全社的内部統制の評価は、J-SOX対応のなかでも形骸化しやすい領域です。
売上、購買、在庫、固定資産、人件費、資金、決算・開示といった業務プロセス統制は、証跡やサンプルを通じて「実施されたかどうか」を確認しやすい領域です。これに対して、全社統制はどうしても抽象度が高くなります。
その結果、実務では次のようなやり取りで評価が終わってしまうことがあります。
「規程はありますか」
「あります」
「取締役会は開催されていますか」
「開催されています」
「内部通報制度はありますか」
「あります」
「コンプライアンス研修は実施していますか」
「実施しています」
これだけで評価調書が埋まってしまうと、全社統制の本質は見えてきません。
全社統制で問われているのは、制度や文書が存在するかどうかではありません。それが実際に、会社の意思決定、リスク把握、権限運用、決算・開示、子会社管理、内部監査、是正活動に効いているかどうかです。
本稿では、J-SOXにおける全社統制の評価で見落としやすい論点を、質問票の回答にとどまらず、「誰が、どの証跡で、どこまで説明できるべきか」という観点から整理します。
全社統制は、業務プロセス統制の前提である
全社的内部統制は、個別の業務プロセス統制が有効に機能するための土台にあたります。
たとえば、販売プロセスに承認統制があったとしても、会社全体として売上目標の達成を過度に求める文化があり、例外承認が常態化していれば、販売統制は実効性を失います。
支払プロセスに承認フローがあっても、職務権限規程が古いままで、実際には役職者以外が代理承認しているのであれば、承認統制は説明しにくくなります。
決算レビューを行っていても、経営層が会計上の見積りや重要な修正仕訳に関心を持たず、経理部門だけで判断している状態であれば、決算・財務報告プロセスの信頼性は弱くなります。
金融庁の内部統制実施基準では、経営者は全社的な内部統制の整備・運用状況と、それが業務プロセスに係る内部統制へ及ぼす影響を評価し、組織内外のリスクや財務報告全体に重要な影響を及ぼす事項を検討することとされています。全社的な会計方針・財務方針、組織の構築・運用、経営レベルの意思決定プロセスなどが、その例にあたります。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
つまり、全社統制の評価は、全社統制だけで完結するものではありません。全社統制が弱ければ、業務プロセス評価の範囲、評価手続、不備判定、是正計画にまで影響が及びます。
2023年改訂後の全社統制評価では「実効性」がより問われる
金融庁は2023年4月に内部統制基準・実施基準の改訂意見書を公表し、同年8月には内部統制報告制度に関するQ&A・事例集も改訂しています。
改訂の背景には、経営者評価の範囲外で開示すべき重要な不備が明らかになる事例や、内部統制の有効性評価が訂正される際に十分な理由が開示されない事例が見受けられ、制度の実効性に懸念が示されていたという事情があります。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
この改訂では、不正リスク、経営者による内部統制無効化、IT・サイバーリスク、内部監査人や監査役等の役割、ガバナンスや全組織的リスク管理との関係も明確化されました。全社統制評価を前年踏襲の質問票で終わらせることは、制度が向かっている方向とも合いません。
また、金融庁は2023年8月31日に「内部統制報告制度に関するQ&A」と「内部統制報告制度に関する事例集」を改訂しています。現行実務では、基準・実施基準だけでなく、これらのQ&A・事例集も踏まえて検討する必要があります。
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について
見落とし1｜規程の存在を「実効性」と取り違える
全社統制評価で最も多い見落としは、規程があることをもって統制が有効だと判断してしまうことです。
職務権限規程、稟議規程、経理規程、関係会社管理規程、内部通報規程、コンプライアンス規程、情報セキュリティ規程などが整備されていても、それだけで全社統制が有効といえるわけではありません。
確認すべきなのは、少なくとも次の点です。
| 評価観点 | 確認すべきこと |
|---|---|
| 最新性 | 組織変更、システム変更、事業変更、子会社化、法改正後も更新されているか |
| 権限との整合 | 実際の承認者、稟議ルート、決裁金額と規程が一致しているか |
| 例外管理 | 例外承認、事後承認、緊急対応が記録され、後から説明できるか |
| 周知 | 規程が現場に周知され、担当者が自分の権限・責任を理解しているか |
| 運用証跡 | 稟議書、議事録、承認ログ、教育記録、違反対応記録などが残っているか |
| 是正 | 規程違反や運用逸脱が発見された場合に、是正・再発防止が行われているか |
規程の評価では、「あるか」ではなく「使われているか」を見ます。
とくに、IPO準備会社や急成長企業では、規程を短期間で整備したものの、実際の業務が追いついていないことがあります。M&A後の子会社でも、親会社規程を導入したけれども、現地の業務実態やシステム、人員体制と合っていないというケースは少なくありません。
社内規程は、規律の内容が実態に合わなければ意味がありません。実効性があり、かつ運用可能な規律であることが重要です。
全社統制評価では、規程の有無だけでなく、規程と実務の差異を評価調書に残しておくことが大切です。
見落とし2｜会議体を「開催実績」だけで評価する
取締役会、経営会議、監査役会、監査等委員会、リスク管理委員会、コンプライアンス委員会、開示委員会などの会議体は、全社統制の重要な評価対象です。
しかし、開催日、出席者、議事録の有無だけで評価してしまうと、会議体の実効性までは見えてきません。
会議体の運用で確認したいのは、次のような点です。
- 財務報告・決算・開示に重要な影響を与える事項が議題に上がっているか
- 会議資料に、判断に必要な根拠資料や分析資料が添付されているか
- 重要な会計上の見積り、非定型取引、関連当事者取引、子会社リスクが報告されているか
- 監査法人、内部監査、監査役等からの指摘事項が報告されているか
- 前回会議での宿題事項や是正事項がフォローされているか
- 議事録に、単なる報告ではなく、審議内容・判断・指示が残っているか
- 取締役会や監査役等が、必要に応じて質問・追加調査・是正指示を行っているか
たとえば、取締役会議事録に「決算承認の件」とだけ記載されていて、重要な修正仕訳、会計上の見積り、監査法人からの重要指摘、開示上の判断が読み取れない場合、J-SOX上の説明資料としては弱くなることがあります。
会議体は、意思決定と監督の証跡です。開催した事実ではなく、何を判断し、何を監督し、何を是正したかを評価すべきです。
見落とし3｜経営者姿勢を抽象的に評価してしまう
全社統制では、経営者姿勢、いわゆるトーン・アット・ザ・トップが重要な意味を持ちます。
ただし、「経営者はコンプライアンスを重視している」「倫理規程を定めている」という回答だけでは十分とはいえません。
経営者姿勢は、実際の意思決定に表れます。たとえば、次のような事象は、経営者姿勢の評価に影響します。
- 売上目標達成のために、期末直前の例外取引が多い
- 予算未達部門に対して、会計処理や出荷時期への過度な圧力がある
- 重要な会計論点について、経理部門の慎重な意見が軽視される
- 監査法人や内部監査からの指摘が、経営層で十分に議論されない
- 内部通報や不正疑義が、経営者ラインだけで処理される
- 子会社の問題が「現地の話」として放置される
- 重要な規程違反に対して、役職者と一般社員で対応が異なる
2023年改訂では、経営者による内部統制無効化だけでなく、業務プロセスの責任者による内部統制無効化の可能性も示されています。全社統制評価では、経営者本人だけでなく、事業部長、子会社社長、営業責任者、開発責任者など、実質的に強い権限を持つ方の影響も見落とさないことが重要です。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
経営者姿勢の評価は、アンケート回答だけで済ませるものではありません。会議資料、議事録、稟議、例外承認、監査指摘への対応履歴、不備是正の進捗から確認していきます。
見落とし4｜教育を「受講率」で終わらせる
コンプライアンス研修、情報セキュリティ研修、インサイダー取引防止研修、J-SOX研修、経理研修、子会社向け決算研修などは、いずれも全社統制評価の対象になります。
しかし、教育を受講率だけで評価してしまうと、リスクへの対応として十分かどうかまでは分かりません。
教育で確認すべきなのは、受講したかどうかではなく、現場が判断できる状態になっているかどうかです。
| 研修テーマ | J-SOX上の評価ポイント |
|---|---|
| コンプライアンス研修 | 何を報告すべきリスク情報と認識しているか |
| 内部通報研修 | 通報窓口、通報者保護、不利益取扱い禁止を理解しているか |
| 経理・決算研修 | 修正仕訳、見積り、決算資料、開示基礎資料の責任を理解しているか |
| IT・情報セキュリティ研修 | アクセス権限、ログ、情報漏えい、システム障害時の報告ルートを理解しているか |
| 子会社向け研修 | 連結パッケージ、親会社報告、重要事項報告、証跡保存を理解しているか |
| インサイダー取引防止研修 | 重要事実、情報管理、売買管理、開示前情報の取扱いを理解しているか |
教育の証跡としては、研修資料、受講記録、理解度テスト、未受講者フォロー、質問対応記録、そして研修後の規程改訂や業務改善の有無を確認します。
役職員に法令遵守を徹底させるうえで、教育研修は重要な役割を果たします。上場を控えた会社では、内部管理体制の拡充のために規程整備が求められますが、実態に合わない規律では意味がなく、運用可能な規律であることが必要です。
J-SOX上の教育評価では、「研修をやったか」ではなく、「研修によって統制が回る状態になっているか」を確認します。
見落とし5｜内部通報制度を「窓口の有無」で評価する
内部通報制度は、全社統制のなかでも重要な発見統制です。
しかし、内部通報窓口があることだけを確認しても、制度の実効性までは分かりません。
東京証券取引所のコーポレートガバナンス・コード原則2-5は、従業員等が不利益を懸念することなく、違法または不適切な行為・情報開示に関する情報や真摯な疑念を伝えられるよう、内部通報に係る適切な体制整備を求めています。また、取締役会はその体制整備の責務を負い、運用状況を監督すべきとされています。補充原則2-5①では、経営陣から独立した窓口の設置、情報提供者の秘匿、不利益取扱い禁止に関する規律整備が示されています。
出典：東京証券取引所｜コーポレートガバナンス・コード
J-SOX評価では、内部通報制度について次の点を確認します。
- 通報窓口が社内外に設けられているか
- 経営者や上位者が関与する事案でも通報しやすい独立ルートがあるか
- 匿名通報や相談ベースの情報を受け付けているか
- 通報受付後の初期評価、調査、報告、是正の手続が定められているか
- 財務報告・決算・開示への影響がある通報が、経理・内部監査・監査役等に共有されるか
- 通報者保護や不利益取扱い禁止が実際に運用されているか
- 通報件数、分類、対応状況、未了案件が管理されているか
- 子会社・海外拠点・派遣社員・取引先が利用できるか
通報件数が少ないことは、必ずしも良いこととは限りません。問題が少ない可能性もありますが、制度が信頼されていない、周知されていない、通報後の対応が見えない、通報者が不利益を恐れている、といった可能性も考えられます。
全社統制評価では、通報制度の存在だけでなく、通報情報がリスク評価、調査、是正、決算・開示判断に接続されているかを確認します。
見落とし6｜モニタリングを「内部監査がある」で済ませる
全社統制におけるモニタリングは、内部統制が有効に機能しているかを継続的に監視・評価する仕組みです。
ここでの見落としは、「内部監査部門がある」「監査計画がある」という事実だけで評価を終えてしまうことです。
実務上は、次の点を確認する必要があります。
- 内部監査計画がリスクベースで作成されているか
- J-SOX評価範囲、会計不正リスク、子会社リスク、ITリスクが監査計画に反映されているか
- 内部監査部門の独立性・客観性が確保されているか
- 内部監査人に、会計・IT・業務・法務・子会社管理を評価できる能力があるか
- 監査結果が経営層、監査役等、取締役会へ報告されているか
- 指摘事項が是正計画に落とし込まれ、期限・責任者・再評価が管理されているか
- 前年度指摘が翌年度も繰り返されていないか
内部監査の評価では、統制手段に関する議事録、RCM、ウォークスルー記録、インタビュー記録、検証結果などが監査調書に含まれていることが、統制評価の証拠として重要になります。
モニタリングの本質は、指摘することではなく、改善を定着させることです。内部監査報告書が作成されていても、是正が進んでいない、経営層が関与していない、翌期に同じ指摘が繰り返されている、という状態であれば、全社統制としては弱いと評価されます。
見落とし7｜子会社管理を親会社資料だけで評価する
グループ会社では、全社統制の評価が親会社中心になりがちです。
しかし、連結財務報告に重要な影響を及ぼす子会社については、親会社の規程や方針があるだけでは足りません。子会社で実際に運用されているか、親会社が把握・監督できているかまで確認する必要があります。
金融庁の実施基準では、全社的内部統制は基本的に企業集団全体を対象とするものとされています。そのうえで、子会社や事業部等に独特の歴史、慣習、組織構造等があり、別途評価対象とすることが適切な場合には、個々の子会社や事業部等を対象とする全社的内部統制を評価することもあるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
子会社管理で確認すべき論点は、たとえば次のとおりです。
| 評価対象 | 見落としやすい点 |
|---|---|
| 関係会社管理規程 | 報告事項、承認事項、重要性基準が実際の子会社運用と合っているか |
| 子会社決算 | 連結パッケージの作成責任、レビュー、差戻し、証跡保存が明確か |
| 子会社の会議体 | 取締役会・経営会議の議事録が作成され、親会社が把握しているか |
| 子会社の権限 | 親会社承認が必要な取引、投資、借入、保証、関連当事者取引が統制されているか |
| 子会社内部通報 | 親会社へ直接届くルートがあるか |
| 子会社IT | 会計システム、アクセス権限、変更管理、外部委託状況を把握しているか |
| 子会社是正 | 親会社が指摘事項をフォローし、改善完了を確認しているか |
子会社管理の評価では、親会社側の規程・報告書だけでなく、子会社側の議事録、稟議、決算資料、内部監査結果、IT資料、通報対応記録まで確認する必要があります。
見落とし8｜IT全社統制をIT部門任せにする
全社統制の評価では、ITが抜け落ちてしまうことがあります。
IT全般統制やIT業務処理統制はテーマ8で詳細に扱う領域ですが、全社統制の評価においても、ITに関する経営方針や管理体制を確認する必要があります。
金融庁の2023年改訂では、ITへの対応について、ITの委託業務に係る統制の重要性、そしてサイバーリスクの高まりを踏まえた情報システムに係るセキュリティ確保の重要性が記載されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
全社統制として確認すべきIT論点には、次のようなものがあります。
- 財務報告に関係するシステム一覧が整備されているか
- 会計システム、販売システム、購買システム、人事給与システム、連結システムの責任者が明確か
- システム変更、クラウド利用、外部委託、データ連携のリスクが経営層に報告されているか
- IT投資やシステム刷新が、J-SOX評価範囲や証跡管理へ与える影響を検討しているか
- 特権ID、アクセス権限、退職者ID、兼務者権限が定期的にレビューされているか
- サイバーインシデントやシステム障害が、決算・開示へ与える影響を検討するルートがあるか
IT全社統制は、情報システム部門だけの論点ではありません。経営者が、財務報告の信頼性を支えるIT環境を理解し、方針を示し、リスクを監督しているかどうかが評価対象になります。
見落とし9｜是正状況を「対応済み」で終わらせる
全社統制評価では、前年度指摘や期中に発見された不備の是正状況を確認する必要があります。
ここでの見落としは、課題管理表に「対応済み」と記載されているだけで、評価を終えてしまうことです。
是正状況では、次の点を確認します。
- 不備の直接原因と根本原因が整理されているか
- 是正策が、原因に対応しているか
- 責任者、期限、対応内容が明確か
- 暫定対応と恒久対応が区別されているか
- 規程改訂、システム改修、権限見直し、教育、証跡改善などが実施されたか
- 是正後に再評価が行われているか
- 同種の不備が他部門・子会社にもないか横展開されているか
- 監査法人、内部監査、監査役等へ是正状況が報告されているか
2023年改訂では、内部統制報告書において、前年度に開示すべき重要な不備を報告した場合、その是正状況を付記事項として記載すべき項目に追加しています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
是正は、指摘への回答ではありません。統制の再設計と運用定着です。
全社統制評価では、質問票に加えて何を見るべきか
全社統制評価で質問票を使うこと自体は、否定されるものではありません。むしろ、評価項目を漏れなく確認するためには有用です。
ただし、質問票はあくまで入口にすぎません。
金融庁の実施基準でも、全社的内部統制を評価するときは、評価対象となる内部統制全体を適切に理解・分析したうえで、必要に応じて関係者への質問や記録の検証などの手続を実施するとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
実務上は、次のような証跡を組み合わせて確認していきます。
| 評価対象 | 主な確認資料 |
|---|---|
| 経営者姿勢 | 経営方針、社内メッセージ、取締役会議事録、重要指示事項 |
| 規程の実効性 | 規程、改訂履歴、稟議、承認ログ、例外承認記録 |
| 会議体運用 | 議事録、会議資料、宿題管理表、決議事項フォロー |
| リスク評価 | リスク管理表、コンプライアンス委員会資料、内部監査計画 |
| 内部通報 | 通報台帳、調査記録、是正記録、取締役会・監査役等報告 |
| 教育 | 研修資料、受講記録、理解度テスト、未受講者フォロー |
| モニタリング | 内部監査計画、監査調書、監査報告書、指摘管理表 |
| 子会社管理 | 子会社報告資料、連結パッケージ、関係会社管理資料、子会社内部監査結果 |
| IT全社統制 | システム台帳、IT方針、アクセス権限レビュー、外部委託先管理資料 |
| 是正状況 | 不備一覧、原因分析、是正計画、再評価記録、監査法人協議記録 |
質問票の回答と証跡が一致しない場合は、質問票を修正するのではなく、統制の実態を評価し直す必要があります。
前年度評価結果を使える場合と、使うべきでない場合
全社統制評価では、前年度評価結果を継続して利用できる場合があります。
金融庁の実施基準では、全社的内部統制の評価項目のうち、財務報告の信頼性に特に重要な影響を及ぼす項目を除き、前年度の評価結果が有効で、前年度の整備状況と重要な変更がない項目については、その旨を記録することで前年度の運用状況評価結果を継続利用できる場合があるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
ただし、これは「毎年同じ回答でよい」という意味ではありません。
次のような変化がある場合は、前年度評価結果の継続利用には慎重になるべきです。
- 経営者、CFO、経理責任者、内部監査責任者が交代した
- M&A、子会社化、組織再編、新規事業開始があった
- 会計システム、販売システム、連結システムを変更した
- 監査法人から重要な指摘を受けた
- 内部通報や不正疑義が発生した
- 決算遅延、開示訂正、重要な修正仕訳が発生した
- 子会社決算資料の品質低下や提出遅延があった
- IT障害、情報漏えい、サイバーインシデントがあった
- 取締役会や監査役等への報告体制を変更した
前年度踏襲が許されるのは、変化がないことを説明できる場合です。変化を確認しないまま前年回答をコピーすることは、全社統制評価の形骸化につながります。
全社統制が弱い場合、業務プロセス評価にも影響する
全社統制評価は、単なる総論ではありません。その評価結果は、業務プロセス統制の評価範囲や評価手続にも影響します。
金融庁の実施基準は、全社的内部統制と業務プロセスに係る内部統制は相互に影響し合い、補完する関係にあるとしています。そして、全社的内部統制が有効でない場合には、その影響を受ける業務プロセス評価について、評価範囲の拡大や評価手続の追加が必要となる一方、全社的内部統制が有効な場合には、サンプリング範囲の縮小や簡易な評価手続が考えられるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
たとえば、次のような関係です。
| 全社統制上の問題 | 業務プロセス評価への影響 |
|---|---|
| 職務権限規程が実態と不一致 | 承認統制の整備評価・運用評価を慎重に見る |
| 子会社管理が弱い | 子会社の決算・業務プロセス・IT統制の評価範囲を見直す |
| 内部監査が機能していない | 内部評価結果への依拠を弱め、追加手続を検討する |
| 監査指摘の是正が遅れている | 不備の重要性や補完統制の有効性を慎重に判断する |
| 経営者姿勢に懸念がある | 例外取引、関連当事者、非定型取引、修正仕訳を重点的に見る |
| IT全社統制が弱い | IT全般統制・IT業務処理統制の範囲や証跡を再確認する |
全社統制評価を軽く扱うと、個別統制評価の前提そのものを誤ることになります。
効率化と手抜きは違う
全社統制評価では、「どこまでやればよいか」が問題になります。
すべての規程、すべての会議体、すべての研修、すべての子会社、すべての是正事項を毎年フルスコープで詳細に評価すれば、運用負荷は過大になります。
一方で、前年踏襲や質問票だけで済ませてしまうと、重要な変化や不備を見落とします。
金融庁の事例集は、内部統制の有効性を保ちつつ、企業の実態に合った効率的な内部統制が整備・運用されることを目指しており、資源制約のもとで工夫して評価が行われた事例を実務の参考として示しています。ただし、事例は前提条件や法令・基準の変更により考え方が異なる場合があり、計数もあくまで参考であって縛られるものではないとされています。
出典：金融庁｜内部統制報告制度に関する事例集
したがって、全社統制評価では、次のようにメリハリをつけていきます。
| 評価の考え方 | 実務上の整理 |
|---|---|
| 毎年重点的に見る項目 | 経営者姿勢、重要会議体、内部通報、監査指摘、重要不備、子会社管理、IT変更 |
| 変化があれば重点的に見る項目 | 規程改訂、組織変更、責任者交代、新規事業、M&A、システム変更 |
| 前年度評価の継続利用を検討できる項目 | 重要な変更がなく、財務報告への影響が限定的で、前年度評価が有効な項目 |
| 質問票だけで終わらせてはいけない項目 | 重要な判断、例外処理、不正リスク、経営者関与、開示影響、是正未了事項 |
効率化とは、リスクが低い領域を軽くすることです。重要リスクを見ずに済ませることではありません。
全社統制評価を改善するための実務ステップ
全社統制評価を形骸化させないためには、次の順序で見直していくと、実務に落とし込みやすくなります。
1. 評価項目を自社仕様にする
実施基準の例示項目や一般的な質問票をそのまま使うのではなく、自社の事業、組織、子会社、IT環境、決算・開示体制に合わせて評価項目を調整します。
とくに、急成長企業、IPO準備企業、M&A後の会社、海外子会社を持つ会社、システム依存度が高い会社では、標準的な質問票ではリスクを拾いきれないことがあります。
2. 「回答」ではなく「証跡」を決める
各評価項目について、回答者、確認資料、証跡、評価者、レビュー者を決めます。
「はい」と回答する根拠が、規程なのか、議事録なのか、稟議なのか、教育記録なのか、内部監査報告なのかを明確にしておきます。
3. 変化点レビューを必ず行う
年度初め、または評価計画時に、前年度からの変化を整理します。
組織変更、役員交代、責任者交代、システム変更、子会社化、新規事業、監査指摘、不備、通報、開示訂正などを一覧化し、全社統制評価へ反映します。
4. 内部監査・監査役等・監査法人との接続を確認する
全社統制評価は、内部監査、監査役等、監査法人との関係を切り離して考えることができません。
内部監査で把握した不備、監査役等が把握した監督上の懸念、監査法人からの指摘が、全社統制評価に反映されているかを確認します。
5. 不備と是正を翌期に持ち越さない
全社統制上の不備は、個別業務プロセスの不備よりも広く影響することがあります。
是正計画を作成し、責任者、期限、再評価方法を決め、翌期の評価計画へ反映します。
まとめ｜全社統制評価は、会社の「説明力」を測る評価である
全社統制評価は、質問票を埋める作業ではありません。
経営者の姿勢、会議体の運用、規程の実効性、教育、内部通報、内部監査、子会社管理、IT方針、是正フォローが、財務報告の信頼性を支える状態になっているかを確認する評価です。
全社統制が弱い会社では、個別業務プロセス統制を整えても、J-SOX対応は安定しません。個別統制は、会社全体の方針、権限、監督、情報伝達、モニタリングの上に成り立っているからです。
全社統制評価で大切なのは、次の問いです。
規程は、実際に使われているか。
会議体は、重要なリスクを議論しているか。
教育は、現場の判断力を高めているか。
内部通報は、財務報告リスクを拾えているか。
内部監査は、指摘で終わらず是正まで追えているか。
子会社のリスクは、親会社が説明できる状態か。
IT環境の変化は、財務報告統制に反映されているか。
不備は、原因分析と再発防止まで管理されているか。
この問いに答えられる会社は、J-SOX対応を単なる制度対応ではなく、会社の信頼性と判断力を高める仕組みとして運用することができます。
J-SOX全社統制評価の見直しをご検討の方へ
全社統制評価が、毎年同じ質問票で終わっている。
規程や会議体はあるものの、実際にどこまで評価すべきか判断に迷っている。
内部通報、内部監査、子会社管理、IT統制、是正状況を、J-SOX評価にどう反映すべきか整理できていない。
監査法人から、全社統制評価の実効性や証跡について指摘を受けている。
IPO準備、M&A後の子会社管理、決算早期化、開示品質向上を見据えて、全社統制を見直したい。
このような課題は、質問票や評価調書の修正だけでは解決しにくい領域です。会社の規程、会議体、権限、内部監査、子会社管理、決算・開示、IT、是正フォローを横断して、全社統制が実際に機能しているかを整理する必要があります。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる文書化・チェックリスト対応ではなく、会社が自らのリスク、数字、判断、証跡を説明できる状態へ整える取り組みとして支援しています。
全社統制評価の見直し、監査法人指摘への対応、IPO準備会社の内部管理体制整備、子会社管理を含むグループJ-SOX対応について整理したいとお考えの場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。
振り返り｜この記事の重要ポイント
| 論点 | 見落としやすい点 | 実務上の確認ポイント |
|---|---|---|
| 全社統制の位置づけ | 業務プロセス統制と切り離して評価する | 全社統制の結果が業務プロセス評価にどう影響するか確認する |
| 規程の実効性 | 規程の存在だけで有効と判断する | 規程と実務、例外承認、改訂履歴、周知状況を見る |
| 会議体運用 | 開催実績と議事録の有無だけを見る | 議題、資料、審議内容、判断、フォロー事項を見る |
| 経営者姿勢 | 抽象的な方針表明だけを見る | 例外取引、監査指摘対応、会計判断への関与を見る |
| 教育 | 受講率だけを見る | 現場が何を報告・判断すべきか理解しているかを見る |
| 内部通報 | 窓口の有無だけを見る | 独立性、通報者保護、調査、是正、財務報告への接続を見る |
| モニタリング | 内部監査部門の存在だけを見る | リスクベース監査、報告先、是正フォロー、再評価を見る |
| 子会社管理 | 親会社資料だけで評価する | 子会社側の議事録、決算資料、権限、通報、IT、是正状況を見る |
| IT全社統制 | IT部門任せにする | システム範囲、変更管理、外部委託、サイバーリスクを経営管理に接続する |
| 是正状況 | 「対応済み」の記載だけを見る | 原因分析、恒久対応、責任者、期限、再評価、横展開を見る |
| 前年度踏襲 | 変化点を確認せずコピーする | 役員交代、組織変更、M&A、システム変更、不備・通報の有無を確認する |
| 効率化 | 重要リスクまで軽くしてしまう | リスクが低い項目は簡素化し、重要項目は証跡まで確認する |
