っていること
• レビューの結果が残っていること
• 不備がある場合、その影響と是正方針が整理されていること

評価調書が弱い会社では、内部監査部門が実際には確認していても、後から説明することができません。「見ました」「問題ありませんでした」という記載では、第三者に評価内容は伝わらないのです。

特に監査法人が内部監査部門の評価結果を利用する可能性がある場合、評価調書の品質は極めて重要になります。

日本公認会計士協会の監査基準報告書610は、監査人が監査証拠を入手するために内部監査人の作業を利用する際の、監査人の責任に関する実務上の指針です。同報告書では、監査人が内部監査人の作業を利用するかどうかは監査人が決定するものであり、内部監査機能の客観性、能力、専門職としての規律ある姿勢と体系的な手法の適用などを評価することが示されています。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

ここで誤解してはいけないのは、「内部監査部門が評価しているから、監査法人は当然それを利用する」というわけではない、という点です。監査法人は、表明する監査意見に単独で責任を負うため、内部監査人の作業を利用したとしても、監査人の責任が軽減されるわけではありません。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

したがって、会社側としては、監査法人に利用してもらうこと自体を目的にするのではなく、会社自身が説明できる評価品質を確保することを目的にすべきです。その結果として、監査法人にとっても理解しやすく、利用可能性のある内部評価になる。この順番で考える必要があります。

内部監査部門が発見事項を「改善につながる形」にする

内部監査部門がJ-SOX評価で発見事項を把握した場合、そのまま「指摘事項」として現場に返すだけでは十分ではありません。

現場から見ると、内部監査部門の指摘は、ともすれば「監査のための指摘」「証跡を残せという話」「細かい形式の問題」と受け取られがちです。しかし、J-SOX上の不備には、財務報告リスク、決算遅延、監査法人対応、開示品質、業務属人化、IT統制、子会社管理といった経営上の問題が含まれています。

内部監査部門は、発見事項を改善につなげるために、少なくとも次のように整理する必要があります。

• 何が問題なのか
• なぜ問題なのか
• どの財務報告リスクに関係するのか
• 発生原因は何か
• 現場の運用負荷はどこにあるのか
• どの程度の改善が必要か
• 誰が対応すべきか
• いつまでに是正すべきか
• 是正後にどのように再評価するか

ここで大切なのは、内部監査部門が「正論だけ」を現場に投げないことです。

たしかに、内部統制としては理想的な対応があるかもしれません。しかし、会社の人員体制、システム制約、業務量、現場の成熟度を無視した統制は、運用されません。そして、運用されない統制は、J-SOX上も意味を持ちません。

内部監査部門には、統制不足を見逃さない厳しさと、現実に回る改善策を考える実務感の両方が求められます。

内部監査部門がJ-SOXで陥りやすい失敗

内部監査部門がJ-SOX対応を担う会社では、次のような失敗が起こりやすくなります。

前年踏襲の評価になっている

評価範囲、RCM、評価調書、サンプル件数、評価時期が、毎年ほとんど変わらない状態です。事業や組織が変わっていないのであれば一定の継続性はあり得ますが、実務上は、売上構成、システム、子会社、重要取引、人員体制、開示論点が変化していることも少なくありません。

前年踏襲の評価は、作業効率はよく見えます。しかし、変化したリスクに対応できなければ、内部統制評価としての意味は薄れてしまいます。

証跡確認が形式化している

証跡の有無だけを確認し、統制の実施内容まで見ていない状態です。

• 承認印がある
• チェック欄が埋まっている
• ワークフローで承認済みになっている
• ファイルが保存されている

これだけでは、統制が有効に運用されているとはいえない場合があります。内部監査部門は、証跡の存在だけでなく、証跡の意味、証跡の十分性、証跡と統制目的の対応関係を確認する必要があります。

不備の原因分析が浅い

「担当者の失念」「確認漏れ」「証跡保存漏れ」といった整理で終わってしまう状態です。

もちろん、担当者のミスが直接原因であることはあります。しかし、同じ不備が繰り返される場合、原因は個人ではなく仕組みにある可能性があります。

• 業務フローが複雑すぎる
• 承認権限が実態と合っていない
• システム上、証跡が残らない
• マニュアルが更新されていない
• 繁忙期に、特定担当者へ業務が集中している
• 教育が不十分で、統制目的が理解されていない

内部監査部門は、表面的な不備ではなく、再発原因まで掘り下げる必要があります。

監査法人対応だけを目的にしている

監査法人から求められた資料をそろえることが、内部監査部門の主目的になってしまっている状態です。

監査法人対応は重要です。しかし、J-SOX対応の目的は、監査法人に資料を出すことではありません。会社として、財務報告に係る内部統制を評価し、必要な改善を行い、経営者が説明できる状態を作ることです。

監査法人対応だけを目的にすると、内部監査部門は受け身になります。監査法人から指摘されてから動く、期末近くに資料を直す、前年と同じ指摘を繰り返す、という状態になりやすくなります。

内部監査部門が改善フォローまで担えていない

評価で不備を見つけても、その後の是正状況を追えていない状態です。

不備は、発見して終わりではありません。是正され、再評価され、翌期に同じ不備が発生しない状態になってはじめて、改善が定着したといえます。

内部監査部門は、不備一覧を作るだけでなく、是正計画、責任者、期限、再評価方法、経営層報告まで管理する必要があります。

内部監査部門の品質を高めるために必要な体制

J-SOX対応において内部監査部門の品質を高めるためには、個々の担当者の努力だけでは十分ではありません。組織として、内部監査機能をどう位置づけ、どう運営するかが重要になります。

内部監査基本規程を整備する

内部監査部門の目的、権限、責任、報告ライン、監査対象、情報アクセス権限を明確にする必要があります。内部監査部門が評価対象部門から資料提供を受けられない、重要な会議体に参加できない、経営層に直接報告できない。こうした状態では、実効的な内部監査は困難です。

内部監査基本規程は、単なる社内規程ではありません。内部監査部門が、どの立場で、どの権限に基づき、どの範囲を監査できるのかを明確にする基盤です。

報告ラインを明確にする

内部監査部門は、業務執行部門から独立した立場を確保する必要があります。

実務上は、代表取締役、取締役会、監査役等、監査等委員会、監査委員会などへの報告ラインをどう設計するかが問題になります。会社の機関設計や組織規模により最適解は異なりますが、少なくとも、内部監査部門が評価対象部門の影響を受けて重要な発見事項を報告できない状態は避けるべきです。

特にJ-SOX対応では、経理部門、情報システム部門、事業部門、子会社などが評価対象になります。内部監査部門がこれらの部門から独立して報告できる仕組みが必要です。

評価者の能力を確保する

J-SOX評価では、会計、業務プロセス、IT、内部統制、不正リスク、監査法人対応に関する知識が求められます。

内部監査部門に会計知識が不足していると、財務報告リスクを見誤ります。業務理解が不足していると、統制が実態に合っているか判断できません。IT知識が不足していると、システム依存の統制や電子証跡の評価が弱くなります。

すべての担当者が全領域に精通することは、現実的ではありません。そのため、社内人材の育成、外部研修、監査法人との協議、IT部門との連携、外部専門家の活用を組み合わせる必要があります。

IIAのGlobal Internal Audit Standardsは、内部監査基準が内部監査機能の品質を評価・向上させる基礎になること、内部監査がガバナンス、リスクマネジメント、コントロールのプロセスを強化する機能であることを示しています。J-SOX対応においても、内部監査部門を単なる評価作業者ではなく、組織の統制品質を高める機能として設計する視点が重要です。
出典：The Institute of Internal Auditors｜Global Internal Audit Standards

調書レビューと品質管理を行う

内部監査部門の評価品質は、調書レビューで大きく変わります。

評価担当者が作成した調書を、上位者や別担当者がレビューすることで、評価手続の不足、証跡の不明確さ、判断過程の弱さ、不備判定の甘さを補正できます。

特にJ-SOX評価では、次のようなレビュー観点が重要になります。

• 評価手続が統制目的に対応しているか
• サンプル選定が妥当か
• 証跡の確認内容が具体的か
• 例外事項の扱いが明確か
• 不備判定の根拠が説明できるか
• 前年からの変化が反映されているか
• 監査法人から見ても理解できる記載になっているか

レビューが形式的だと、内部監査部門の評価結果そのものに信頼性が生まれません。

内部監査部門と監査法人の関係

J-SOX対応では、内部監査部門と監査法人の関係も重要になります。

監査法人は、会社の内部統制報告書に対して内部統制監査を行います。一方、内部監査部門は、会社内部の立場から経営者評価を支える機能です。両者は目的も責任も異なりますが、実務上は密接に関係します。

監査法人は、内部監査部門の作業を利用できるかどうかを判断する際、内部監査機能の組織上の位置づけ、客観性、能力、専門職としての規律ある姿勢、体系的な手法、品質管理などを確認します。また、内部監査人の作業を利用する場合でも、その作業が適切に計画・実施・監督・査閲・文書化されているか、十分かつ適切な証拠が入手されているか、結論が状況に照らして妥当かを評価する必要があります。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

会社側としては、監査法人に「利用してもらう」ことだけを目的にする必要はありません。ただし、監査法人が確認したときに、内部監査部門の評価手続が信頼できる品質になっていることは、監査対応の効率化や手戻り防止につながります。

そのためには、内部監査部門と監査法人の間で、早い段階から次の点を整理しておくことが重要です。

• 評価範囲
• キーコントロール
• サンプリング方針
• IT統制の評価方法
• 子会社評価の範囲
• 不備の集計方法
• 重要な不備の判断方針
• 評価調書の記載粒度
• 監査法人への提出資料
• 期末までの協議スケジュール

ただし、監査法人は会社の内部統制を設計・運用・評価する主体ではありません。内部監査部門は、監査法人に判断を委ねるのではなく、会社側の見解を整理したうえで協議に臨む必要があります。

内部監査部門は、J-SOXを経営管理体制につなげる役割も担う

J-SOX対応は、財務報告に係る内部統制の評価制度です。しかし、内部監査部門が適切に機能すれば、J-SOX対応は経営管理体制の改善にもつながっていきます。

たとえば、運用評価の過程で、月次決算の締めが遅い原因が見えてくることがあります。証跡不足を確認する過程で、承認権限や職務分掌が実態と合っていないことがわかることもあります。IT統制の評価を通じて、アクセス権限やシステム変更管理の弱さが見えることもあれば、子会社評価を通じて、親会社が子会社の決算品質を十分に管理できていないことがわかることもあります。

これらは、単なるJ-SOX上の不備ではありません。会社の経営管理体制そのものの課題です。

内部監査部門がJ-SOX評価を単なる監査対応として扱うと、これらの課題は「不備一覧」に閉じ込められてしまいます。一方で、内部監査部門が経営管理の視点を持つと、J-SOX対応は次のような改善につながります。

• 決算早期化
• 開示基礎資料の整備
• 業務標準化
• 権限移譲
• 証跡管理の高度化
• 子会社管理の強化
• IT統制の改善
• 不正リスクの早期把握
• 監査法人対応の手戻り削減

内部監査部門は、会社の内部から、業務・数字・統制・証跡をつなげて見ることができる貴重な機能です。その強みを活かせば、J-SOX対応は会社の説明力を高める取り組みになります。

内部監査部門を十分に機能させるための実務上の確認事項

内部監査部門のJ-SOX対応を見直す場合、まず確認すべきなのは、評価調書の様式ではありません。内部監査部門がどのような立場で、どの範囲を、どの品質で評価し、どのように改善につなげているかです。

実務上は、次の点を確認すると課題が見えやすくなります。

• 内部監査部門の目的・権限・責任が明文化されているか
• 評価対象部門から独立した立場で評価できているか
• 経営者、取締役会、監査役等への報告ラインが明確か
• J-SOX評価計画がリスクベースで作成されているか
• 評価範囲が事業・組織・システムの変化を反映しているか
• 整備評価で、統制と財務報告リスクの対応関係を確認しているか
• 運用評価で、証跡の存在だけでなく統制の実施内容を確認しているか
• 評価調書に判断過程が残っているか
• 不備について、原因、影響、是正方針、責任者、期限が整理されているか
• 是正後の再評価が行われているか
• 監査法人との協議が期末前に行われているか
• 内部監査部門の能力・人員・IT知識が不足していないか
• 必要に応じて外部専門家を活用できているか

これらの確認を行うと、J-SOX対応上の問題が「資料不足」なのか、「評価設計の問題」なのか、「独立性の問題」なのか、「人材・能力の問題」なのか、「経営層への報告不足」なのかが見えやすくなります。

内部監査部門が弱いままJ-SOX対応を進めるリスク

内部監査部門が十分に機能していない状態でJ-SOX対応を進めると、表面上は評価が完了していても、実務上はさまざまなリスクが残ります。

• 評価範囲が前年踏襲になり、重要な変化が反映されない
• RCMが業務実態と合わなくなる
• 証跡不足が期末近くに判明する
• 監査法人から追加資料や再評価を求められる
• 不備の重要性判断が経営層に伝わらない
• 是正が現場任せになり、翌期も同じ不備が発生する
• 内部監査部門の調書が、監査法人に十分利用されない
• 子会社やIT統制の評価が後手に回る
• J-SOX対応が決算・開示体制の改善につながらない

これらの問題は、単に内部監査部門の作業量を増やせば解決するものではありません。必要なのは、内部監査部門の役割、独立性、評価品質、報告ライン、改善フォローの設計を見直すことです。

まとめ｜内部監査部門は、J-SOXを「評価作業」から「改善の仕組み」に変える機能である

J-SOX対応における内部監査部門の役割は、評価調書を作ることではありません。

内部監査部門は、財務報告リスクを理解し、統制の整備・運用状況を評価し、不備を整理し、改善を促し、経営者が内部統制の有効性を判断できる材料を提供する機能です。

そのためには、独立性と客観性が必要です。リスクベースの評価計画が必要です。証跡の有無だけでなく、統制が本当に機能しているかを見る力が必要です。不備を指摘するだけでなく、原因分析と是正フォローにつなげる力が必要です。監査法人との協議においても、会社側の判断根拠を説明できる整理力が求められます。

内部監査部門が機能すれば、J-SOX対応は、単なる制度対応ではなくなります。

• 決算・開示の信頼性が高まる
• 業務フローが整理される
• 権限と責任が明確になる
• 証跡管理が改善する
• 子会社管理が強化される
• IT統制の責任分担が見える
• 監査法人対応の手戻りが減る
• 経営者が、数字と業務の実態を説明しやすくなる

J-SOX対応を会社の説明力と経営管理体制の強化につなげるうえで、内部監査部門は中核的な役割を担っています。

J-SOX評価体制・内部監査部門の見直しをご検討の方へ

J-SOX対応で重要なのは、評価調書を作成することだけではありません。評価範囲、RCM、証跡、整備評価、運用評価、不備判定、監査法人対応、改善フォローを一つの流れとして整理し、会社として説明できる状態を作ることです。

• 内部監査部門の独立性や客観性に不安がある
• J-SOX評価が前年踏襲になっている
• 監査法人から、評価調書や証跡について指摘を受けている
• 内部監査部門の人員・知識・IT対応力が不足している
• 不備の是正が現場任せになり、翌期も同じ指摘が出ている
• 上場準備や子会社管理を見据えて、内部監査体制を整えたい

このような場合は、内部監査部門の役割、評価計画、調書品質、報告ライン、外部専門家の活用範囲を整理することが有効です。

犬飼公認会計士・税理士事務所では、J-SOX対応、内部統制の整備・運用評価、内部監査体制の見直し、監査法人対応、IPO準備、決算・開示体制の整備について、制度趣旨と実務運用の両面から論点整理を支援しています。

自社の内部監査部門がJ-SOX対応で十分に機能しているか、どこから改善すべきかを整理したい場合は、現在の評価資料や監査法人指摘事項を確認したうえで、お問い合わせページよりご相談ください。

振り返り

論点	実務上のポイント
内部監査部門の基本的役割	内部統制の整備・運用状況を検討・評価し、必要に応じて改善を促す
経営者評価との関係	内部監査部門は評価実務を担うが、経営者評価の責任を肩代わりするわけではない
評価計画	評価範囲、評価対象、評価時期、担当者、レビュー体制、監査法人協議を事前に設計する
整備評価	統制が財務報告リスクに対応するよう設計されているかを確認する
運用評価	統制が一定期間継続して実施され、証跡で説明できるかを確認する
独立性・客観性	評価対象部門からの不当な影響を受けず、偏りなく評価できる体制が必要
評価調書	監査法人提出用ではなく、会社の判断過程を説明するための記録である
不備対応	発見事項は、原因、影響、是正方針、責任者、期限、再評価まで整理する
監査法人との関係	監査法人が内部監査人の作業を利用するかは監査人の判断であり、会社側は評価品質を高める必要がある
経営管理への接続	内部監査部門が機能すれば、J-SOX対応は決算早期化、開示品質、業務標準化、子会社管理の改善につながる