監査法人とのJ-SOX協議で整理すべき論点｜手戻りを防ぐ評価範囲・統制・不備判断の実務

J-SOX対応で手戻りが起きる会社には、いくつか共通した特徴があります。

• 評価範囲を社内で決めた後になって、監査法人から追加検討を求められる
• RCMを作った後に、キーコントロールの選定理由を説明できない
• 証跡を集めた後に、「その証跡では統制実施を確認できない」と指摘される
• IT統制を後回しにした結果、会計システムや周辺システムのアクセス権限、変更管理、データ連携が論点化する
• 不備を軽微と考えていたものの、監査法人との協議で重要性判断の再整理が必要になる
• 期末近くになって、内部監査、経理、情報システム、現場、子会社に追加依頼が発生する

これらは、単に監査法人対応の段取りが悪いという問題ではありません。

多くの場合、「どのリスクに対して、どの統制が、誰により、どの証跡で、どこまで機能していると説明するのか」が会社側で整理されないまま、J-SOX評価が進んでしまっていることに原因があります。

監査法人とのJ-SOX協議は、監査法人に判断を丸投げする場ではありません。また、監査法人から「事前承認」を得る場でもありません。会社が経営者評価として行うべき判断について、制度趣旨、リスク、重要性、証跡、評価手続、不備の影響を整理したうえで、重要な前提を監査法人と早期にすり合わせるための場です。

本記事では、J-SOX対応において監査法人との協議で整理すべき論点を、評価範囲、RCM、整備評価、運用評価、不備判定、IT統制、監査スケジュール、協議記録という観点から解説します。

なお、本記事は2026年7月16日時点で確認できる公的情報・専門職団体の公表情報を前提としています。実際の適用にあたっては、会社の事業内容、連結範囲、監査法人の監査計画、会計上の重要論点、システム構成、過年度指摘状況に応じて、個別に確認する必要があります。

監査法人とのJ-SOX協議は「監査対応」ではなく、経営者評価の品質管理である

J-SOXにおいて、財務報告に係る内部統制の有効性を評価する主体は経営者です。監査法人は、その経営者評価を前提として内部統制監査を行います。

そのため、監査法人との協議でまず押さえておきたいのは、会社側が自ら判断すべき事項と、監査法人と認識合わせをすべき事項を分けることです。

会社が判断すべき事項としては、たとえば次のようなものが挙げられます。

• 自社にとって財務報告上重要なリスクは何か
• 評価範囲をどこまでとするか
• どの業務プロセスを評価対象に含めるか
• どの統制をキーコントロールと位置づけるか
• 証跡として何を残すか
• 不備が発見された場合、原因・影響・是正をどう評価するか
• 内部監査部門やJ-SOX担当部門が、どのように評価を実施し、経営者へ報告するか

一方、監査法人と早期に認識合わせをすべき事項は、会社側の判断の前提となる制度解釈、監査上の重要リスク、証跡の十分性、サンプル評価の考え方、不備判定における論点などです。

ここを混同すると、協議が機能しません。

会社側が何も整理しないまま「これでよいですか」と監査法人に確認するだけでは、監査法人が会社の判断を代替することになりかねません。反対に、会社側が一方的に結論だけを決めて期末に提出すれば、監査法人から前提・証跡・評価手続の再整理を求められ、手戻りが生じます。

監査法人とのJ-SOX協議の本質は、会社側の判断過程を監査可能な形に整えることにあります。

金融庁は、2023年4月に内部統制基準・実施基準の改訂意見書を公表しました。そこでは、評価範囲の決定にあたって財務報告の信頼性に及ぼす影響の重要性を適切に考慮すべきこと、基準等で示された例示を機械的に適用すべきでないこと、そして不正リスクや経営者による内部統制の無効化等を含むリスクへの対応を重視すべきことが示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

また、金融庁は2023年8月に「内部統制報告制度に関するQ&A」及び「内部統制報告制度に関する事例集」を改訂しています。評価範囲、評価手続、統制の整備・運用、不備対応などは、現行の基準・実施基準・Q&A・事例集を前提として整理する必要があります。
出典：金融庁｜内部統制報告制度に関するQ&A
出典：金融庁｜内部統制報告制度に関する事例集

協議論点1｜評価範囲は「数値基準の結果」ではなく「判断過程」を説明する

監査法人とのJ-SOX協議で、最も手戻りが起きやすいのが評価範囲です。

評価範囲の協議で重要なのは、売上高や総資産などの数値を示すことではありません。数値基準を出発点としつつ、会社の実態、事業変化、質的重要性、リスク要因を踏まえて、評価対象と評価対象外をどのように判断したのかを説明することです。

たとえば、次のような会社では、前年の評価範囲をそのまま使うことにリスクがあります。

• 新規事業を開始した
• M&Aにより新規子会社が加わった
• 海外拠点の売上・在庫・債権が増加した
• 基幹システムや会計システムを変更した
• クラウドサービスや外部委託先の利用が拡大した
• 収益認識、ポイント制度、リース、税効果、減損など、判断を伴う会計論点が増えた
• 特定の拠点で決算遅延や証跡不足が続いている
• 監査法人から過年度に評価範囲や不備判断に関するコメントを受けている
• 子会社の連結パッケージや親会社レビューに差戻しが多い

このような変化がある場合、評価範囲を変更するかどうかだけでなく、変更しない場合の理由も説明できなければなりません。

監査法人と協議すべき評価範囲の論点は、主に次のとおりです。

• 重要な事業拠点の選定根拠
• 重要な勘定科目の選定根拠
• 業務プロセスの選定根拠
• 決算・財務報告プロセスの評価範囲
• IT統制の対象システム
• 子会社・海外拠点の扱い
• 評価範囲から除外した拠点・プロセスの理由
• 前年からの変更点と、変更しない理由
• 不正リスク、非定型取引、見積り項目、システム変更など、質的リスクの検討状況

評価範囲資料では、結論だけでなく、除外理由を丁寧に残しておく必要があります。評価範囲に含めた理由は比較的説明しやすい一方で、除外した理由は、後から問題になった際に説明が難しくなるためです。

実務上は、評価範囲メモに次の情報を含めておくと、協議が進めやすくなります。

整理項目	記載すべき内容
定量情報	売上高、総資産、税引前利益、勘定科目残高など
定性情報	新規事業、M&A、海外、IT変更、不正リスク、監査法人指摘など
評価対象	拠点、業務プロセス、決算プロセス、IT統制
評価対象外	除外する拠点・プロセスと、その除外理由
前年比較	変更点、変更しない理由、前年指摘の反映状況
協議事項	監査法人と確認したい前提、未確定事項、追加検討事項

評価範囲の協議は、期末では遅すぎます。少なくとも期初から第1四半期の段階で、事業変化や組織変更を踏まえた初期協議を行っておきたいところです。期中にM&A、システム導入、重要取引の発生があれば、評価範囲の再協議が必要になります。

協議論点2｜RCMとキーコントロールは「形式」ではなく、リスクへの効き方を説明する

J-SOX対応でRCMを作成していても、監査法人との協議で手戻りが生じることがあります。その多くは、リスクと統制の対応関係が曖昧なまま、既存の業務手順をRCMに転記している場合です。

RCMは、業務手順一覧ではありません。財務報告リスクに対して、どの統制がどのように効いているかを示す資料です。

監査法人との協議では、次の問いに答えられる状態が求められます。

• そのリスクは、どの財務諸表項目・アサーションに関係するのか
• その統制は、発生可能性を下げる統制なのか、発見する統制なのか
• 統制実施者は、十分な権限・知識・独立性を持っているか
• 統制頻度は、リスクに見合っているか
• 統制実施の証跡は、後から第三者が確認できるか
• 自動統制・手作業統制・IT依存統制の区分は明確か
• キーコントロールと非キーコントロールの線引きは説明できるか
• 補完統制がある場合、どの不備をどの程度補完できるのか

たとえば、売上計上の統制として「上長が売上データをレビューする」とだけ記載されているRCMは、監査法人との協議に耐えにくい資料です。

• 何をレビューするのか
• 受注、出荷、検収、請求、入金のどの情報と照合するのか
• 期間帰属、実在性、網羅性、正確性のどのリスクに対応するのか
• 例外があった場合、誰がどのように処理するのか
• レビュー結果は、どの帳票・ワークフロー・コメント・承認ログに残るのか

ここまで整理して、初めて統制の有効性を協議できます。

特に、J-SOX文書化が長年更新されていない会社では、業務実態とRCMがずれていることがあります。現場はシステムやワークフローに移行しているのに、RCM上は紙の承認が残っている。子会社で処理方法が変わったのに、親会社の標準RCMがそのまま使われている。担当者の変更により、実際のレビュー者がRCMと異なっている。こうした状態では、評価手続に入る以前に、整備評価の段階で問題となります。

監査法人との協議では、RCMを提出するだけでなく、キーコントロール選定メモを用意しておくことが有効です。キーコントロールを選定した理由、選定しなかった統制の理由、リスクとの対応関係を明確にしておけば、後続の整備評価・運用評価・不備判定の議論が安定します。

協議論点3｜整備評価では「実施可能な統制」になっているかを確認する

整備評価で確認すべきなのは、統制が文書上存在するかどうかではありません。財務報告リスクに対応する統制が、会社の実態に照らして実施可能な形で設計されているかどうかです。

監査法人との協議では、次のような点が論点になります。

• 統制目的は明確か
• 統制活動は、リスクに直接対応しているか
• 統制実施者は、業務上の責任と能力を持っているか
• 統制頻度は、取引量やリスクの発生頻度に見合っているか
• 承認・レビュー・照合・分析の内容が具体的か
• 例外処理のルールがあるか
• 職務分掌上、自己承認や自己レビューになっていないか
• 少人数体制の場合、代替統制を設計しているか
• ITに依存する統制の場合、IT全般統制との関係が整理されているか
• 証跡が残る設計になっているか

ここで注意しておきたいのは、「理想的な統制」と「運用可能な統制」は異なるという点です。

たとえば、すべての取引に上長レビューを設定すれば、形式上は統制が厚く見えます。しかし、取引件数が多い会社で、上長が実質的にレビューできない量の承認を行っているとすれば、その統制は形骸化します。反対に、重要性の低い取引まで細かく統制を設計すると、現場の負荷が高まり、かえって重要な統制の運用品質が下がることもあります。

監査法人との整備評価の協議では、過剰統制と統制不足の境界を整理する必要があります。重要なリスクに対しては十分な統制を設計し、重要性の低い領域では運用負荷とのバランスを取る。この判断を説明できることが、実務上の品質だと考えています。

協議論点4｜運用評価では、サンプル数より先に「母集団」と「証跡」を固める

運用評価の協議で、サンプル件数だけに注目してしまう会社があります。しかし、サンプル件数の前に整理すべき論点があります。

まず、母集団です。

• どの取引・承認・レビュー・仕訳・帳票を母集団とするのか
• 母集団は完全か
• システムから抽出したデータの場合、抽出条件は説明できるか
• 除外データがある場合、その理由は明確か
• 手作業で作成した一覧の場合、網羅性をどのように確認するか

母集団が曖昧なままサンプリングを行うと、後から監査法人に再抽出を求められることがあります。

次に、証跡です。

• 統制実施日が分かるか
• 実施者が分かるか
• 何を確認したかが分かるか
• 承認・レビューの結果が残っているか
• 差異や例外への対応が分かるか
• 電子承認の場合、承認者、承認日時、承認対象、変更履歴が確認できるか
• Excelレビューの場合、上書きや後日修正のリスクをどう管理するか
• 会議体でのレビューの場合、議事録や資料に検討内容が残っているか

「実施しているが証跡がない」という状態は、J-SOX上は非常に弱い状態です。統制は、後から説明できなければ評価できません。

監査法人との協議では、運用評価を始める前に、主要な証跡サンプルを提示し、統制の実施内容が読み取れるかを確認しておくと有効です。期末に大量の証跡を集めてから「この証跡では確認できない」となれば、再取得、再評価、代替手続が必要になります。

金融庁の事例集でも、業務プロセスにおける評価手続やサンプリングの範囲について、会社の状況、全社的な内部統制の有効性、業務内容の同質性などを踏まえた実務上の考え方が示されています。サンプル件数だけを機械的に見るのではなく、母集団、統制頻度、リスク、統制の同質性を踏まえて評価計画を設計する必要があります。
出典：金融庁｜内部統制報告制度に関する事例集

協議論点5｜不備判定は「結論」ではなく、影響・原因・補完統制を整理する

J-SOX対応で最も慎重な協議が必要になるのが、不備判定です。

不備が発見されたときに、会社側が「軽微です」「運用上のミスです」「次回から気をつけます」と説明するだけでは、監査法人との協議にはなりません。

不備判定では、少なくとも次の論点を整理する必要があります。

• どの統制に不備があったのか
• 整備不備なのか、運用不備なのか
• どの財務報告リスクに関係するのか
• 影響する勘定科目・開示項目は何か
• 虚偽表示の発生可能性はどの程度か
• 潜在的な金額影響はどの程度か
• 質的重要性はあるか
• 同種の不備が他の拠点・プロセスにも存在するか
• 補完統制はあるか
• 補完統制は実際に有効に運用されているか
• 不備の原因は、担当者のミスか、設計の問題か、教育不足か、システム制約か、権限設計の問題か
• 是正策は、原因に対応しているか
• 期末までに是正・再評価できるか
• 内部統制報告書や監査法人の内部統制監査に影響するか

監査法人との協議では、不備の重要性について会社側の判断根拠を示す必要があります。監査法人に「この不備は重要ですか」と尋ねるのではなく、会社としてどのように判断したかを説明し、その前提について監査法人の見解を確認する。この姿勢が重要です。

日本公認会計士協会の監査基準報告書265は、財務諸表監査において監査人が識別した内部統制の不備について、監査役等及び経営者と適切にコミュニケーションを行うための実務上の指針であり、重要な不備に関するコミュニケーションなどが扱われています。J-SOX上の不備判定そのものとは目的・枠組みが異なる面もありますが、監査法人が内部統制上の不備をどのような観点で捉え、監査役等・経営者とコミュニケーションするのかを理解するうえで重要な指針です。
出典：日本公認会計士協会｜監査基準報告書265 内部統制の不備に関するコミュニケーション

不備判定で避けたいのは、形式的な軽微化です。

• 「金額影響が小さいから軽微」とだけ判断する
• 補完統制の存在だけを挙げ、実際の運用状況を確認しない
• 同じ不備が繰り返されているのに、単発ミスとして扱う
• 子会社や他部門にも同じ構造があるのに、発見された1件だけで判断する
• IT権限不備を、実際の不正や誤謬が発生していないことだけで軽視する
• 是正策が教育や注意喚起だけにとどまり、原因に対応していない

このような判断は、後から監査法人との認識差や、経営層への説明不足につながります。

協議論点6｜IT統制は、最後に情報システム部門へ依頼する論点ではない

J-SOX対応でIT統制が後手になる会社は、少なくありません。

その理由は、J-SOXを経理部門中心で進め、IT統制を「情報システム部門の資料提出」と捉えてしまうところにあります。しかし、IT統制は、会計・業務・システム・データ・証跡をつなぐ論点です。

監査法人との協議では、次の事項を早期に整理しておく必要があります。

• 財務報告に関連するシステムの範囲
• 会計システム、販売管理、購買管理、在庫管理、人事給与、経費精算、連結、開示、ワークフローなどの関係
• システム間データ連携の流れ
• IT全般統制の対象システム
• アクセス権限管理の設計
• 特権IDの管理
• 退職者・異動者のID削除・権限変更
• プログラム変更管理
• マスタ変更管理
• バックアップ・障害対応
• 外部委託先・クラウドサービスの管理
• 電子証跡やログの保存・閲覧・改ざん防止
• IT業務処理統制と手作業統制の関係

特に注意しておきたいのが、IT依存統制です。

たとえば、売上承認ワークフロー、与信限度額の自動チェック、請求書発行制限、仕訳自動連携、在庫評価計算、給与計算、連結消去仕訳の自動処理などは、業務統制であると同時に、IT統制に依存しています。IT全般統制が弱ければ、これらの業務処理統制の信頼性にも影響が及びます。

監査法人との協議では、「どの統制がITに依存しているか」をRCM上で明確にすることが重要です。業務部門が実施している統制に見えても、その前提となるシステム設定、マスタ、権限、変更管理が崩れていれば、統制の有効性を十分に説明できません。

また、クラウドや外部委託先を利用している場合も、委託したから統制責任がなくなるわけではありません。委託先のサービスレポート、責任分界、障害時対応、データ保全、アクセス権限、ログ取得可能性を確認する必要があります。

協議論点7｜内部監査結果を、監査法人が利用しやすい状態にする

監査法人が会社の内部評価結果をどの程度利用するかは、監査法人の判断事項です。会社側が一方的に「内部監査で評価済みだから、監査法人も利用できるはず」と考えることはできません。

ただし、内部評価の品質が高ければ、監査法人との協議は進めやすくなります。逆に、内部評価の品質が低ければ、監査法人から追加確認や再評価を求められやすくなります。

内部評価の品質に関して、監査法人と協議すべき論点は次のとおりです。

• 評価者の独立性
• 評価者の能力・経験
• 評価計画の妥当性
• 評価対象と評価手続の明確性
• サンプリング方法
• 母集団の確認方法
• 証跡の確認方法
• 例外・逸脱の判断基準
• 調書の記載粒度
• レビュー体制
• 不備集計と経営者報告
• 過年度指摘の反映状況

日本公認会計士協会の監査基準報告書610は、財務諸表監査において監査人が内部監査人の作業を利用する場合の実務上の指針です。J-SOXの内部評価体制を考えるうえでも、内部監査人の客観性、専門的能力、作業の種類・範囲、監査計画との適合性といった観点は参考になります。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

会社側として重要なのは、監査法人に依拠してもらうこと自体を目的化しないことです。目的は、経営者評価として信頼できる内部評価体制を作ることにあります。その結果として、監査法人との協議が円滑になり、監査対応の手戻りが減り、内部監査部門の機能が高まる。この順番で考えるべきです。

協議論点8｜監査スケジュールは、決算・開示・内部監査のスケジュールと一体で設計する

監査法人とのJ-SOX協議では、論点だけでなくスケジュールも重要です。

J-SOX評価は、決算・開示・財務諸表監査と密接に関係します。J-SOX評価の遅れは、内部統制監査だけでなく、決算監査、開示資料レビュー、監査役等への報告、取締役会報告にも影響します。

監査法人と協議すべきスケジュールの論点は、次のとおりです。

• 評価範囲の初期協議時期
• RCM・3点セットの更新期限
• 整備評価の実施時期
• 運用評価の中間実施時期
• 期末ロールフォワードの対象
• IT統制評価の実施時期
• 子会社・海外拠点の評価時期
• 監査法人への資料提出期限
• 不備集計と不備判定協議の時期
• 是正・再評価の期限
• 内部統制報告書作成のスケジュール
• 監査役等・取締役会への報告時期
• 有価証券報告書・決算短信・開示基礎資料との関係

ここで重要なのは、J-SOX評価を期末イベントにしないことです。

• 評価範囲は期初に協議する
• 整備評価は、統制を運用する前に確認する
• 運用評価は、期中で一度状況を把握する
• IT統制は、システム変更や権限棚卸のタイミングと合わせる
• 不備は、発見後すぐに原因・影響・是正期限を整理する
• 期末には、未解決論点を残さない状態に近づける

決算早期化の実務でも、最終成果物から逆算し、単体決算・連結決算・開示業務を分断せずに全体を俯瞰する視点が重要になります。J-SOX対応でも同じです。評価手続、監査法人対応、決算・開示、内部監査、監査役等報告を別々に進めれば、手待ち・手戻り・重複が増えていきます。

協議記録は「議事録」ではなく、後から説明するための判断証跡である

監査法人とのJ-SOX協議で見落とされやすいのが、協議記録です。

• 口頭で確認しただけ
• メールで簡単にやり取りしただけ
• 会議資料はあるが、結論や宿題が残っていない
• 監査法人のコメントに対して、会社側の対応方針が記録されていない
• 次回までの確認事項、担当者、期限が不明確
• 監査役等や経営層に共有すべき論点が残っていない

このような状態では、後から判断過程を説明できません。

J-SOX対応では、統制そのものの証跡だけでなく、重要な判断過程の証跡も必要になります。評価範囲、不備判定、IT統制の範囲、子会社の扱い、補完統制の評価、是正完了判断などは、後から「なぜそのように判断したのか」を説明できる状態にしておく必要があります。

協議記録には、少なくとも次の事項を残しておきたいところです。

• 協議日
• 出席者
• 協議対象資料
• 会社側の提示内容
• 監査法人からのコメント
• 合意した前提
• 未確定論点
• 会社側の追加対応事項
• 担当者
• 期限
• 次回確認事項
• 経営層・監査役等への報告要否

ここでいう「合意」は、監査法人が会社の判断を承認したという意味ではありません。会社側の説明と監査法人のコメントを踏まえ、その時点での前提や追加確認事項を記録するという意味です。

この違いは重要です。監査法人との協議記録は、会社の経営者評価を監査法人に転嫁するための資料ではありません。会社が自ら判断した内容と、その判断に至る過程を整理するための資料です。

監査法人との協議で避けるべき進め方

監査法人とのJ-SOX協議では、次のような進め方を避ける必要があります。

1. 期末にまとめて相談する

期末に評価範囲、RCM、証跡、不備判定をまとめて相談すると、修正の余地が限られます。統制の整備不備が見つかっても、期末時点では十分な運用実績を積めないことがあります。

2. 監査法人に結論を求める

「この統制でよいですか」「この不備は軽微でよいですか」と結論を求めるだけでは、会社側の判断過程が残りません。会社としての判断案、根拠、リスク評価、代替案を示したうえで協議すべきです。

3. テンプレート資料だけを提出する

3点セットやRCMがきれいに整っていても、業務実態とずれていれば意味がありません。監査法人は、文書の体裁ではなく、リスクと統制の対応、運用可能性、証跡を見ています。

4. IT統制を経理部門外の論点として後回しにする

IT統制を情報システム部門に丸投げすると、財務報告リスクとの接続が弱くなります。経理・IT・内部監査が、共通のシステム範囲とリスク認識を持つ必要があります。

5. 不備を現場のミスとして処理する

不備の原因を担当者の注意不足で終わらせると、同じ不備が再発します。設計、教育、権限、システム、証跡、レビュー体制のどこに原因があるのかを確認すべきです。

6. 協議記録を残さない

協議内容が残っていないと、翌期に同じ論点をあらためて説明することになります。担当者が変わった場合や、監査法人側のチームが変わった場合にも、過年度の判断過程を引き継げません。

監査法人協議を有効にするための社内準備

監査法人との協議の前に、社内で論点を整理しておくことが重要です。監査法人との会議に経理部門だけが出席し、その場で回答しようとすると、業務実態、IT、子会社、内部監査、監査役等報告に関する論点で答えきれないことがあります。

協議の前に、社内で次の役割を整理しておきたいところです。

関係者	事前に整理すべき事項
経営者・CFO	重要リスク、評価範囲、不備の影響、経営判断事項
経理部門	決算・開示プロセス、会計論点、開示基礎資料、リードシート
内部監査部門	評価計画、評価調書、サンプリング、不備集計、フォローアップ
情報システム部門	対象システム、アクセス権限、変更管理、運用管理、ログ
現場部門	業務フロー、承認、照合、例外処理、証跡
子会社管理部門	子会社評価範囲、連結パッケージ、親会社レビュー、現地証跡
監査役等	重要不備、是正状況、監査法人指摘、経営者無効化リスク
外部専門家	論点整理、資料設計、判断支援、監査法人協議準備

監査法人との協議を有効にできている会社は、会議前に社内論点を整理しています。監査法人との会議の場で初めて社内の認識差が明らかになるようでは、協議は前に進みません。

J-SOX協議で外部専門家を活用する意味

外部専門家を活用する場面は、資料作成の代行だけではありません。むしろ、監査法人とのJ-SOX協議で重要なのは、論点整理、判断材料の作成、優先順位づけ、そして関係者間の翻訳です。

たとえば、次のような場面では、外部専門家の関与が有効です。

• 評価範囲の判断根拠を整理したい
• 監査法人からの指摘の意味を、社内で理解しきれていない
• RCMやキーコントロールの設計が形式的になっている
• 証跡が残っていない統制を、現実的に回る形へ見直したい
• IT統制の範囲や責任分担が曖昧である
• 不備判定について、金額的重要性・質的重要性・補完統制を整理したい
• 子会社・海外拠点のJ-SOX対応が、親会社の説明責任に耐えない
• 内部監査部門の評価調書やレビュー体制を改善したい
• 監査役等・取締役会への報告資料を、作業報告ではなくリスク報告にしたい

専門家に期待すべきなのは、監査法人との交渉代行ではありません。会社側の判断を、制度趣旨・監査目線・業務実態・運用負荷のバランスで整理し、監査法人に説明できる形にすることです。

監査法人との協議は、J-SOXを経営管理に接続する入口になる

監査法人とのJ-SOX協議を単なる監査対応として扱うと、どうしても「監査法人に何を出すか」という発想になりがちです。

しかし、本来整理すべきなのは、会社が財務報告リスクをどのように把握し、統制をどのように設計し、証跡をどのように残し、不備をどのように是正し、経営層・監査役等・現場へどのように説明するのか、という点です。

この整理が進むと、J-SOX対応は経営管理にもつながっていきます。

• 評価範囲の整理は、重要拠点・重要プロセス・子会社管理の見直しにつながる
• RCMの見直しは、業務フローと権限設計の見直しにつながる
• 証跡設計は、決算・開示資料の品質向上につながる
• IT統制の整理は、システム変更管理やデータガバナンスにつながる
• 不備の是正管理は、内部監査と経営層報告の高度化につながる
• 監査法人との協議記録は、翌期以降の手戻り防止と継続運用につながる

J-SOX対応の質は、会社がどれだけ説明できるかに表れます。監査法人との協議は、その説明力を磨くための重要なプロセスです。

日本公認会計士協会は、財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」について、2025年2月13日承認の改正を公表し、2025年4月1日以後開始する連結会計年度及び事業年度に係る内部統制監査から適用することとしています。監査法人との協議では、会社側のJ-SOX実務だけでなく、監査法人が準拠する内部統制監査の最新の実務指針も踏まえておく必要があります。
出典：日本公認会計士協会｜「財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」の改正」及び「公開草案に対するコメントの概要及び対応」の公表について

また、監査役等とのコミュニケーションに関する監査基準報告書260については、2026年7月14日に日本公認会計士協会から訂正が公表されています。訂正は軽微な誤字・脱字及び表現整合性を図るものであり、実質的な変更ではないとされていますが、監査法人とのコミュニケーションに関係する実務指針についても、最新版を確認する姿勢が重要です。
出典：日本公認会計士協会｜監査基準報告書等の訂正について

まとめ｜監査法人とのJ-SOX協議で必要なのは、資料ではなく判断の説明可能性である

監査法人とのJ-SOX協議は、資料を提出してコメントを待つ場ではありません。

• 評価範囲をどう決めたのか
• どのリスクに対して、どの統制をキーコントロールとしたのか
• 整備評価で、統制が実施可能と判断した根拠は何か
• 運用評価で、母集団と証跡をどう確認したのか
• 不備について、影響・原因・補完統制・是正をどう判断したのか
• IT統制の範囲と業務統制との関係をどう整理したのか
• 内部監査結果をどのようにレビューし、経営者評価に反映したのか
• 監査法人との協議内容を、翌期以降にどう引き継ぐのか

これらを説明できる状態にすることが、監査法人との協議の目的です。

J-SOX対応は、監査法人のための作業ではありません。会社が自らの財務報告リスク、業務プロセス、権限、証跡、IT、子会社管理、是正状況を説明できる状態に整えていく取り組みです。

監査法人との協議を後手にせず、期初から論点を整理し、判断過程を残し、現場で継続運用できる統制へ改善していく。それが、手戻りを減らし、決算・開示・経営管理の信頼性を高める基盤になります。

J-SOX対応・監査法人協議の整理をご検討の方へ

監査法人とのJ-SOX協議で手戻りが続いている場合、問題は個別資料の不足だけとは限りません。

• 評価範囲の判断根拠が弱い
• RCMと業務実態が合っていない
• キーコントロールの選定理由を説明できない
• 証跡はあるが、統制実施内容が読み取れない
• IT統制の対象システムや責任分担が曖昧である
• 不備判定で、金額的重要性・質的重要性・補完統制の整理ができていない
• 監査法人指摘が経理部門や内部監査部門の中で止まり、経営層・監査役等への報告につながっていない
• 協議記録が残らず、翌期も同じ説明を繰り返している

このような状況では、J-SOX評価資料だけを修正しても、根本的な改善にはつながりにくいことがあります。評価範囲、RCM、証跡、IT統制、不備管理、監査法人協議記録、内部監査体制を一体で見直すことが重要です。

犬飼公認会計士・税理士事務所では、J-SOX対応、評価範囲資料の整理、RCM・3点セットの見直し、整備評価・運用評価支援、不備判定の論点整理、IT統制・子会社管理・決算開示プロセス統制、監査法人協議に向けた資料設計について、制度趣旨と実務運用の両面から支援しています。

監査法人との協議で何を整理すべきか、現在の資料や指摘事項をもとに優先順位を明確にしたい場合は、お問い合わせページよりご相談ください。

振り返り

協議論点	整理すべきポイント
評価範囲	数値基準だけでなく、事業変化、質的重要性、リスク、除外理由を説明する
RCM	業務手順ではなく、財務報告リスクと統制の対応関係を示す
キーコントロール	なぜその統制が重要リスクに効くのか、選定理由を説明する
整備評価	統制が文書上存在するだけでなく、現場で実施可能な設計か確認する
運用評価	サンプル件数の前に、母集団、抽出条件、証跡の品質を固める
証跡	誰が、いつ、何を確認し、例外にどう対応したかを後から説明できる状態にする
不備判定	不備の種類、影響、原因、補完統制、是正期限、再評価方法を整理する
IT統制	対象システム、アクセス権限、変更管理、データ連携、電子証跡を早期に協議する
内部監査結果	評価者の独立性・能力、調書品質、レビュー体制を説明できる状態にする
監査スケジュール	J-SOX評価、決算、開示、監査法人対応、監査役等報告を一体で設計する
協議記録	会社側の判断、監査法人コメント、未解決論点、宿題、期限を残す
最終目的	監査法人対応ではなく、会社として内部統制を説明できる状態を作る