会社法内部統制・内部監査・会計監査との違い｜J-SOXとの役割整理

J-SOX対応を進めていると、社内で次のような声が上がることがあります。

「会社法の内部統制はもう決議しているのだから、J-SOXも問題ないのではないか」
「内部監査部門が見ているのだから、監査法人対応も大丈夫だろう」
「会計監査を受けているのだから、内部統制も監査法人が確認してくれているはずだ」
「監査役等、内部監査、監査法人がそれぞれ見ているのだから、どこかでカバーされているだろう」

一見するともっともらしく聞こえます。ただ、ここにはひとつ、見過ごせない混同があります。

会社法内部統制、J-SOX、内部監査、監査役等監査、会計監査は、いずれも「内部統制」「監査」「ガバナンス」に関わるものです。しかし、その目的も、対象も、責任主体も、成果物も、判断基準も、それぞれ異なります。

この違いを整理しないままJ-SOX対応を進めてしまうと、誰が何を評価するのか、どの資料をどこまで整えるのか、監査法人や監査役等に何を説明すべきなのかが、次第に曖昧になっていきます。

その結果、J-SOX対応が経理部門や内部監査部門の作業に閉じてしまい、経営層・現場部門・IT部門・子会社に十分に浸透しないまま進みます。評価範囲、証跡、不備判定、監査法人対応の各場面で、手戻りが生じることになります。

本記事では、会社法内部統制、金融商品取引法上の内部統制報告制度、内部監査、監査役等監査、会計監査の違いを整理します。会社法実務や監査手続の細かな技術論に立ち入るのではなく、J-SOX対応を進める会社が、関係者の役割と説明責任を整理するための実務的な視点に絞ってお伝えします。

まず全体像｜似ているが、見ている対象も責任も違う

はじめに、各制度・機能の違いを大きく整理してみます。

区分	主な目的	主な対象	主な責任主体	主な成果物・説明資料
会社法内部統制	会社・企業集団の業務の適正を確保する体制を整える	法令遵守、リスク管理、職務執行の効率性、情報保存、グループ管理、監査環境など	取締役・取締役会、執行側、監査役等	内部統制システム基本方針、取締役会議事録、事業報告、監査報告、規程・会議体・報告体制
J-SOX	財務報告に係る内部統制を経営者が評価し、監査を受ける	財務報告に重要な影響を与える全社統制、決算・開示、業務プロセス、IT統制など	経営者、評価実施部門、監査法人	内部統制報告書、評価範囲資料、3点セット、RCM、評価調書、不備管理資料、内部統制監査報告書
内部監査	組織内から、ガバナンス・リスク管理・統制の有効性を評価・改善支援する	業務、コンプライアンス、リスク管理、内部統制、J-SOX評価など	内部監査部門、内部監査責任者	内部監査計画、監査調書、内部監査報告書、改善提案、フォローアップ資料
監査役等監査	取締役の職務執行を監査し、会社の監督機能を果たす	業務執行、内部統制システム、会計監査人の監査の相当性、取締役会運営など	監査役、監査等委員、監査委員	監査計画、監査調書、監査報告、取締役会・監査役会等での報告
会計監査	財務諸表が重要な点で適正に表示されているかについて監査意見を表明する	財務諸表、注記、内部統制の理解、重要な虚偽表示リスク、監査証拠	公認会計士・監査法人	監査報告書、監査計画、監査調書、監査法人からの指摘・コミュニケーション

この表でとりわけ押さえていただきたいのは、J-SOXが「内部統制全般」を対象とする制度ではないという点です。J-SOXは、金融商品取引法上の財務報告に係る内部統制を中心に扱う制度です。これに対して会社法内部統制は、財務報告に限らず、会社および企業集団の業務の適正を確保する体制を広く扱います。

また、内部監査はあくまで社内の機能であり、監査法人による外部監査とは異なります。監査役等監査は会社法上の監督機能であって、内部監査部門とも監査法人とも、その目的が違います。

こうした違いを押さえておかないと、J-SOX対応において「誰が責任を持つのか」が、どうしても曖昧になってしまいます。

会社法内部統制とは何か｜会社全体の業務の適正を確保する体制

会社法上の内部統制は、一般に「内部統制システム」と呼ばれます。

会社法では、取締役会設置会社における重要な業務執行の決定事項のひとつとして、取締役の職務執行が法令および定款に適合することを確保するための体制、そして会社および企業集団の業務の適正を確保するために必要な体制が掲げられています。大会社である取締役会設置会社では、この体制整備に関する決定が義務づけられています。
出典：e-Gov法令検索｜会社法

さらに会社法施行規則では、取締役の職務執行に係る情報の保存・管理、損失危険の管理、取締役の職務執行の効率性、使用人の法令・定款適合性、企業集団における業務の適正、監査役等への報告体制など、内部統制システムとして整備すべき事項が具体化されています。
出典：e-Gov法令検索｜会社法施行規則

実務の観点から見ると、会社法内部統制は次のような領域を含みます。

領域	会社法内部統制で問われること
コンプライアンス	取締役・使用人の職務執行が法令・定款に適合する仕組みがあるか
リスク管理	重要な損失リスクを把握し、報告・対応する体制があるか
情報保存	取締役の職務執行に関する情報を保存・管理する体制があるか
業務効率	取締役の職務執行が効率的に行われる体制があるか
グループ管理	親会社・子会社を含む企業集団として業務の適正を確保できるか
監査環境	監査役等が必要な情報を入手し、監査できる体制があるか

ここで気をつけたいのは、会社法内部統制は「取締役会で基本方針を決議して終わり」ではない、ということです。

取締役会で内部統制システム基本方針を決議していても、現場で規程が運用されていない、重要なリスク情報が経営層に上がってこない、子会社の決算や法令遵守の状況が見えていない、監査役等への報告が形式的にとどまっている。こうした状態であれば、実効性のある体制とは言いにくい場面が出てきます。

実務の現場でも、会社経営の根幹に関わるリスク管理体制については、取締役会が大綱を決定し、代表取締役や業務担当取締役が具体的な体制を構築し、他の取締役がその履行状況を監視する、という考え方が重要になります。内部統制システムの構築義務が、取締役の善管注意義務・忠実義務と結びつく局面があること。これもまた、会社法内部統制を単なる規程整備で終わらせてはいけない理由のひとつです。

J-SOXとは何が違うのか｜対象は「財務報告に係る内部統制」が中心

J-SOXは、金融商品取引法に基づく内部統制報告制度です。

金融商品取引法第24条の4の4は、一定の有価証券報告書提出会社に対して、財務計算に関する書類その他の情報の適正性を確保するために必要な体制について、内部統制報告書の提出を求めています。
出典：e-Gov法令検索｜金融商品取引法

J-SOXの中心にあるのは、財務報告の信頼性です。

2023年4月に公表された内部統制基準・実施基準の改訂意見書では、内部統制の目的のひとつが、従来の「財務報告の信頼性」から、非財務情報や内部報告を含む「報告の信頼性」へと広がりました。その一方で、金融商品取引法上の内部統制報告制度については、あくまで財務報告の信頼性の確保を目的とするものであることが、あらためて強調されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

またこの2023年改訂では、不正リスク、情報と伝達、ITへの対応、経営者による内部統制の無効化、監査役等・内部監査人・監査人との連携、そして内部統制とガバナンス・全組織的リスク管理の一体的な整備なども重視されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

会社法内部統制とJ-SOXの違いを整理すると、次のようになります。

比較項目	会社法内部統制	J-SOX
根拠法令	会社法・会社法施行規則	金融商品取引法・内部統制基準・実施基準
主な目的	会社・企業集団の業務の適正確保	財務報告の信頼性確保
対象範囲	法令遵守、リスク管理、効率性、情報保存、グループ管理、監査環境など幅広い	財務報告に重要な影響を与える全社統制、決算・財務報告プロセス、業務プロセス、IT統制
責任主体	取締役・取締役会、執行側、監査役等	経営者、評価担当部門、監査法人
成果物	内部統制システム基本方針、事業報告、監査報告、規程・会議体資料	内部統制報告書、評価範囲資料、3点セット、RCM、評価調書、内部統制監査報告書
評価の性質	継続的な体制整備・監督の観点	年度ごとの経営者評価と監査人監査の観点
典型的なリスク	法令違反、重大損失、情報管理不備、子会社管理不備、取締役の監督不全	重要な虚偽表示、決算誤謬、開示誤り、不正会計、IT統制不備

会社法内部統制は、J-SOXよりも広い会社統治の土台にあたります。J-SOXは、その広い内部統制のうち、財務報告に係る部分を、評価・報告・監査の枠組みに落とし込む制度だと考えると分かりやすいでしょう。

したがって、会社法内部統制が整っていればJ-SOXが不要になるわけではありません。逆に、J-SOX対応をしていれば会社法内部統制の論点がすべて満たされる、というわけでもないのです。

会社法内部統制とJ-SOXは、分断せず接続して考える

会社法内部統制とJ-SOXは、制度としては別のものです。それでも実務では、両者を接続して考える必要があります。

たとえばJ-SOXで決算・開示プロセスの統制を評価するとき、その前提には、会社法上の内部統制システムに含まれる情報保存、リスク管理、グループ管理、監査役等への報告体制が関係してきます。

J-SOX上の論点	会社法内部統制との接点
評価範囲の判断	グループ管理、リスク管理、重要な事業拠点の把握
決算・開示統制	情報保存、決算承認、取締役会・経営会議への報告
業務プロセス統制	職務分掌、権限規程、法令遵守、業務効率
IT統制	情報管理、システムリスク管理、外部委託管理
子会社統制	企業集団としての業務の適正確保
不備報告	監査役等・取締役会への報告体制
経営者による統制無効化	取締役会・監査役等による監督、不正リスク対応

J-SOXは財務報告に係る制度です。しかしその財務報告は、会社の業務、IT、子会社、権限、証跡、監督体制といった土台の上に成り立っています。会社法内部統制が弱い会社では、J-SOX対応もどこかで安定しません。

取締役会で内部統制システム基本方針を決議していても、子会社からの重要情報が親会社に上がってこない、重要な会計上の見積りが経営会議で議論されない、内部監査結果が監査役等に共有されない、IT変更が経理部門に伝わっていない。こうした状態では、J-SOX上も説明に苦しむことになります。

J-SOX対応を進める会社は、会社法内部統制を「別制度」として横に置くのではなく、J-SOXの前提となる統制環境・監督体制として位置づけていく必要があります。

内部監査とは何か｜社内から統制・リスク・業務を評価する機能

内部監査は、社内の独立的・客観的な立場から、組織のガバナンス、リスク・マネジメント、コントロールの各プロセスを評価し、その改善を支援する機能です。

内部監査人協会（IIA）の「グローバル内部監査基準」は、内部監査の主な機能を、ガバナンス、リスク・マネジメントおよびコントロールの各プロセスを強化することと位置づけています。そして内部監査が、事業運営の効率性、報告の信頼性、法令・規制の遵守、資産の保全、倫理的文化についてアシュアランスを提供することを通じて、組織体の安定性と持続可能性に貢献すると説明しています。
出典：The Institute of Internal Auditors｜グローバル内部監査基準

なお、2024年に公表されたグローバル内部監査基準は、2025年1月9日から適用されています。
出典：日本内部監査協会｜IIA国際フレームワーク

内部監査は、J-SOX対応においても非常に重要な役割を担います。多くの会社では、内部監査部門がJ-SOX評価の実施主体、あるいはレビュー主体になっています。

ただし、内部監査はJ-SOXだけのために存在する機能ではありません。

内部監査の領域	内容
業務監査	業務が規程・方針・効率性の観点から適切に行われているか
コンプライアンス監査	法令・社内規程・契約・業界ルールに違反していないか
J-SOX評価	財務報告に係る内部統制の整備・運用状況を評価する
IT監査	情報システム、アクセス権限、変更管理、セキュリティ等を確認する
子会社監査	子会社の業務、決算、統制、規程運用を確認する
不正リスク対応	不正リスク、内部通報、例外処理、モニタリング状況を確認する
改善フォロー	指摘事項の原因、是正策、期限、再発防止を追跡する

内部監査部門は、J-SOX評価作業の担い手になることがあります。ただし、評価対象となる統制を自ら設計・運用してしまうと、評価者としての客観性が損なわれてしまう場合があります。

そこでJ-SOX対応では、内部監査部門の役割を次のように整理しておく必要があります。

論点	実務上の整理
統制設計	業務部門・経理部門・J-SOX事務局が主体となり、内部監査は助言にとどめるか、関与範囲を明確にする
統制運用	現場部門・経理部門・IT部門などが実施主体となる
整備評価・運用評価	内部監査部門が評価者となる場合、独立性・客観性・調書品質を確保する
不備フォロー	内部監査部門が改善状況を追跡し、経営層・監査役等に報告する
監査法人対応	評価結果、証跡、不備判断の説明に関与するが、監査法人の判断を代替するものではない

内部監査は、J-SOX対応を会社に定着させるうえで重要な機能です。とはいえ、内部監査にJ-SOXを丸投げしてしまえば、内部統制は機能しません。統制を運用するのはあくまで現場であり、責任を持つのは経営者です。

監査役等監査とは何か｜取締役の職務執行を監査する会社法上の機能

監査役、監査等委員、監査委員は、会社法上の監督機能を担う立場です。

監査役等監査は、内部監査とも会計監査とも異なります。監査役等は、取締役の職務執行を監査し、必要に応じて取締役会への出席、業務・財産状況の調査、子会社への報告要求、会計監査人との連携などを行います。

実務上、監査役または監査役会の監査は、業務監査と会計監査から構成されます。業務監査では、取締役会への出席や業務執行状況の調査を通じて、取締役の職務執行の適法性や妥当性を確認します。会計監査では計算書類を調査し、会計監査人がいる場合には、その監査結果の報告を受けて、相当性を判断していきます。

監査役等監査の実務では、最終的に監査報告にサインするための裏付けを取ることが重要になります。そのためには、会計監査、業務監査、内部統制システムの理解、意思疎通、ヒアリング、子会社・関連会社の監査手続、監査調書、監査計画といった一連の裏づけが必要になります。

監査役等の役割を、J-SOXとの関係で整理すると次のとおりです。

監査役等の視点	J-SOXとの接点
経営者評価の状況	J-SOX評価計画、評価範囲、評価結果、不備の内容を把握する
内部監査の機能	内部監査部門の独立性、能力、評価品質、フォロー状況を確認する
監査法人との連携	会計監査・内部統制監査の計画、重要論点、指摘事項を把握する
不備・不正リスク	開示すべき重要な不備、経営者による内部統制無効化、不正兆候を確認する
取締役会報告	重要な内部統制上の課題が取締役会で適切に共有されているかを確認する
子会社管理	子会社の決算・業務・IT・証跡の状況を親会社が把握しているかを確認する

監査役等は、J-SOX評価を自ら実施する主体ではありません。しかし、J-SOX対応が会社の財務報告、開示、監査法人対応、内部統制システムに大きく関わる以上、監査役等がその状況を把握し、必要に応じて経営層や内部監査部門、監査法人と連携していくことは重要です。

とりわけ、2023年改訂の内部統制基準・実施基準では、監査役等について、内部監査人や監査人等との連携、そして能動的に情報を入手することの重要性が示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

会計監査とは何か｜財務諸表に対する外部監査

会計監査は、会社が作成した財務諸表が、一般に公正妥当と認められる企業会計の基準に準拠し、企業の財政状態、経営成績およびキャッシュ・フローの状況を、すべての重要な点において適正に表示しているかどうかについて、監査人が意見を表明するものです。

金融庁の監査基準は、財務諸表監査の目的を、経営者が作成した財務諸表について、監査人が自ら入手した監査証拠に基づいて判断した結果を意見として表明することにあると定めています。そして、適正表示の監査意見には、財務諸表全体として重要な虚偽表示がないことについて合理的な保証を得たという、監査人の判断が含まれます。
出典：金融庁｜監査基準

ここで重要になるのが、二重責任の原則です。

財務諸表を作成する責任は、経営者にあります。監査人の責任は、経営者が作成した財務諸表について、監査証拠に基づき監査意見を表明することにあります。監査人は、会社の財務諸表を作成する人ではありません。

財務諸表監査といっても、監査人が全取引を一つひとつ検証するわけではありません。監査人は、企業および企業環境、内部統制を理解したうえで、重要な虚偽表示リスクを評価し、そのリスクに応じた監査手続を実施します。監査基準でも、監査人は内部統制を含む企業および企業環境を理解し、事業上のリスク等が財務諸表に重要な虚偽表示をもたらす可能性を考慮しなければならない、とされています。
出典：金融庁｜監査基準

実務においても、財務諸表監査では、監査人が自ら入手した監査証拠をもとに、財務諸表全体がすべての重要な点において適正に表示されているかを判断し、意見を表明します。財務諸表を作成する責任は経営者にあり、監査人は適正表示に関する意見を表明する。この責任の区別が、何より重要になります。

会計監査とJ-SOX内部統制監査は同じではない

会計監査とJ-SOX内部統制監査は、同じ監査法人が実施することが多く、実務上は密接に関連します。それでも、両者の目的は異なります。

区分	会計監査	J-SOX内部統制監査
目的	財務諸表が重要な点で適正に表示されているかについて意見を表明する	経営者による財務報告に係る内部統制の評価結果について意見を表明する
対象	財務諸表、注記、監査証拠、重要な虚偽表示リスク	財務報告に係る内部統制の整備・運用状況、経営者評価
主な成果物	監査報告書	内部統制監査報告書
会社側の主な資料	決算資料、開示資料、会計判断資料、監査対応資料	評価範囲資料、3点セット、RCM、評価調書、不備管理資料
関係性	内部統制の理解や評価は監査計画・監査手続に影響する	財務諸表監査で得た監査証拠も内部統制監査で活用される場合がある

2023年改訂の内部統制基準・実施基準では、監査人が実効的な内部統制監査を行うために、財務諸表監査の過程で入手している監査証拠を活用することや、経営者との適切な協議が重要であることも示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

このように、会計監査と内部統制監査は連動しています。

ただし、会計監査を受けているからといって、J-SOX対応が自動的に整うわけではありません。監査法人は、会社の内部統制を設計・運用する主体ではなく、経営者評価を代行する主体でもありません。会社側が、自ら評価範囲、統制設計、証跡、不備、是正状況を説明できることが求められます。

「内部監査」と「内部統制監査」を混同してはいけない

J-SOX対応でとりわけ混同されやすいのが、「内部監査」と「内部統制監査」です。

名前はよく似ています。しかし、まったく別のものです。

区分	内部監査	内部統制監査
実施者	社内の内部監査部門、または外部専門家を活用した内部評価機能	公認会計士・監査法人
立場	会社内部のアシュアランス・改善支援機能	外部監査人
対象	業務、リスク、コンプライアンス、J-SOX評価、IT、子会社など幅広い	経営者による財務報告に係る内部統制評価
成果物	内部監査報告書、評価調書、改善フォロー資料	内部統制監査報告書
目的	組織の改善、統制の有効性確認、リスク低減	経営者評価の妥当性に関する監査意見

内部監査部門は、J-SOX評価の実施主体として、整備評価・運用評価を行うことがあります。一方の内部統制監査は、監査法人が経営者による内部統制評価を監査するものです。

この違いを取り違えると、次のような問題が起こります。

誤解	実務上の問題
内部監査部門が見ているから監査法人対応は不要	監査法人が求める証跡、評価範囲、不備判断の水準とずれる
監査法人が内部統制監査をするから内部監査は不要	経営者評価の実施主体が不明確になり、会社側の評価が弱くなる
内部監査部門が統制を作ればよい	評価者が設計者・運用者になることで客観性が弱くなる
J-SOX評価調書があれば内部監査報告は不要	経営層・監査役等へのリスク報告や改善フォローが不足する

J-SOX対応では、内部監査部門と監査法人の役割を、はっきりと分けておくことが重要です。

三様監査との関係｜内部監査・監査役等監査・会計監査は何が違うか

内部監査、監査役等監査、会計監査は、いわゆる三様監査として整理されます。

実務の現場でも、内部監査、監査役監査、会計監査人監査を三様監査と呼びます。それぞれの位置づけを整理すると、社内および関係会社の業務の準拠性・有効性・効率性を確認するのが内部監査、取締役の職務執行の適法性を監査するのが監査役監査、会計監査・内部統制監査を担うのが会計監査人監査、ということになります。

三様監査の違いを、J-SOX対応の観点から整理すると次のとおりです。

区分	内部監査	監査役等監査	会計監査
位置づけ	社内の独立的評価機能	会社法上の監督機関	外部の独立監査人
主な関心	業務・リスク・内部統制の有効性、改善	取締役の職務執行、内部統制システム、会計監査人の相当性	財務諸表の適正表示、重要な虚偽表示リスク
J-SOXとの関係	評価実施、調書作成、不備フォローを担うことが多い	J-SOX評価状況、不備、監査法人指摘を把握し、監督する	内部統制監査を実施し、財務諸表監査とも連動する
主な報告先	経営者、取締役会、監査役等	株主、取締役会、監査役会等	株主・投資家等に向けた監査報告書
会社側に必要な対応	評価体制、独立性、調書品質、改善管理	報告資料、重要論点の共有、監査役等との対話	監査証拠、会計判断資料、内部統制資料、協議記録

三様監査は、同じことを三重に行う仕組みではありません。それぞれの立場が異なるからこそ、情報共有と役割分担が大切になります。

たとえば、監査役等と会計監査人の連携では、監査計画の共有、監査の実施状況、会計監査上の検討事項、内部統制上の開示すべき重要な不備または重要な不備の内容、そして改善状況などが、重要な連携項目になってきます。

J-SOX対応では、内部監査部門が評価し、監査役等が監督し、監査法人が監査する。この関係を、あらためて整理しておく必要があります。

制度間の混同がJ-SOX対応に与える悪影響

制度間の役割整理ができていない会社では、J-SOX対応の各場面で次のような問題が起こりやすくなります。

混同	起こりやすい問題
会社法内部統制とJ-SOXを同一視する	財務報告リスクに対する評価範囲・3点セット・RCM・評価調書が不足する
内部監査と内部統制監査を同一視する	会社側の評価責任と監査法人の監査責任が曖昧になる
監査役等監査と内部監査を同一視する	監督機能と評価実施機能が混ざり、報告ラインが不明確になる
会計監査とJ-SOXを同一視する	決算監査で指摘されてからJ-SOX不備を後追いで整理することになる
監査法人に判断を委ねすぎる	経営者評価としての判断根拠が弱くなる
内部監査部門に丸投げする	現場部門・IT部門・子会社が統制責任を自覚しない

とりわけ問題になりやすいのは、J-SOX対応を「監査法人に提出する資料作成」と捉えてしまうことです。

J-SOXは、経営者が財務報告に係る内部統制を評価し、内部統制報告書を提出する制度です。監査法人は、その経営者評価を監査します。したがって会社側には、評価範囲、統制設計、証跡、不備判定、是正状況を自ら説明する責任があります。

監査法人に「どうすればよいか」を確認すること自体は重要です。ただ、会社としての判断そのものを監査法人に丸投げすることはできません。

J-SOX対応で整理すべき責任分担

J-SOX対応を実務に落とし込んでいくには、関係者の責任分担を明確にする必要があります。

関係者	主な役割	J-SOX上の注意点
経営者	内部統制の整備・運用、評価、内部統制報告書の責任	評価範囲・不備判定・是正方針を会社として説明できる必要がある
経理部門	決算・財務報告・開示に係る統制の整備・運用	決算資料、開示基礎資料、会計判断、レビュー証跡を整える
現場部門	販売、購買、在庫、固定資産、人件費、資金等の統制運用	取引の発生から会計記録までの証跡を残す
IT部門	アクセス権限、変更管理、運用管理、データ連携	IT統制を会計・業務プロセスと接続して説明する
子会社	子会社決算、業務統制、証跡、親会社報告	親会社が連結財務報告を説明できる水準に整える
J-SOX事務局	評価範囲、文書化、評価計画、不備管理、関係者調整	制度対応と実務運用の橋渡しをする
内部監査部門	整備評価・運用評価、調書作成、改善フォロー	評価者としての独立性・客観性・能力・調書品質を確保する
監査役等	経営者評価、不備、監査法人指摘、内部監査結果を把握	能動的な情報入手と監査法人・内部監査との連携が重要
監査法人	財務諸表監査・内部統制監査	会社側の経営者評価を監査する立場であり、会社の統制構築責任を代替しない
外部専門家	論点整理、制度対応支援、文書化支援、評価支援、改善設計	作業代行ではなく、責任分担と判断根拠を明確にする支援が重要

J-SOX対応で最も避けたいのは、「誰かが見ているはず」という状態です。

内部監査が評価しているのか、経理が証跡を整えているのか、IT部門が権限管理をしているのか、監査役等が報告を受けているのか、監査法人と協議したのか。これらを曖昧にしたままでは、統制はやはり機能しません。

実務でよくある誤解と整理のしかた

誤解1｜会社法内部統制の基本方針があるので、J-SOX対応もできている

会社法内部統制システム基本方針は、たしかに重要です。しかし、それだけでJ-SOX対応ができているとは言えません。

J-SOXでは、財務報告に重要な影響を与えるリスクに対して、どの業務プロセスを評価範囲に含めるのか、どの統制をキーコントロールとするのか、誰が、どの頻度で、どの証跡を残し、整備・運用をどう評価したのか。これらを説明する必要があります。

会社法内部統制は土台です。J-SOXでは、その土台を財務報告リスクに引き寄せて、評価資料に落とし込んでいくことになります。

誤解2｜内部監査部門がJ-SOXを担当しているので、経営者や現場は関与しなくてよい

内部監査部門が評価を担当することはあります。しかし、統制を整備・運用するのは、現場部門、経理部門、IT部門、子会社です。

内部監査部門が評価する統制について、現場が「なぜその統制が必要なのか」を理解していなければ、運用はやがて形骸化していきます。

J-SOX対応では、内部監査部門だけでなく、統制実施者、承認者、レビュー者、J-SOX事務局、そして経営者が、それぞれの役割を理解しておく必要があります。

誤解3｜監査法人が毎年見ているので、大きな問題はない

監査法人は、会社の財務諸表監査および内部統制監査を行う立場です。会社の統制を設計・運用する責任は負っていません。

監査法人から大きな指摘がない場合でも、評価範囲が前年踏襲のままになっている、3点セットが実態とずれている、証跡が担当者依存になっている、IT変更が反映されていない。こうした問題が、社内に残っていることは少なくありません。

とくに、事業変化、M&A、子会社化、新システム導入、組織変更、非定型取引があった場合には、会社側から評価範囲や統制設計を見直していく必要があります。

誤解4｜監査役等に報告しているので、内部監査報告は簡単でよい

監査役等への報告は重要です。ただ、その報告内容が抽象的なままでは、実効性を持ちません。

監査役等には、評価範囲、重要な不備、監査法人指摘、IT統制、子会社管理、是正状況、経営者による内部統制無効化リスクなど、監督上重要な論点を整理して報告する必要があります。

単に「J-SOX評価は概ね問題ありません」と伝えるだけでは、監査役等が職責を果たすための情報として不足してしまう場合があります。

誤解5｜会計監査で内部統制を見ているので、J-SOX評価資料は簡略でよい

会計監査で監査人が内部統制を理解することと、J-SOX上の経営者評価資料を整備することは、別の話です。

会計監査では、監査人が監査リスクに応じて必要な内部統制を理解し、監査手続を設計します。一方でJ-SOXでは、経営者が財務報告に係る内部統制を評価し、その評価結果を内部統制報告書として提出します。

そのため、評価範囲資料、RCM、整備評価・運用評価調書、不備集計、是正状況管理など、会社側の評価プロセスを説明できる資料が必要になります。

役割整理ができている会社のJ-SOX対応は何が違うか

制度間の役割整理ができている会社では、J-SOX対応が次のように運用されていきます。

項目	役割整理ができていない会社	役割整理ができている会社
経営者の関与	評価結果だけを後で確認する	評価範囲、不備、是正方針を把握する
経理部門	監査法人対応に追われる	決算・開示統制とJ-SOX資料がつながっている
現場部門	J-SOXを経理・内部監査の作業と考える	自部門の統制目的と証跡を理解している
IT部門	依頼された資料だけ提出する	財務報告に関係するシステム範囲と統制を把握している
内部監査	評価調書を埋める	リスク、統制、不備、改善を一連で整理する
監査役等	概要報告だけ受ける	重要論点、不備、監査法人指摘、是正状況を把握する
監査法人対応	指摘を受けてから資料を作る	判断根拠と証跡を事前に整理して協議できる
改善活動	指摘対応で終わる	翌期の統制設計・文書更新・教育に反映する

J-SOX対応の品質は、資料の量ではなく、責任分担と説明可能性で決まります。

誰が統制を運用し、誰が評価し、誰が監督し、誰が外部監査を行うのか。この構造が明確であれば、J-SOX対応は単なる制度対応にとどまりません。決算・開示・業務・IT・子会社管理・経営管理をつなぐ基盤になっていきます。

関係者ごとに「何を説明できるべきか」を整理する

J-SOX対応を実務に落とし込むうえでは、関係者ごとに説明責任を整理しておくことが有効です。

関係者	説明できるべきこと
経営者	評価範囲、重要リスク、不備の影響、是正方針、内部統制報告書の根拠
経理責任者	決算・開示資料の根拠、会計判断、リードシート、レビュー証跡
現場責任者	業務フロー、承認・照合・例外処理、証跡の保存場所
IT責任者	システム範囲、アクセス権限、変更管理、ログ、外部委託先管理
子会社責任者	子会社決算、連結パッケージ、会計方針、証跡、親会社報告
内部監査責任者	評価計画、評価手続、調書品質、不備判定、改善フォロー
監査役等	重要な内部統制上の課題、監査法人指摘、内部監査結果、経営者対応
監査法人	会社の評価範囲、統制設計、証跡、不備、是正状況について会社側が説明する相手
外部専門家	会社側の判断材料、論点整理、優先順位、説明資料の設計を支援する立場

この整理を行うと、J-SOX対応で何が不足しているのかが、自然と見えてきます。

たとえば、評価調書はあるのに経営者が不備の意味を説明できないのであれば、経営層への報告設計に問題があります。3点セットはあるのに現場が統制目的を説明できないのであれば、現場教育と文書更新に問題があります。監査法人提出資料はあるのに監査役等への報告が薄いのであれば、三様監査の連携に問題がある、ということになります。

会社の成熟度に応じた現実的な整理が必要

制度上の役割を正しく整理することは重要です。ただ実務では、会社の成熟度や人的な制約も無視できません。

たとえば上場準備会社や中堅上場会社では、内部監査部門が少人数で、J-SOX評価、業務監査、子会社監査、不備フォローまでを一手に担っていることがあります。IT部門も少人数で、システム管理とヘルプデスクを兼務している場合があります。子会社では、経理担当者が一人で月次決算と親会社報告を担っていることも珍しくありません。

このような会社に、理想的な職務分掌や三様監査体制をいきなり導入しようとすると、かえって現場が回らなくなってしまいます。

大切なのは、過剰統制ではなく、説明可能な代替統制を設計することです。

制約	現実的な対応例
内部監査部門が少人数	J-SOX評価と業務監査の優先順位を明確にし、外部支援やレビュー体制を補完する
経理部門が少人数	決算リードシート、レビューコメント、承認証跡を標準化する
IT部門が少人数	財務報告に関係する重要システムから権限・変更管理を優先整備する
子会社の体制が弱い	連結パッケージ、チェックリスト、親会社レビュー、教育を先に整える
職務分掌が難しい	上位者レビュー、事後モニタリング、定期的な例外チェックで補完する
監査法人対応が後手	評価範囲、IT統制、不備論点を早期に協議する

J-SOX対応では、制度上の正しさと、運用の可能性と、その両方が必要になります。

「理想的にはこうすべき」で止めてしまうのではなく、会社の現実を踏まえたうえで、どの統制を優先し、どのリスクにどの程度対応し、どの証跡で説明するのかを決めていく。この見極めが問われます。

相談前に整理しておきたい論点

会社法内部統制、内部監査、監査役等監査、会計監査、J-SOXの関係を見直すとき、専門家に相談する前に次の論点を整理しておくと、課題の所在がはっきりしてきます。

確認項目	確認すべき内容
会社法内部統制	内部統制システム基本方針、取締役会決議、事業報告、監査役等への報告状況
J-SOX評価	評価範囲、3点セット、RCM、整備評価・運用評価調書、不備管理
内部監査	年間監査計画、J-SOX評価体制、調書品質、改善フォロー、報告ライン
監査役等監査	監査計画、監査法人・内部監査との連携、不備・監査指摘の報告状況
会計監査	監査法人からの指摘、KAM・重要論点、決算・開示資料、監査対応スケジュール
IT統制	システム範囲、アクセス権限、変更管理、電子証跡、外部委託
子会社管理	子会社決算、連結パッケージ、証跡、親会社レビュー、子会社監査
経営層報告	不備、是正状況、監査法人指摘、評価範囲変更の報告状況
手戻りの原因	毎年繰り返される指摘、証跡不足、評価範囲の未更新、文書と実態の乖離

ここで大切なのは、制度を個別に並べて確認するだけでなく、そのつながりを見ることです。

会社法内部統制の基本方針はあるのに、J-SOX評価範囲に反映されていない。内部監査が不備を把握しているのに、監査役等や取締役会への報告が弱い。監査法人からIT統制を指摘されているのに、IT部門の責任分担が整理されていない。こうした「接続不全」こそが、J-SOX対応の手戻りを生む原因になります。

まとめ｜制度の違いを理解することは、J-SOX対応の責任分担を明確にすること

会社法内部統制、J-SOX、内部監査、監査役等監査、会計監査は、それぞれ異なる目的と責任を持っています。

会社法内部統制は、会社・企業集団の業務の適正を確保するためのガバナンス体制です。J-SOXは、そのなかでも財務報告に係る内部統制を経営者が評価し、外部監査を受ける制度です。内部監査は、社内からガバナンス・リスク管理・統制を評価し、改善を支援する機能です。監査役等監査は、取締役の職務執行を監査する会社法上の監督機能です。そして会計監査は、財務諸表の適正表示について、外部監査人が意見を表明する制度です。

これらを混同してしまうと、J-SOX対応はどうしても形式的になっていきます。

反対に、それぞれの違いを理解し、責任主体、対象範囲、成果物、報告ラインを整理できれば、J-SOX対応は単なる文書化やチェックリスト対応ではなくなります。決算・開示・業務プロセス・IT・子会社管理・内部監査・監査役等・監査法人対応をつなぎ、会社が自らの数字と判断過程を説明できる状態へと近づいていきます。

犬飼公認会計士・税理士事務所では、J-SOX対応を、制度ごとの作業に分解するだけでなく、会社法内部統制、内部監査、監査役等監査、会計監査との関係を踏まえて整理します。

「監査法人対応が後手に回っている」「内部監査部門にJ-SOXが集中している」「監査役等への報告内容が整理されていない」「会社法内部統制とJ-SOXが分断されている」。こうした課題を感じているのであれば、まずは関係者の役割、評価範囲、証跡、不備報告、監査法人協議の流れを整理するところから始めるのが有効です。

J-SOX対応を、単なる制度対応ではなく、会社の説明力と管理体制を高める取り組みにしていきたい。そうお考えの場合は、現在の体制整理の段階から、ぜひご相談ください。

この記事の振り返り

項目	要点
会社法内部統制	会社・企業集団の業務の適正を確保するための体制。J-SOXより広いガバナンス領域を扱う
J-SOX	財務報告に係る内部統制を経営者が評価し、監査法人が監査する制度
内部監査	社内の独立的・客観的な立場から、ガバナンス・リスク管理・統制を評価・改善支援する機能
監査役等監査	取締役の職務執行を監査する会社法上の監督機能。内部監査や監査法人との連携が重要
会計監査	財務諸表の適正表示について、公認会計士・監査法人が監査意見を表明する外部監査
内部監査と内部統制監査の違い	内部監査は社内機能、内部統制監査は監査法人によるJ-SOX上の監査
三様監査	内部監査、監査役等監査、会計監査は目的・立場・成果物が異なるため、役割分担が必要
よくある誤解	会社法内部統制があればJ-SOXも十分、監査法人が見ているから大丈夫、内部監査に任せればよい、という理解は不十分
実務上の重要点	誰が統制を運用し、誰が評価し、誰が監督し、誰が外部監査するのかを明確にする
次に整理すべきこと	評価範囲、3点セット、RCM、内部監査計画、監査役等報告、監査法人指摘、IT統制、子会社管理の接続状況