監査法人からJ-SOXに関する指摘を受けたとき、最初に行うべきことは、すぐに反論することでも、回答文を作り込むことでもありません。
まず必要なのは、その指摘が何を問題にしているのかを分解することです。
同じ「J-SOXの指摘」といっても、その中身は大きく異なります。評価範囲の考え方に関する指摘なのか、3点セットと実態の不一致なのか。統制設計の不足なのか、証跡の不備なのか。運用評価の例外なのか、不備判定の考え方なのか。あるいは、IT統制や子会社管理の問題なのか。
この整理をしないまま対応に入ると、表面的な回答はできても、翌期以降に同じ論点が繰り返されます。場合によっては、決算・開示スケジュール、内部統制報告書、監査役等への報告、経営層への説明にまで影響が広がっていきます。
J-SOX対応は、資料をそろえる作業ではありません。財務報告に関するリスクに対して、どの統制が、誰により、どの証跡で、どの程度有効に機能しているかを説明できる状態にする取り組みです。
その意味で、監査法人からの指摘は、単なる修正依頼ではありません。自社の内部統制がどこまで説明可能な状態になっているかを見直すきっかけとして扱う必要があります。
監査法人指摘は「指摘文」だけで理解してはいけない
監査法人から受けるコメントには、さまざまな段階があります。
質問に近いものもあれば、追加資料の依頼もあります。文書化の不備を指摘するものもあれば、統制不備や開示すべき重要な不備につながり得る論点もあります。会社側が受け取った時点では、どれも同じように「監査法人からの指摘」と見えますが、実務上の重みは大きく異なります。
そのため、まずは指摘を次のように分けて整理します。
| 区分 | 内容 | 初動で確認すべきこと |
|---|---|---|
| 確認依頼 | 監査法人が事実関係を確認している段階 | 何を確認したいのか、対象資料は何か |
| 追加資料依頼 | 証跡や根拠資料の追加提出を求められている段階 | 既存資料で足りるのか、新たな整理が必要か |
| 文書化上の指摘 | 3点セット、RCM、評価調書の記載が不足している段階 | 業務実態と文書のどちらに問題があるか |
| 統制設計上の指摘 | リスクに対応する統制が十分に設計されていない段階 | 統制目的、実施者、頻度、証跡が明確か |
| 運用上の指摘 | 統制はあるが、実施・証跡・レビューに例外がある段階 | 例外の範囲、発生頻度、補完統制を確認する |
| 不備判定に関する指摘 | 不備の重要性や評価結果について認識差がある段階 | 金額的重要性、質的重要性、影響範囲を整理する |
| 開示・報告に関する指摘 | 内部統制報告書や訂正、監査役等報告に関係する段階 | 経営層・監査役等への報告要否を検討する |
ここで大切なのは、監査法人の文言をそのまま社内対応に置き換えないことです。
たとえば「証跡が不足している」というコメントは、単に資料を追加提出すれば解決する場合もあります。しかしその一方で、実際にはレビュー統制が実施されていない、承認者が確認すべき内容を理解していない、電子承認ログだけでは確認内容が分からない、といった統制設計上の問題が背景にひそんでいることもあります。
指摘文だけを見て対応すれば、問題の深さを見誤ります。
現行J-SOXでは、評価範囲と説明可能性がより重要になっている
監査法人指摘を整理するにあたっては、現行の内部統制報告制度の前提も押さえておきたいところです。
内部統制報告制度は、金融商品取引法に基づき、上場会社等を対象として、財務報告に係る内部統制の経営者評価と公認会計士等による監査を求める制度です。内部統制報告書の提出根拠は、金融商品取引法第24条の4の4に置かれています。
出典：e-Gov法令検索｜金融商品取引法
また、企業会計審議会は2023年4月に、内部統制基準・実施基準の改訂意見書を公表しました。改訂の背景としては、評価範囲の外で開示すべき重要な不備が明らかになる事例や、内部統制の有効性評価が訂正される際に十分な理由の開示がない事例が見受けられたことが挙げられています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
改訂基準・改訂実施基準は、2024年4月1日以後開始する事業年度における財務報告に係る内部統制の評価および監査から適用されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
したがって、監査法人からの指摘を受けたときに、「前年もこの範囲で問題なかった」「この資料で毎年対応していた」と考えるだけでは足りません。評価範囲、重要な事業拠点、業務プロセス、IT統制、決算・開示プロセスについて、なぜその判断をしたのかを説明できるかどうかが問われます。
とりわけ改訂基準では、評価対象とする重要な事業拠点や業務プロセスの選定について、例示されている数値基準や勘定科目を機械的に適用すべきでないことが明確化されました。あわせて、評価範囲に関する監査人との協議は、評価計画段階や状況変化があった場合に、必要に応じて実施することが適切であるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
この点は、監査法人から評価範囲やリスク評価に関する指摘を受けたときに、特に重要になります。
指摘を受けたら、まず「5つの要素」に分解する
監査法人指摘を受けたときは、次の5つに分解して整理すると、対応方針が見えやすくなります。
| 整理項目 | 内容 | 実務上の意味 |
|---|---|---|
| 論点 | 何が問題とされているか | 評価範囲、統制設計、証跡、不備判定などを特定する |
| 影響 | どこに影響するか | 財務報告、内部統制報告、監査スケジュール、開示、子会社管理などを確認する |
| 根拠 | なぜ問題とされているか | 基準、実施基準、監査法人の監査証拠、会社資料との不整合を整理する |
| 期限 | いつまでに対応が必要か | 期末監査、内部統制報告書、監査役等報告、取締役会報告との関係を確認する |
| 責任者 | 誰が対応するか | 経理、内部監査、IT、現場部門、子会社、経営層の役割を明確にする |
この5つを整理しないまま対応を進めると、社内では次のような混乱が起こります。
- 「経理の問題だと思っていたが、実際にはIT部門のアクセス権限管理の問題だった」
- 「3点セットの修正だと思っていたが、統制設計そのものの問題だった」
- 「証跡を追加すればよいと思っていたが、実際には不備判定が必要だった」
- 「監査法人への回答だけでよいと思っていたが、監査役等や経営層への報告が必要な論点だった」
J-SOX指摘対応で重要なのは、早く回答することではなく、正しく分解することです。
監査法人指摘を整理するための基本フォーマット
実務では、指摘を一覧化して管理することが有効です。
ただし、単なるToDoリストにしてしまうと、対応期限だけが先行し、論点の深さが見えなくなります。J-SOX指摘の管理表には、少なくとも次の項目を持たせておきたいところです。
| 項目 | 整理する内容 |
|---|---|
| 指摘番号 | 社内で管理するための番号 |
| 指摘日 | いつ受けた指摘か |
| 指摘者・協議経路 | 監査チーム、IT監査チーム、内部統制監査担当など |
| 対象年度・対象期間 | どの年度、どの四半期、どの評価期間に関する指摘か |
| 対象領域 | 評価範囲、全社統制、決算統制、業務プロセス、IT統制、子会社など |
| 指摘内容 | 監査法人のコメントを原文に近い形で記録 |
| 会社側の理解 | 会社として何を問題と受け止めたか |
| 影響評価 | 財務報告、内部統制評価、不備判定、監査スケジュールへの影響 |
| 原因仮説 | 資料不足、運用漏れ、統制設計不足、評価範囲誤り、体制不足など |
| 対応方針 | 追加資料提出、文書更新、統制再設計、再評価、是正計画など |
| 責任部署 | 経理、内部監査、IT、現場、子会社など |
| 対応期限 | 監査法人への回答期限、是正期限、再評価期限 |
| 経営層・監査役等報告 | 報告要否、報告予定、報告済みか |
| 協議記録 | 監査法人との協議日、協議内容、未決事項 |
| ステータス | 未着手、確認中、回答済み、追加対応中、クローズなど |
この一覧表を作る目的は、監査法人に見せるためだけではありません。
社内で、何が未解決なのか、誰のところで止まっているのか、どの論点が重要なのかを見える化するためです。監査法人指摘は、担当者のメールボックスや個別Excelに埋もれてしまうと、たちまち全体像が見えなくなります。
指摘内容を9つのタイプに分ける
監査法人からのJ-SOX指摘は、内容ごとに整理しておくと、対応方針を決めやすくなります。
1. 評価範囲に関する指摘
評価範囲に関する指摘は、J-SOX対応の中でも特に重要です。
たとえば、重要な事業拠点の選定理由が不明確である、業務プロセスの選定が前年踏襲になっている、子会社や新規事業の影響が評価範囲に反映されていない、ITシステムの変更が考慮されていない、といった指摘が挙げられます。
評価範囲に関する指摘では、まず次の点を確認します。
| 確認項目 | 見るべき内容 |
|---|---|
| 対象会社・拠点 | どの会社・拠点が対象か、対象外か |
| 選定指標 | 売上高、総資産、税前利益、勘定科目、質的重要性など |
| 対象外理由 | 対象外とした理由が説明可能か |
| 変化要因 | 新規事業、M&A、子会社化、システム変更、組織変更があるか |
| 財務報告への影響 | 重要な虚偽表示リスクに関係するか |
| 監査法人協議 | いつ、何を、どこまで協議したか |
評価範囲の指摘は、単なる資料修正では終わらないことがあります。評価範囲を追加する必要が生じた場合、3点セット、RCM、整備評価、運用評価、証跡収集にまで影響が及びますので、早めに全体影響を把握しておく必要があります。
なお、評価範囲外の事業拠点または業務プロセスから開示すべき重要な不備が識別された場合には、当該時点を含む会計期間の評価範囲に含めることが適切である旨が示されています。
出典：日本公認会計士協会｜改正内部統制報告制度についての期末監査での留意事項
2. 3点セット・RCMに関する指摘
3点セットやRCMに関する指摘では、「資料の体裁」だけを直しても不十分です。
業務記述書、フローチャート、RCMは、業務の流れ、財務報告リスク、統制活動、証跡、評価手続をつなぐ資料です。業務フローを理解することは、内部統制の整備だけでなく、全体最適化や業務改善にもつながっていきます。
整理すべき観点は、次のとおりです。
| 指摘例 | 確認すべきこと |
|---|---|
| 業務記述書が実態と合っていない | 実際の担当者、承認者、システム、帳票が変わっていないか |
| フローチャートに統制点が見えない | どこで承認・照合・レビューが行われているか |
| RCMのリスクと統制が対応していない | その統制がどのアサーション・リスクに効いているか |
| キーコントロールが不明確 | 重要な統制と補助的な統制が区別されているか |
| 証跡が評価手続と合わない | 評価者が何を見て有効と判断できるか |
ここで避けたいのは、監査法人のコメントに合わせて文言だけを修正することです。
3点セットに手を入れるのであれば、業務実態、統制設計、証跡、評価手続の整合性まで見直す必要があります。
3. 整備評価に関する指摘
整備評価に関する指摘は、「その統制が設計上、リスクに対応できる状態になっているか」を問うものです。
たとえば、承認者が何を確認しているか不明確である、レビューの観点が定義されていない、統制頻度とリスクの発生頻度が合っていない、職務分掌が弱い、IT依存統制の前提が確認されていない、といった指摘が典型です。
整備評価の指摘では、次の順番で整理していきます。
| 整理順 | 確認内容 |
|---|---|
| 1 | どの財務報告リスクに対応する統制か |
| 2 | 統制目的は明確か |
| 3 | 誰が実施する統制か |
| 4 | いつ、どの頻度で実施されるか |
| 5 | 何を確認するか |
| 6 | どの証跡が残るか |
| 7 | 例外があった場合にどう対応するか |
| 8 | ITや他部門の統制に依存していないか |
整備評価で問題になるのは、「統制がある」と説明していながら、実際には統制として成立していない状態です。
「上長が見ています」「経理で確認しています」「システムで管理しています」という説明だけでは、J-SOX上の統制としては弱い場合があります。何を、どの基準で、どの資料に基づき、どの証跡を残して確認しているのか。そこまで示せて、はじめて統制として説明できます。
4. 運用評価・証跡に関する指摘
運用評価に関する指摘では、統制が一定期間にわたって継続的に実施されているかが問われます。
よく見られるのは、承認日が確認できない、レビュー内容が分からない、サンプルの一部で証跡が欠落している、電子承認ログだけでは確認内容が不明、差異分析の結果に対する対応が残っていない、といった指摘です。
この場合、単に不足資料を探すだけでなく、証跡の品質そのものを確認する必要があります。
| 証跡の確認観点 | 内容 |
|---|---|
| 実施者 | 誰が統制を実施したか |
| 実施日 | いつ実施したか |
| 対象資料 | 何を確認したか |
| 確認内容 | どの観点で確認したか |
| 判断結果 | 問題あり・なしをどう判断したか |
| 例外処理 | 差異や例外があった場合にどう対応したか |
| レビュー証跡 | 上位者レビューや再確認が残っているか |
注意していただきたいのは、後から証跡を作るような対応です。
実際に統制が行われていたことを補足説明する資料を整理することは、あり得ます。しかし、実施されていない統制を、実施されていたかのように見せることは許されません。証跡不足への対応では、過去の実施事実を確認できる資料、代替的に確認できる資料、今後の証跡改善を、明確に区別して整理する必要があります。
5. 不備判定に関する指摘
不備判定に関する指摘では、会社側と監査法人との間に認識差が生じやすくなります。
会社側は「軽微な運用漏れ」と考えている一方で、監査法人は「財務報告に重要な影響を及ぼし得る統制不備」と見ていることがあります。逆に、監査法人が懸念を示している段階にすぎないにもかかわらず、会社側が過度に重大視してしまい、社内が混乱することもあります。
不備判定では、少なくとも次の観点を整理します。
| 判断観点 | 確認内容 |
|---|---|
| 不備の性質 | 整備上の不備か、運用上の不備か |
| 影響する勘定科目 | 売上、債権、在庫、固定資産、引当金、開示項目など |
| アサーション | 実在性、網羅性、正確性、期間帰属、評価、表示など |
| 金額的重要性 | 潜在的な虚偽表示金額はどの程度か |
| 質的重要性 | 不正リスク、経営者関与、開示、上場審査、子会社管理への影響 |
| 発生頻度 | 単発か、反復的か、母集団全体に広がるか |
| 補完統制 | 他の統制でリスクが低減されているか |
| 是正可能性 | 期末までに是正・再評価できるか |
| 報告要否 | 経営層、監査役等、内部統制報告書への影響 |
不備判定は、個別事情によって結論が変わります。
ただし、「個別事情による」で止めてしまってはいけません。どの観点を確認すれば判断できるのかを明確にしておくことが重要です。
6. IT統制に関する指摘
IT統制に関する指摘は、経理部門だけでは整理しきれないことが多い領域です。
アクセス権限、特権ID、変更管理、バックアップ、ジョブ管理、インターフェース、マスタ変更、ワークフロー承認、外部委託先管理など、財務報告に関係するシステムの統制が広く対象になります。
2023年改訂では、ITを利用した内部統制の評価について、IT環境の変化を踏まえて慎重に判断し、必要に応じて監査人と協議すべきであり、特定の年数を機械的に適用すべきものではないことが明確化されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
IT統制の指摘では、次の点を整理します。
| 領域 | 確認事項 |
|---|---|
| システム範囲 | 財務報告に影響するシステムか |
| アクセス権限 | 付与・変更・削除・棚卸しの手続があるか |
| 特権ID | 利用承認、ログ確認、利用後レビューがあるか |
| 変更管理 | システム改修、設定変更、マスタ変更の承認があるか |
| 業務処理統制 | 自動計算、入力制限、承認ワークフローの妥当性 |
| 電子証跡 | ログやワークフロー承認が証跡として評価可能か |
| 外部委託 | クラウド、BPO、ベンダーとの責任分界が明確か |
IT統制でよく見られる問題は、IT部門はシステム管理の観点で説明し、経理部門は財務報告の観点で説明していて、両者がつながっていないことです。
監査法人からIT統制の指摘を受けた場合には、経理、IT、内部監査、現場部門が同じテーブルで整理する必要があります。
7. 決算・開示プロセスに関する指摘
決算・開示プロセスに関する指摘は、J-SOX対応の中でも経営管理に直結する領域です。
決算スケジュールが遅れている、リードシートが属人化している、開示基礎資料の根拠が追えない、連結パッケージのレビューが不十分、会計上の見積りの検討過程が残っていない、といった論点が挙がります。
決算早期化を実現している会社では、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して全体を俯瞰する視点が働いています。J-SOX指摘への対応でも同じで、枝葉の資料修正にとどまらず、決算・開示全体の流れを見直す視点が欠かせません。
決算・開示に関する指摘では、次の点を確認します。
| 領域 | 確認事項 |
|---|---|
| 単体決算 | 締め、レビュー、修正仕訳、残高確認、分析資料 |
| 連結決算 | 子会社パッケージ、連結修正、内部取引、親会社レビュー |
| 開示資料 | 開示基礎資料、参照番号、更新責任、レビュー履歴 |
| 見積り | 減損、引当金、税効果、収益認識、偶発債務など |
| 非定型取引 | 重要契約、組織再編、関連当事者、後発事象 |
| スケジュール | 監査対応、開示期限、取締役会・監査役等報告との関係 |
ここで重要なのは、J-SOX指摘を「内部統制部門だけの問題」にしないことです。
決算・開示の統制不備は、経理部門の人員、業務分担、教育、レビュー体制、IT、子会社管理、そして経営層の意思決定スピードにも関係しています。
8. 子会社・グループ管理に関する指摘
子会社に関する指摘では、親会社の説明責任が問われます。
評価範囲に含めるかどうかだけでなく、子会社の決算資料の品質、連結パッケージの証跡、会計方針の統一、現地システム、親会社レビュー、内部監査の実施状況までが問題になります。
とりわけ、買収、新規子会社化、海外拠点の拡大、システム統合、組織再編があった場合には、前年の評価範囲や統制設計をそのまま使えないことがあります。
監査法人から子会社に関する指摘を受けた場合は、次の点を整理します。
| 整理項目 | 確認内容 |
|---|---|
| 子会社の重要性 | 量的重要性と質的重要性 |
| 決算体制 | 経理担当者、外部専門家、締め日、レビュー体制 |
| 連結資料 | パッケージ、差戻し、根拠資料、提出遅延 |
| 業務統制 | 販売、購買、在庫、資金、人件費など |
| IT環境 | 会計システム、アクセス権限、変更管理 |
| 親会社統制 | 報告ライン、規程、モニタリング、内部監査 |
| 変化要因 | M&A、組織再編、新規事業、システム変更 |
子会社管理の指摘を受けたときに、「子会社側の問題」として切り離してしまうのは危険です。
連結財務諸表を作成し、グループ全体の内部統制を評価する以上、親会社がどこまで把握し、どのように指導・レビューしているかが問われます。
9. 内部監査・評価体制に関する指摘
内部監査部門やJ-SOX評価体制に関する指摘では、評価品質そのものが問題になります。
評価者の独立性、評価調書の記載、サンプリング、レビュー、証跡確認、不備フォロー、経営層・監査役等への報告が十分かどうか。こうした点が見られています。
内部監査においては、独立性・客観性、専門的能力、正当な注意、リスクベースの計画、監査調書、発見事項、改善フォローが重要になります。J-SOX評価でも同様に、評価作業をこなすだけでなく、評価結果を改善につなげる体制が必要です。
内部監査・評価体制の指摘では、次の観点を整理します。
| 観点 | 確認内容 |
|---|---|
| 評価者 | 評価対象業務から独立しているか |
| 能力 | J-SOX、会計、業務、ITを理解しているか |
| 評価計画 | リスクに応じた計画になっているか |
| 調書品質 | 結論と根拠が明確か |
| レビュー | 上位者レビューが機能しているか |
| 不備管理 | 発見事項、是正、再評価が管理されているか |
| 報告 | 経営層・監査役等に必要な情報が報告されているか |
監査法人が内部評価結果に依拠しにくいと感じている場合には、単なる調書修正ではなく、評価体制そのものの見直しが必要になることがあります。
指摘への対応方針は「短期対応」と「根本対応」に分ける
監査法人から指摘を受けたとき、期限が迫っていると、どうしても短期対応に意識が向きます。
もちろん、期末監査や内部統制報告書の提出期限が近い場合には、短期的な対応が必要です。しかし、短期対応だけで終わってしまうと、同じ指摘が翌期以降も繰り返されます。
対応方針は、次の2層に分けて整理します。
| 区分 | 内容 | 目的 |
|---|---|---|
| 短期対応 | 追加資料提出、補足説明、評価調書の修正、サンプル再確認、監査法人への回答 | 当期の監査・評価を進める |
| 根本対応 | 統制再設計、3点セット更新、証跡設計、IT権限見直し、内部監査体制強化、子会社管理改善 | 翌期以降の手戻りを減らす |
たとえば、レビュー証跡が不足しているという指摘に対して、当期は既存資料で実施事実を補足説明する必要があるかもしれません。
しかし根本対応としては、レビュー時に何を確認したかを残す様式、電子承認時のコメントルール、例外処理の記録方法、評価調書との対応関係を見直していくことになります。
監査法人への回答では、「当期はどう説明するか」と「翌期以降どう改善するか」を分けて示すと、論点が整理されやすくなります。
監査法人への回答前に確認すべきこと
監査法人へ回答する前に、少なくとも次の点は確認しておきたいところです。
| 確認項目 | 内容 |
|---|---|
| 指摘の理解 | 監査法人の懸念を正しく理解しているか |
| 事実関係 | 業務実態、証跡、評価調書、システムログを確認したか |
| 影響範囲 | 他部門、他拠点、子会社、他プロセスにも同様の問題がないか |
| 不備判定 | 統制不備として扱う必要があるか |
| 補完統制 | 他の統制でリスクが低減されているか |
| 是正方針 | 当期対応と翌期改善を分けて整理しているか |
| 社内承認 | 経理責任者、内部監査責任者、IT責任者、経営層が把握しているか |
| 監査役等報告 | 重要な論点として報告すべきか |
| 協議記録 | 監査法人とのやり取りを記録しているか |
特に、監査法人への回答は、担当者だけで完結させないほうがよい場合があります。
評価範囲、不備判定、開示への影響、IT統制、子会社管理、経営者による内部統制の無効化リスクに関係する指摘については、経理部門だけでなく、内部監査、IT、現場部門、監査役等、必要に応じて経営層も含めて整理すべきです。
やってはいけないJ-SOX指摘対応
監査法人指摘を受けたとき、次のような対応は避けるべきです。
| 避けるべき対応 | なぜ問題か |
|---|---|
| とりあえず回答文だけ作る | 根本原因が残り、翌期も同じ指摘が出る |
| 「前年も同じだった」と説明する | 現行基準や事業変化に照らした説明にならない |
| 証跡を後から整えたように見せる | 実施事実と異なる説明につながるおそれがある |
| 監査法人の指摘を現場に丸投げする | 財務報告リスクとの関係が整理されない |
| IT統制をIT部門だけで判断する | 会計・業務・システムの接続が見えない |
| 子会社の問題として切り離す | 連結・親会社統制への影響を見落とす |
| 不備判定を感覚で決める | 金額的重要性・質的重要性・補完統制の検討が不足する |
| 経営層・監査役等への報告を後回しにする | ガバナンス上の説明責任が弱くなる |
| すべてを過剰対応する | 現場負荷が高まり、統制が形骸化する |
J-SOX対応では、過小対応も過剰対応も問題です。
統制不足を放置すれば、財務報告の信頼性に影響します。その一方で、すべての指摘に対して過剰な統制を追加すれば、現場が回らなくなり、結果として運用されない統制が増えていきます。
大切なのは、リスクに対して必要十分な統制を設計することです。
指摘が不備に発展するかを見極める視点
監査法人からの指摘が、すべて内部統制上の不備になるわけではありません。
しかし、不備に発展し得る指摘を軽く扱ってしまうと、後になって対応が難しくなります。見極めのためには、次の視点を持っておく必要があります。
| 視点 | 確認すべきこと |
|---|---|
| 財務報告リスク | 重要な虚偽表示につながる可能性があるか |
| 統制目的 | どのリスクを防止・発見する統制か |
| 統制の不存在 | そもそも統制が設計されていないのか |
| 運用の逸脱 | 統制はあるが、実施されていなかったのか |
| 証跡不足 | 実施されたが、証跡で説明できないのか |
| 母集団への広がり | 1件だけか、同様の事象が広がる可能性があるか |
| 補完統制 | 他の統制でリスクが軽減されているか |
| 期末までの是正可能性 | 是正後の運用実績を確認できるか |
| 開示影響 | 内部統制報告書や訂正に関係する可能性があるか |
会計不正の実務では、取引を熟知した者が内部統制の欠陥を突くことがあります。また、長期間同じ業務を担当し、モニタリングが弱い状態のまま不正が継続するケースもあります。兆候や端緒だけでなく、不正が起こり得る構造を理解しておくことが重要です。
不備判定においても、単に「金額が小さいから問題ない」とは言い切れません。経営者関与、関連当事者、見積り、開示、子会社管理、IT権限といった領域では、質的重要性が問題になることがあります。
監査法人との協議は「言われたことに答える場」ではない
J-SOX対応における監査法人との協議は、監査法人に結論を決めてもらう場ではありません。
評価範囲の決定や内部統制の整備・運用は、経営者の責任です。監査人は独立性を確保しながら、評価範囲や内部統制評価に関する協議を行います。改訂基準においても、評価範囲の決定は経営者が行うものである一方、監査人による指導的機能の発揮の一環として、評価計画段階や状況変化時に必要に応じて協議を行うことが適切であるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
したがって、監査法人との協議に臨む際には、会社側として次のような整理が必要になります。
| 協議前に整理すべきこと | 内容 |
|---|---|
| 会社側の判断案 | 会社としてどう評価し、どう対応したいか |
| 判断根拠 | 基準、リスク、重要性、証跡、補完統制 |
| 未確定事項 | どの情報が不足しているか |
| 影響範囲 | 財務報告、内部統制報告、監査スケジュールへの影響 |
| 代替案 | 複数の対応方法がある場合の比較 |
| 是正方針 | 当期対応と翌期改善の切り分け |
| 協議記録 | 合意事項、未合意事項、次回確認事項 |
監査法人との協議では、「監査法人が何を求めているか」だけでなく、「会社としてどう考えたか」が問われます。
会社側の判断過程が整理されていなければ、監査法人もその妥当性を検討することができません。
指摘対応で経営層・監査役等に報告すべき論点
すべてのJ-SOX指摘を、経営層や監査役等に詳細まで報告する必要はありません。
しかし、次のような論点については、経営層・監査役等への報告を検討すべきです。
| 報告を検討すべき論点 | 理由 |
|---|---|
| 開示すべき重要な不備に発展し得る論点 | 内部統制報告書に影響する可能性がある |
| 評価範囲の見直しが必要な論点 | 経営者評価の前提が変わる |
| 決算・開示スケジュールに影響する論点 | 適時・適切な開示体制に関係する |
| 子会社・海外拠点に関する重要論点 | グループ管理責任に関係する |
| IT統制の重要な不備 | 広範な業務プロセスに影響し得る |
| 経営者関与・上位者関与の可能性 | 統制環境やガバナンスに関係する |
| 不正リスクに関係する論点 | 財務報告の信頼性に重大な影響を及ぼし得る |
| 同じ指摘が毎年繰り返されている論点 | 是正管理や内部監査体制の問題を示す |
監査役等は、会計監査人や内部監査人との連携、内部統制システムの理解、必要な監査手続の実施を通じて、監査報告に必要な裏付けを得る立場にあります。J-SOX指摘のうち重要なものは、監査法人対応だけで閉じるのではなく、ガバナンス上の報告事項として整理する必要があります。
監査法人指摘から改善ロードマップへつなげる
監査法人指摘への対応は、当期の回答で終わらせるべきものではありません。
指摘が生じたということは、評価範囲、文書化、統制設計、証跡、評価体制、IT、子会社管理、決算・開示体制のどこかに改善余地があるということです。
改善ロードマップに落とし込む際には、次のように整理します。
| 改善項目 | 短期対応 | 中期対応 |
|---|---|---|
| 評価範囲 | 監査法人への判断根拠説明 | 評価範囲決定プロセスの標準化 |
| 3点セット | 指摘箇所の更新 | 業務変更時の更新ルール整備 |
| 証跡 | 不足資料の確認、代替説明 | 証跡様式・電子承認ルールの見直し |
| IT統制 | アクセス権限・変更管理資料の整理 | IT統制評価体制の整備 |
| 不備判定 | 当期影響の整理 | 不備判定会議・基準の整備 |
| 子会社管理 | 重要子会社の資料確認 | グループ統制・教育・内部監査計画 |
| 内部監査 | 評価調書の補正 | 評価者教育・レビュー体制強化 |
| 決算・開示 | 開示基礎資料の補足 | 決算プロセス標準化・早期化 |
このとき重要なのは、すべてを一度に直そうとしないことです。
財務報告への影響、監査法人の懸念、是正期限、運用負荷、人的リソース、経営上の重要性を踏まえて、優先順位を付けていく必要があります。
専門家に相談すべきJ-SOX指摘
監査法人指摘の中には、社内で整理できるものもあります。
その一方で、次のような指摘については、外部専門家を交えて整理したほうがよい場合があります。
| 指摘の内容 | 専門家関与が有効な理由 |
|---|---|
| 評価範囲の妥当性に関する指摘 | 制度趣旨、監査目線、重要性判断を踏まえた整理が必要 |
| 不備判定に関する指摘 | 金額的重要性・質的重要性・補完統制の判断が必要 |
| 開示すべき重要な不備に発展し得る論点 | 内部統制報告書、監査役等報告、開示対応への影響が大きい |
| IT統制の範囲や証跡に関する指摘 | 会計・業務・ITを横断した整理が必要 |
| 子会社・海外拠点に関する指摘 | 親会社統制、連結、現地実務を踏まえた判断が必要 |
| 決算・開示プロセスの指摘 | J-SOXだけでなく決算早期化・開示品質に関係する |
| 同じ指摘が繰り返されている | 根本原因分析と改善ロードマップが必要 |
| 社内で監査法人との協議が噛み合わない | 会社側の判断資料・説明資料を整理する必要がある |
専門家に相談する価値は、監査法人への回答文を作ることだけにあるのではありません。
指摘の意味を整理し、影響範囲を見極め、会社としての判断案を作り、監査法人・経営層・内部監査・現場に説明できる形に整えること。そこにこそ意味があります。
監査法人指摘は、会社の説明力を高める機会である
監査法人からJ-SOX指摘を受けると、どうしても「早くクローズしたい」という気持ちが先に立ちます。
しかし、J-SOX対応の本質は、指摘を消すことではありません。
会社が、自らの評価範囲、業務フロー、統制活動、証跡、評価結果、不備判定、是正方針を説明できる状態にすることです。
監査法人指摘は、その説明力が不足している箇所を示している場合があります。資料が不足しているのか。統制が設計されていないのか。運用が徹底されていないのか。評価範囲が見直されていないのか。経営層や監査役等への報告が弱いのか。子会社やITの実態が見えていないのか。
それを丁寧に分解していけば、J-SOX対応は単なる監査対応ではなくなります。決算・開示体制、業務標準化、証跡管理、内部監査、子会社管理、経営管理体制を整える機会になっていきます。
監査法人からのJ-SOX指摘対応にお悩みの方へ
監査法人からJ-SOXに関する指摘を受けたとき、重要なのは、指摘に対してその場限りの回答を作ることではありません。
評価範囲、不備判定、証跡不足、IT統制、子会社管理、決算・開示プロセス、内部監査体制への影響を整理し、会社として説明できる対応方針を作ることです。
犬飼公認会計士・税理士事務所では、J-SOX指摘を単なる文書修正やチェックリスト対応としてではなく、制度趣旨、監査法人目線、実務運用、経営管理体制を踏まえた課題整理として扱っています。
監査法人からのコメントの意味が整理できない、指摘への回答方針に迷っている、不備判定や評価範囲の見直しが必要か判断したい、翌期以降も同じ指摘を繰り返したくない。このような場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。
この記事の振り返り
| 重要事項 | 振り返り |
|---|---|
| 最初に行うこと | 回答文作成ではなく、指摘の論点・影響・根拠・期限・責任者を分解する |
| 指摘の種類 | 確認依頼、資料依頼、文書化不備、統制設計不備、運用不備、不備判定、開示影響に分ける |
| 評価範囲 | 前年踏襲や数値基準の機械的適用ではなく、財務報告への影響とリスクで説明する |
| 3点セット | 体裁修正ではなく、業務実態・リスク・統制・証跡・評価手続の整合性を見る |
| 証跡不足 | 後から作るのではなく、実施事実、代替資料、今後の改善を区別して整理する |
| 不備判定 | 金額的重要性、質的重要性、補完統制、影響範囲、是正可能性を確認する |
| IT統制 | 経理・IT・内部監査・現場の責任分界を明確にし、財務報告リスクと接続する |
| 子会社管理 | 子会社側の問題で終わらせず、親会社として説明できる体制を確認する |
| 監査法人協議 | 監査法人に結論を求めるのではなく、会社側の判断案と根拠を持って協議する |
| 経営層・監査役等報告 | 重要な不備、評価範囲、決算・開示、IT、子会社、不正リスクに関する指摘は報告要否を検討する |
| 改善ロードマップ | 短期対応と根本対応を分け、翌期以降の手戻りを減らす |
| 専門家活用 | 回答文作成ではなく、論点整理、影響評価、優先順位づけ、改善設計に価値がある |
