IPO準備の現場で「J-SOX対応」という言葉が出てくると、多くの会社はまず「3点セットを作らなければならない」「内部統制の評価をしなければならない」「監査法人に見せる資料を整えなければならない」と考えます。
その理解そのものは、決して間違ってはいません。ただ、それだけではJ-SOX対応の本質には届かないというのが、実務に携わってきた私の実感です。
J-SOX対応とは、上場後に提出する内部統制報告書のためだけの作業ではありません。売上、原価、在庫、固定資産、人件費、経費、資金、連結、開示に至るまでの一連の業務が、財務報告に重要な虚偽表示を生じさせない形で設計され、実際に運用され、後から検証できる状態にある。そのことを、経営者自身の言葉で説明できるようにする取り組みです。
ですから上場準備会社にとって本当に大切なのは、「J-SOXの書類を作ること」ではありません。「資本市場に対して、自社は数字を信頼できる会社だと説明できる状態をつくること」なのです。
J-SOXは、上場後に始めるものではない
J-SOX、すなわち財務報告に係る内部統制報告制度は、上場会社を対象として、財務報告に係る内部統制の経営者評価と、公認会計士等による監査を求める制度です。
この制度については、導入から15年余りが経過し、財務報告の信頼性向上に一定の効果があったと評価される一方で、課題も指摘されています。たとえば、評価範囲の外で開示すべき重要な不備が明らかになる事例などを踏まえ、制度の実効性に対する懸念が示されている点です。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
ここで強くお伝えしたいのは、「上場後に初めてJ-SOX対応を始めればよい」という発想は避けていただきたい、ということです。
確かに、一定の新規上場会社については、上場後の一定期間、内部統制報告書に対する公認会計士または監査法人の監査証明が免除される場合があります。ただし、これはあくまで監査証明についての話です。内部統制報告書の提出や、経営者による評価そのものまでが当然に免除されるわけではありません。適用の可否は、上場時の会社規模、現行法令、内閣府令、そして監査法人の確認を踏まえ、個別に判断していく必要があります。
出典：e-Gov法令検索｜金融商品取引法
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令
IPO準備の実務では、直前々期末までに基本的な管理体制の整備を終え、直前期には上場会社と同水準の管理体制で一定期間の運用実績を示すことが求められます。内部統制報告制度も同じです。申請期や上場後に突然始めるものではなく、上場前から「評価できる状態」「運用の証跡が残る状態」をつくっておくべき領域なのです。
内部統制報告制度の目的は「財務報告の信頼性」を支えること
内部統制の基本的枠組みにおいて、内部統制とは、次の4つの目的を達成するために業務に組み込まれ、組織内のすべての者によって遂行されるプロセスとされています。
- 業務の有効性および効率性
- 報告の信頼性
- 事業活動に関わる法令等の遵守
- 資産の保全
そして、これらを支える基本的要素として、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応という6つが挙げられます。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）
2023年の改訂では、内部統制の目的の一つが、従来の「財務報告の信頼性」から、非財務情報を含む「報告の信頼性」へと概念が広げられました。その一方で、金融商品取引法上の内部統制報告制度は、あくまで「財務報告の信頼性」の確保を目的とするものであることも、改めて強調されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）
この区別は、IPO準備会社にとって意外に重要です。
「内部統制」という言葉は、コンプライアンス、稟議、承認、牽制、情報セキュリティ、内部監査など、かなり広い意味で使われます。しかしJ-SOX対応として評価・報告する対象は、あくまで財務報告に重要な虚偽表示が生じるリスクに関係する内部統制に絞られます。
ですからJ-SOX対応では、次のような問いを中心に据えて考えていくことになります。
- この業務プロセスで誤りや不正が起きると、財務諸表や開示情報のどこに重要な影響が出るのか
- そのリスクに対して、どの承認、照合、レビュー、システム統制、職務分掌が機能しているのか
- その統制は、実際に運用されているのか
- その証跡は残っているのか
- 不備があった場合、財務報告への影響を評価できるのか
J-SOX対応は、社内ルールの美しさを競うものではありません。財務報告の信頼性を脅かすリスクと、それを低減する統制の対応関係を、一つひとつ明確にしていく作業なのです。
J-SOX対応の全体像
J-SOX対応は、一見すると文書化から始まるように見えます。しかし実際には、もっと大きな流れの中で進んでいきます。
| フェーズ | 主な作業 | 経営上の意味 |
|---|---|---|
| 計画 | 評価体制、評価範囲、スケジュール、役割分担の決定 | どこまで評価し、誰が責任を持つかを決める |
| 文書化 | 業務記述書、フローチャート、RCM等の整備 | 業務、リスク、統制を可視化する |
| 整備状況評価 | 統制がリスクに対応する形で設計されているか確認 | 仕組みとして不足がないかを確認する |
| 運用状況評価 | 統制が一定期間、実際に運用されたか確認 | 形式ではなく実効性を確認する |
| 不備改善 | 発見された不備の原因分析、改善、再評価 | 問題を放置せず、再発防止まで管理する |
| 総合評価 | 期末時点で内部統制が有効か判断 | 経営者が外部に説明する結論を出す |
| 内部統制報告書 | 評価範囲、評価手続、評価結果等を記載 | 投資家・市場に対する報告責任を果たす |
つまり内部統制対応は、「計画 → 文書化 → 評価 → 不備の改善 → 再評価 → 総合評価」という流れで進みます。文書化はその中でも目立つ作業ですが、そこで終わるわけではありません。
IPO準備会社にありがちな失敗は、3点セットの作成をJ-SOX対応のゴールにしてしまうことです。しかし3点セットは、あくまで評価のための準備資料にすぎません。整備状況評価、運用状況評価、不備改善、再評価、そして内部統制報告書までつながって、初めて制度対応として機能するのです。
評価範囲は、機械的に決めるものではない
J-SOX対応で最初に重要になるのが、評価範囲の決定です。
評価範囲とは、企業グループ全体のうち、どの会社、どの拠点、どの業務プロセス、どの勘定科目、どのITシステムを評価対象にするかを決める作業を指します。
日本の内部統制報告制度では、まず全社的な内部統制を評価し、その結果を踏まえて、財務報告に係る重大な虚偽記載につながるリスクに着眼します。そのうえで、必要な範囲で各業務プロセスに係る内部統制を評価していく。こうしたトップダウン型のリスクアプローチが採用されています。
ここで大切なのは、評価範囲を形式的に決めないことです。
2023年改訂では、重要な事業拠点や業務プロセスの選定にあたり、「売上高等のおおむね3分の2」や「売上、売掛金および棚卸資産の3勘定」といった例示を、機械的に当てはめるべきではないことが明確化されました。評価範囲は、財務報告への影響の重要性を適切に考慮したうえで決定する必要があります。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）
たとえば、売上高の比率だけを見れば小さくても、次のような業務は評価対象に含めるべき可能性があります。
- 会計上の見積りに大きく影響する業務
- 収益認識の判断が複雑な取引
- 在庫評価や原価計算に重要な影響を与える業務
- 重要な子会社や海外拠点の決算プロセス
- 不正リスクが高い現金・資金・支払プロセス
- 経営者による見積りや手入力仕訳が集中する決算プロセス
- 重要なITシステムやマスタデータを管理するプロセス
評価範囲の決定は、監査法人に丸投げするものではありません。経営者が、自社の事業、会計、リスク、システム、グループ構造を踏まえて自ら判断し、監査法人とは計画段階や状況変化があった場合に協議していく。それが本来のあり方です。改訂基準でも、評価範囲の決定は経営者が行うものであり、必要に応じて監査人と協議することが適切である、とされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）
全社統制｜会社全体の統制環境が弱いと、個別統制も機能しない
J-SOX対応では、まず全社的な内部統制を評価します。
全社統制とは、会社全体の統制環境、リスク管理、会議体、権限責任、内部監査、会計方針、決算体制、コンプライアンス、グループ管理など、個別の業務プロセスの前提となる統制を指します。
全社統制が弱い会社では、販売プロセスや購買プロセスの個別統制をいくら整えても、内部統制全体の信頼性はなかなか高まりません。たとえば、次のような状態です。
- 取締役会や経営会議で、重要な会計・リスク論点が議論されていない
- 予算と実績の差異分析が形式的で、経営判断に使われていない
- 会計方針や見積り方針が文書化されていない
- 内部監査が存在しない、または現場チェックにとどまっている
- 子会社の決算や規程運用が、本社任せ、または子会社任せになっている
- 不正リスクや、経営者による内部統制の無効化を想定していない
- 経理部門と現場部門の責任分界が曖昧である
2023年改訂では、不正リスクへの対応、IT・サイバーリスクへの対応、内部統制とガバナンス・全組織的リスク管理の関係、内部監査人の報告経路といった論点が強調されました。J-SOX対応は、経理部門の作業に閉じるものではなく、取締役会、監査役、内部監査、CFO、現場部門を含むガバナンスの論点なのです。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）
全社統制が弱いまま文書化を進めると、現場の承認印やチェックリストは整っているのに、経営判断、会計方針、リスク対応、内部監査が機能していない、という会社ができあがります。これでは、資本市場に耐える管理体制とはいえません。
決算・財務報告プロセス｜最も経営者判断が入りやすい領域
J-SOX対応では、決算・財務報告プロセスも重要な領域です。
販売や購買のような定型業務は、取引件数が多いぶん、統制の設計と運用を比較的整理しやすい領域です。一方で決算・財務報告プロセスには、経営者判断、会計上の見積り、手入力仕訳、開示資料作成、連結調整、税効果、減損、引当金、収益認識、関連当事者取引など、誤りや不正が重要な虚偽表示につながりやすい論点が集中します。
IPO準備会社では、次のような点を確認していく必要があります。
- 月次決算と年度決算で、同じ会計方針が継続して適用されているか
- 重要な見積りについて、前提、計算過程、承認者、レビュー証跡が残っているか
- 手入力仕訳について、起票者、承認者、根拠資料、事後レビューが管理されているか
- 連結パッケージ、組替表、開示基礎資料の作成プロセスが属人化していないか
- 財務諸表と開示資料、取締役会資料、予実管理資料、KPI資料の整合性を確認しているか
- 決算遅延や監査指摘が、単なる作業遅れではなく、内部統制上の不備として管理されているか
月次決算は、経営判断、予実管理、資金繰り、監査対応、投資家説明の基礎です。毎月の決算が遅れ、差異分析が曖昧なままでは、J-SOXで求められる財務報告の信頼性を支えることは難しくなります。月次決算を通じて経営者が会社の現状を把握し、予算対比から次の打ち手を検討できる。そうした状態をつくることが、J-SOX対応の土台になります。
また、決算早期化という観点では、単体決算、連結決算、開示業務を別々に見るのではなく、最終成果物から逆算する「森を見る視点」が欠かせません。縦割りのままでは、手待ち、手戻り、重複が生じ、J-SOX評価に必要な証跡も分散してしまいます。
業務プロセス統制｜販売・購買・在庫・固定資産・給与を会計につなげる
業務プロセス統制とは、日々の取引処理が会計情報として正しく集計されるための統制です。
IPO準備会社では、少なくとも次の主要プロセスについて、自社のリスクと統制を整理しておく必要があります。
| 業務プロセス | 典型的な財務報告リスク | 主な統制例 |
|---|---|---|
| 販売・売掛金 | 架空売上、期間帰属誤り、請求漏れ、入金消込誤り | 受注承認、出荷・検収確認、請求照合、売掛金年齢表レビュー |
| 購買・買掛金 | 未計上債務、架空仕入、支払誤り | 発注承認、納品確認、請求書照合、支払承認 |
| 在庫 | 数量誤り、評価誤り、滞留在庫の未認識 | 棚卸、差異分析、評価ルール、滞留在庫レビュー |
| 固定資産 | 資産計上誤り、除却漏れ、償却誤り | 稟議承認、現物管理、固定資産台帳レビュー |
| 給与・人件費 | 架空人件費、未払計上漏れ、労務費配賦誤り | 入退社管理、勤怠承認、給与計算レビュー |
| 経費・支払 | 架空経費、二重支払、私的流用 | 経費承認、証憑確認、支払データ承認 |
業務フローを理解する目的は、単にフローチャートを作ることではありません。会社にどのようなリスクがあり、それを低減する内部統制がどこにあるのかを理解することにあります。典型的な業務フローを押さえておけば、自社に不足している統制や、逆に不要に複雑になっている統制を見極めやすくなります。
業務プロセス統制は、現場に負担をかけるためのものではありません。むしろ、取引の発生から会計処理までの流れを整理し、誰が、どの証憑に基づき、どのタイミングで、何を承認・照合しているのかを明らかにすることで、業務の属人化を減らしていくものです。
IT統制｜J-SOXでは避けて通れない
いまの会社では、財務報告の多くがITシステムに依存しています。
販売管理、購買管理、在庫管理、勤怠、給与、経費精算、会計、連結、開示、BI、データ連携、クラウドストレージ。これら各システムの権限、設定、マスタ、データ連携、ログ、変更管理が弱いと、業務プロセス統制もまた機能しなくなります。
J-SOX対応では、IT統制を大きく次の2つに分けて考えます。
| 区分 | 内容 |
|---|---|
| IT全般統制 | システムが継続的に正しく機能するための基盤。アクセス管理、変更管理、運用管理、バックアップ、委託先管理など |
| IT業務処理統制 | 業務プロセスに組み込まれたIT上の統制。入力チェック、自動計算、承認ワークフロー、マスタ制御、エラー処理など |
このうちIT業務処理統制は、各業務プロセスの3点セットの中に組み込んで評価するのが一般的です。入力情報の完全性・正確性・正当性、エラー処理、マスタデータの正確性、システム利用に関する認証や操作範囲の限定などを確認していきます。
2023年改訂では、IT委託業務に係る統制の重要性、サイバーリスクの高まり、情報システムに係るセキュリティ確保の重要性についても言及されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）
クラウドサービスを利用している会社では、ベンダーのSOCレポートを活用できる場合があります。ただし、それで自社の統制責任が消えるわけではありません。自社側のユーザー権限、設定変更、マスタ管理、データ出力、連携エラー確認、Excel加工の管理は、あくまで会社自身が整備・運用しなければなりません。SaaSやIaaSの普及に伴い、SOC1レポートを利用してベンダー内のIT全般統制評価に活用するケースも増えていますが、J-SOX上は、自社の評価対象と責任範囲を見誤らないことが肝心です。
3点セットは「作ること」より「使えること」が重要
J-SOX対応といえば、やはり3点セットが代表的でしょう。
3点セットとは、一般に、業務記述書、フローチャート、リスクコントロールマトリクス（RCM）の3つを指します。
| 文書 | 役割 |
|---|---|
| 業務記述書 | 取引の発生から会計処理までの流れを文章で整理する |
| フローチャート | 業務の流れ、部門、システム、証憑、承認、リスク、統制を図で可視化する |
| RCM | 財務報告リスクと、それに対応する統制の関係を整理する |
文書化作業の中で最も重要なのは、RCMです。評価を行うには、財務報告リスクと、それに対応するコントロールを洗い出し、両者の対応関係を理解しておく必要があります。業務記述書やフローチャートは、このRCMを作成するための土台としても機能します。
ただし、3点セットは「きれいに作る」ことが目的ではありません。本当に重要なのは、次のような状態がそろっていることです。
- 業務の流れが、現場担当者に確認されている
- 財務報告リスクが、勘定科目やアサーションと結びついている
- リスクに対応する統制が、具体的に記載されている
- キーコントロールが、過不足なく選定されている
- 統制実施者、頻度、証跡、レビュー方法が明確である
- 評価手続に利用できる粒度で整理されている
- 業務変更、システム変更、組織変更に応じて更新される
3点セットを一度作成したまま放置すると、実態と文書が次第に乖離していきます。監査法人や内部監査が見るのは、文書の存在だけではありません。その文書が実際の業務を表しているか、リスクと統制の関係が妥当か、評価証跡と結びつくか。そこが問われます。
キーコントロールを絞らなければ、運用評価が破綻する
RCMでは、一つの財務報告リスクに対して、複数の統制が存在することがあります。
たとえば売上計上の正確性に対しては、受注承認、出荷確認、検収確認、請求照合、売上明細レビュー、売掛金残高確認などが関係してくるかもしれません。
しかし、これらをすべて同じ重さで運用評価しようとすると、評価負荷が膨らみ、現場も内部統制担当者も疲弊してしまいます。
そこで重要になるのが、キーコントロールの選定です。キーコントロールとは、財務報告の信頼性に重要な影響を及ぼす統制上の要点を指します。キーコントロールは運用状況評価の対象となり、評価作業の負荷を大きく左右するため、論理的かつ戦略的に選定する必要があります。
キーコントロール選定で見るべき観点は、主に次のとおりです。
- 財務報告リスクを直接低減しているか
- 統制実施者に、十分な権限・知識があるか
- 上位者レビューなど、統制としての強度があるか
- 複数のリスクを広くカバーしているか
- 証跡が残り、後から検証できるか
- 統制頻度が、リスクに見合っているか
- IT統制に依拠できる部分はないか
IPO準備会社では、内部統制の数を増やすことよりも、重要な統制を確実に運用することのほうが大切です。統制が多すぎる会社は、結局すべてを評価しきれません。そして、評価できない統制は、J-SOX上の安心材料にはならないのです。
不備評価｜問題を見つけることより、評価できないことが問題になる
J-SOX対応では、不備が見つかること自体が直ちに問題になるわけではありません。
むしろ、問題を発見できる会社のほうが健全だといえます。本当に重要なのは、不備の内容、原因、影響、重要性、改善策、再発防止、運用確認を整理できるかどうかです。
内部統制報告書の様式では、評価結果として次のような区分が示されています。内部統制が有効である旨、評価手続の一部が実施できなかったが有効である旨、開示すべき重要な不備があり有効でない旨、重要な評価手続が実施できなかったため評価結果を表明できない旨、といった区分です。あわせて、評価範囲、基準日、評価手続、評価結果、開示すべき重要な不備の内容や是正されなかった理由などが、記載事項として定められています。
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令 第二号様式
不備評価では、次の順番で整理していきます。
まず、設計上の不備か、運用上の不備かを切り分けます。次に、どの勘定科目、開示項目、アサーションに影響するかを確認します。さらに、金額的重要性と質的重要性を踏まえ、財務報告に重要な虚偽表示が発生する可能性を評価します。最後に、補完統制の有無、実際の誤謬の有無、改善状況、期末時点での有効性を検討します。
ここで注意したいのは、期末日後に改善したからといって、期末時点の不備が消えるわけではない、という点です。内部統制報告書では、事業年度末日後から提出日までに、開示すべき重要な不備を是正するために実施された措置がある場合、その内容を付記事項として記載することが求められる場合があります。
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令 第二号様式
IPO準備段階では、不備を隠すのではなく、早期に見つけ、改善し、再評価する。その習慣を会社の中に根づかせることが何より大切です。
監査法人との関係｜監査法人は「会社の内部統制そのもの」を直接証明するわけではない
J-SOX対応では、監査法人との関係を正しく理解しておく必要があります。
日本の内部統制報告制度では、経営者が内部統制を評価し、内部統制報告書を提出します。監査法人は、その経営者の評価結果を記載した内部統制報告書に対して監査を行います。会社の内部統制の有効性そのものを直接監査する、いわゆるダイレクト・レポーティングは採用されていません。
また、内部統制監査は、原則として財務諸表監査と同じ監査法人により、財務諸表監査と一体として行われます。そのため、財務諸表監査で得られたリスク理解や監査証拠が、内部統制監査にも関係してきます。
このことから、IPO準備会社が持つべき姿勢は、おのずと明確になります。
監査法人に答えを求めるのではなく、自社の評価範囲、リスク認識、統制設計、キーコントロール選定、不備評価について、自社なりの考え方を整理したうえで、監査法人と協議していくこと。これに尽きます。
監査法人に「どうすればよいですか」と丸投げしてしまう会社は、J-SOX対応がどうしても属人化します。逆に、監査法人と十分に協議しない会社は、後から評価範囲や不備評価のところで大きな手戻りが生じます。
要は、会社主導で進めることです。内部統制対応では、会社が主体性を持ってプロジェクト方針を決め、その検討過程と結論を第三者が理解できる形で記録し、監査法人と協議していく。この姿勢が欠かせません。
IPO準備会社がJ-SOX対応を進める順番
IPO準備会社がJ-SOX対応を始めるときは、いきなり3点セットに着手するのではなく、次の順番で進めることをおすすめします。
1. 財務報告リスクの全体像を把握する
まず、自社の財務諸表と開示情報に重要な影響を与える勘定科目、取引、見積り、システム、子会社、業務プロセスを把握します。
- 売上が重要なのか
- 在庫が重要なのか
- ソフトウェア資産や開発費が重要なのか
- 人件費が重要なのか
- 連結子会社が重要なのか
- 会計上の見積りが重要なのか
- 手入力仕訳が多いのか
- システム連携に依存しているのか
この整理がないまま文書化を始めても、J-SOX対応はどうしても表面的になってしまいます。
2. 評価体制を決める
J-SOX対応には、経理、内部監査、情報システム、法務、人事、経営企画、現場部門と、幅広い部門が関わります。
- 誰がプロジェクト責任者なのか
- 誰が評価を実施するのか
- 誰が現場部門との調整を行うのか
- 誰がIT統制を見られるのか
- 誰が監査法人との窓口になるのか
- 不備が見つかった場合、誰が改善責任者になるのか
これを決めないままでは、J-SOX対応は「経理が何とかする仕事」になってしまいます。
3. 評価範囲を仮決定し、監査法人と協議する
評価範囲は、会社が決めるものです。
ただし、監査法人と目線がずれたまま進めると、後から手戻りが生じます。評価範囲、重要拠点、対象プロセス、ITシステム、キーコントロールの考え方については、早い段階で監査法人と協議しておくべきです。
4. 業務記述書・フローチャート・RCMを作成する
3点セットは、現場ヒアリング、証憑確認、規程確認、システム確認を通じて作成します。
ヒアリングだけで作ると、どうしても実態と異なる文書になりがちです。証憑やシステム画面、承認ログ、帳票、会計連携データなども確認しながら作り込んでいく必要があります。
5. 整備状況評価を行う
整備状況評価では、統制が財務報告リスクを低減する設計になっているかを確認します。
- 承認者に、必要な知識や権限があるか
- 承認対象が明確か
- レビューの観点が曖昧でないか
- 証跡が残るか
- 職務分掌が機能しているか
- IT統制と手作業統制が矛盾していないか
ここで設計上の不備を見つけられれば、運用評価に入る前に手当てができます。
6. 運用状況評価を行う
運用状況評価では、統制が一定期間、実際に機能していたかを、サンプルテスト等により確認します。
閲覧、再実施、観察、質問といった評価手続を組み合わせます。質問だけでは証拠力が弱いため、証憑やシステムログなどの客観的証拠と組み合わせることが重要です。
7. 不備改善と再評価を行う
不備が見つかった場合は、改善策を実行し、改善後の運用状況を再評価します。
改善策を作っただけでは不十分です。改善された統制が実際に運用された、という証跡が必要になります。
8. 総合評価と内部統制報告書の準備を行う
最終的に、経営者は期末時点で財務報告に係る内部統制が有効かどうかを評価します。
内部統制報告書では、内部統制の基本的枠組み、評価範囲、評価手続、評価結果、付記事項、特記事項などを記載します。内閣府令の様式では、代表者や最高財務責任者が内部統制の整備・運用の責任を有している旨、評価の基準日、評価手続の概要、評価範囲、評価結果などが、記載事項として示されています。
出典：e-Gov法令検索｜財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令 第二号様式
IPO準備でよくあるJ-SOX対応の誤解
「上場後に対応すればよい」という誤解
上場後に評価・提出が必要になるからといって、上場後に整備すればよい、というわけではありません。
J-SOXでは、評価対象期間に統制が実際に運用されている必要があります。上場後に慌てて整備しても、十分な運用実績がなければ、そもそも評価できないのです。
「3点セットを作れば終わり」という誤解
3点セットは、評価のための準備資料です。
文書化だけでは、統制が有効に整備・運用されていることにはなりません。評価、改善、再評価、総合評価まで進めて初めて、制度対応として完結します。
「監査法人が決めてくれる」という誤解
評価範囲や不備評価は、会社が主体的に判断すべき事項です。
監査法人は協議の相手であり、監査人として独立性を保つ立場にあります。会社の内部統制の設計責任や評価責任を肩代わりしてくれる存在ではありません。
「IT統制は後でよい」という誤解
販売、購買、在庫、給与、会計、連結、開示の多くがシステムに依存している以上、IT統制を後回しにすると、業務プロセス統制の評価まで不安定になってしまいます。
「小さい子会社は見なくてよい」という誤解
量的重要性が低い子会社でも、質的重要性がある場合があります。特殊な取引、海外拠点、重要な開発拠点、資金管理、関連当事者取引などがある場合は、評価範囲に含めるべきかを慎重に検討する必要があります。
「不備がない会社に見せることが大事」という誤解
不備がまったく見つからない会社が優れているとは限りません。むしろ、リスクを識別できていない、評価が浅い、現場が問題を報告できない、といった可能性もあるのです。
IPO準備で重要なのは、不備を隠すことではありません。発見し、評価し、改善し、再発防止まで管理できる会社になることです。
J-SOX対応は、経営管理を強くする機会である
J-SOX対応は、確かに負担の大きい作業です。
現場ヒアリング、文書化、サンプルテスト、証跡収集、不備改善、監査法人対応。これらには相当な工数がかかります。経営者から見れば、事業成長に直接つながらない管理作業に映るかもしれません。
しかし、J-SOX対応を正しく進めれば、会社は確実に強くなります。
- 売上計上の根拠が明確になる
- 債権管理が改善する
- 支払の承認ルートが整う
- 在庫差異を早く把握できる
- 月次決算が安定する
- 会計上の見積りが文書化される
- 子会社管理が強くなる
- システム権限が整理される
- 内部監査が機能する
- 監査法人との議論が早期化する
- 開示資料の基礎データが信頼できるようになる
これは、単なる守りではありません。
投資家に成長ストーリーを説明するには、数字の信頼性が欠かせません。資本政策を設計するにも、事業計画を検証するにも、上場後にIRを行うにも、財務情報が信頼できなければ説得力を持ちません。
J-SOX対応は、成長戦略と資本市場対応を支える、管理体制の基盤なのです。
まとめ｜J-SOXは「評価されるための制度」ではなく「説明できる会社になるための仕組み」
J-SOX対応を、監査法人や主幹事証券に言われたから行う作業として捉えてしまうと、どうしても形式的な文書化に流れてしまいます。
しかし、IPOを「会社を強くする過程」として捉えるなら、話は変わります。J-SOX対応は、会社の業務、会計、システム、ガバナンス、開示を結び直す、またとない機会になります。
- 評価範囲をどのように決めるか
- 全社統制が本当に機能しているか
- 業務プロセスのリスクと統制が対応しているか
- IT統制が財務報告を支えているか
- RCMが評価に使える水準になっているか
- 不備を発見し、改善し、再評価できるか
- 監査法人と会社主導で協議できるか
これらは、すべて経営判断の論点です。
IPO準備会社に求められているのは、「J-SOX対応をした会社」であることではありません。投資家、金融機関、役職員、株主、取引先に対して、自社の数字がどのような業務と統制によって支えられているのかを、自らの言葉で説明できる会社であることです。
J-SOXは、上場後の義務であると同時に、上場前から会社を資本市場に耐える経営体へと変えていくための、実務基盤なのです。
J-SOX対応・内部統制整備でお悩みの方へ
J-SOX対応は、単に3点セットを作成すれば完了するものではありません。
評価範囲の決定、全社統制、業務プロセス統制、IT統制、RCM、キーコントロール、不備評価、内部監査、監査法人対応を、IPO準備のスケジュールと整合させながら進めていく必要があります。
犬飼公認会計士・税理士事務所では、IPO準備を単なる上場審査対応とは捉えていません。会社を資本市場に耐える経営体へ整えていくプロセスとして捉え、月次決算、業務フロー、規程・職務分掌、IT統制、J-SOX、会計方針、税務、監査法人対応を横断して整理していきます。
自社のJ-SOX対応をどこから始めるべきか、3点セットの前に何を整えるべきか、評価範囲や不備改善をどう考えるべきか。こうした点を確認したい場合は、現在の業務フロー、システム構成、決算体制、内部監査体制をもとに、優先順位を整理していくことが大切です。
IPO準備・J-SOX対応・内部管理体制に関するご相談は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご連絡ください。
本記事の振り返り
| 論点 | 重要なポイント |
|---|---|
| J-SOXの本質 | 財務報告に重要な虚偽表示が生じないよう、経営者が内部統制を評価し説明する仕組み |
| 上場前対応の必要性 | 上場後に始めるのではなく、IPO準備段階から評価・運用できる体制を整える必要がある |
| 制度上の対象 | 金融商品取引法上の内部統制報告制度は、あくまで財務報告の信頼性を確保するための制度 |
| 2023年改訂の意義 | 報告の信頼性、不正リスク、IT・サイバーリスク、ガバナンス・リスク管理との関係が重視された |
| 評価範囲 | 売上高等の割合や3勘定を機械的に使うのではなく、財務報告への影響の重要性で判断する |
| 全社統制 | 取締役会、経営会議、会計方針、内部監査、リスク管理、グループ管理など個別統制の前提となる |
| 決算・財務報告プロセス | 会計上の見積り、手入力仕訳、連結、開示資料作成など、経営者判断が入りやすい重要領域 |
| 業務プロセス統制 | 販売、購買、在庫、固定資産、給与、経費、支払などを会計情報につなげる統制 |
| IT統制 | IT全般統制とIT業務処理統制を整理し、アクセス権限、変更管理、マスタ、データ連携を管理する |
| 3点セット | 業務記述書、フローチャート、RCMは評価のための準備資料であり、作成自体がゴールではない |
| RCM | 財務報告リスクと統制の対応関係を整理し、キーコントロールを選定する中心資料 |
| 不備評価 | 不備の原因、影響、重要性、改善策、再評価を整理し、期末時点の有効性を判断する |
| 監査法人との関係 | 監査法人に丸投げせず、会社主導で評価範囲・不備評価等を整理し、必要に応じて協議する |
| 経営上の意味 | J-SOX対応は、月次決算、開示、監査対応、投資家説明を支える経営インフラ整備である |
