J-SOX対応が毎年つらくなる会社には、いくつか共通する特徴があります。
評価開始のタイミングが遅い。評価範囲の見直しが前年踏襲になっている。3点セットの更新が期末近くまで放置されている。証跡依頼が現場に突然飛ぶ。監査法人との協議が後手に回る。不備は一覧化されているものの、翌期の改善計画には反映されない。
こうした状態が続くと、J-SOXは「毎年やってくる監査対応イベント」になってしまいます。
本来、J-SOX評価は、期末にまとめて資料を集める作業ではありません。財務報告リスクを把握し、統制が設計どおりに運用されているかを年度を通じて確認する。そして、発見された不備を是正し、翌期の統制設計や評価計画へ反映していく。そうした一連の改善サイクルこそが、J-SOX評価の本質です。
年間評価計画も、単なるカレンダーではありません。
どのリスクに対して、どの統制を、いつ、誰が、どの証跡で評価するのか。そして、監査法人・経営層・内部監査・現場にどのように説明するのか。これらを年度開始の時点から設計しておくための管理基盤が、年間評価計画です。
本稿では、J-SOX評価手続の全体像から不備の是正計画とフォローアップまでの各論点を踏まえ、J-SOXを場当たり的な評価対応で終わらせず、翌期への改善サイクルへ接続するための年間評価計画の考え方を整理します。
なお、本稿は2026年7月時点で公表されている金融庁の内部統制基準・実施基準、内部統制報告制度に関するQ&A等を前提とした一般的な解説です。個別会社の評価範囲、評価時期、不備判定、監査法人協議、開示判断については、会社の事業内容、組織体制、システム環境、子会社状況、過年度指摘事項等を踏まえて検討する必要があります。
J-SOXの年間評価計画は「評価日程表」ではない
年間評価計画というと、次のような表を思い浮かべる方が多いかもしれません。
4月に評価範囲を決める。6月に整備評価を行う。9月から運用評価を始める。12月に不備を集計する。3月に最終評価を行う。
もちろん、こうした日程管理は欠かせません。
ただ、日付を並べただけでは、J-SOX対応は安定しません。日程を組む前に、「評価の前提」そのものを設計しておくことが重要です。
具体的には、次のような問いに答えられる状態を目指します。
- 当年度の事業変化、組織変更、システム変更、M&A、子会社化は評価範囲に影響するか
- 前年度の不備や監査法人指摘は、当年度の重点評価領域に反映されているか
- RCM上のキーコントロールは、現在の業務実態と一致しているか
- 現場が残す証跡は、評価に耐える粒度になっているか
- 内部監査部門の評価リソースは、評価範囲・時期・サンプル数に見合っているか
- 監査法人と協議すべき論点は、期中に整理されているか
- 不備が発見された場合、期末日までに是正・再評価できるスケジュールになっているか
内部統制基準・実施基準では、モニタリングを、内部統制が有効に機能していることを継続的に評価するプロセスと位置づけ、日常的モニタリングと独立的評価を組み合わせる考え方が示されています。J-SOXの年間評価計画は、この「継続的な評価」を会社の年間業務へ落とし込む作業にほかなりません。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
場当たり的なJ-SOX対応が起こる理由
J-SOX対応が毎年場当たり的になってしまう会社では、評価手続そのものに問題があるというより、その前段階が整っていないことが多いように感じます。
代表的な原因は、次のとおりです。
| 原因 | 実務上の症状 |
|---|---|
| 評価範囲の見直しが遅い | 新規事業、子会社化、システム変更が評価計画に反映されない |
| 文書更新の責任者が曖昧 | 3点セットが前年版のまま評価に使われる |
| 現場への証跡依頼が遅い | 評価直前に資料収集が集中し、現場負荷が増える |
| 監査法人協議が後手 | 期末近くに評価範囲、キーコントロール、不備判定で手戻りが生じる |
| 不備フォローが単年度で途切れる | 翌期に同じ指摘が再発する |
| IT統制の変更情報が経理に届かない | システム改修、権限変更、クラウド移行が評価漏れになる |
| 子会社管理が親会社主導で回っていない | 子会社の証跡・決算・IT統制の状況が期末まで把握できない |
この状態のまま評価作業を始めると、内部監査部門やJ-SOX担当者は「調書を埋める」ことに追われてしまいます。
本来であれば、財務報告リスクに対して統制が有効かどうかを評価すべき場面です。ところが実務では、「証跡があるか」「前年と同じか」「監査法人から追加依頼が来ていないか」といった確認に終始してしまいがちです。
年間評価計画の目的は、まさにこの状態を避けることにあります。
年間評価計画で管理すべき7つの軸
J-SOXの年間評価計画は、少なくとも次の7つの軸で設計します。
| 管理軸 | 内容 | 目的 |
|---|---|---|
| 1. 評価範囲 | 重要な事業拠点、勘定科目、業務プロセス、IT統制、決算・開示プロセス | 評価漏れ・過剰評価を防ぐ |
| 2. 文書更新 | 業務記述書、フローチャート、RCM、規程、マニュアル | 業務実態と評価資料を一致させる |
| 3. 整備評価 | 統制目的、統制活動、実施者、頻度、証跡、職務分掌 | 設計上の有効性を確認する |
| 4. 運用評価 | サンプリング、母集団、証跡、例外処理、再実施 | 継続運用の有効性を確認する |
| 5. 不備管理 | 不備判定、原因分析、是正策、再評価、残課題 | 同じ不備の再発を防ぐ |
| 6. 関係者調整 | 経理、現場、IT、内部監査、子会社、監査法人、監査役等 | 評価対応を部門横断で進める |
| 7. 翌期改善 | 評価結果、監査法人指摘、事業変化、残課題の反映 | J-SOXを改善サイクルにする |
この7つを分けて管理しなければ、評価計画は単なる年間スケジュールに戻ってしまいます。
とりわけ重要なのは、評価範囲・文書更新・不備管理・翌期改善の接続です。
前年と同じ評価範囲で、前年と同じRCMを使い、前年と同じ証跡を集め、前年と同じ指摘を受ける。これでは、J-SOXは会社の改善に寄与しません。
年度開始前後に行うべきこと
J-SOXの年間評価計画は、事業年度が始まってから慌てて作るものではありません。
理想を言えば、前年度の評価結果が固まり、内部統制報告書の提出準備が進む段階で、すでに翌期の論点整理を始めておきたいところです。
年度開始前後に行うべき主な作業は、次のとおりです。
| 時期 | 実施事項 | 確認すべきポイント |
|---|---|---|
| 前年度末から報告書提出前 | 前年度不備・監査法人指摘の整理 | 翌期に継続確認すべき不備は何か |
| 年度開始直後 | 事業計画・組織変更・システム変更の確認 | 評価範囲に影響する変化はあるか |
| 第1四半期前半 | 評価範囲案の作成 | 重要な事業拠点、重要勘定、プロセス選定は妥当か |
| 第1四半期中 | 監査法人との初期協議 | 評価範囲、キーコントロール、IT統制、前年不備の扱い |
| 第1四半期中 | 文書更新方針の決定 | 3点セット、RCM、規程、マニュアルの更新責任者 |
| 第1四半期中 | 年間評価計画の確定 | 評価時期、評価者、レビュー者、現場依頼時期 |
年度開始の時点で問うべきは、「今年も前年どおりでよいか」ではありません。「前年どおりでよいと説明できるか」です。
内部統制報告制度は、会社の状況に応じた評価範囲の決定を求めています。2023年の改訂では、評価範囲の決定に関して、重要な事業拠点の選定に用いた指標や一定割合等について、その判断事由を含めて記載することが適切とされました。
出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について
したがって、年間評価計画の起点となるのは、前年資料のコピーではなく、当年度のリスク変化の確認です。
年間スケジュールの考え方
具体的な日程は、会社の決算期、評価体制、監査法人の監査計画、子会社数、IT環境によって変わります。そのうえで、一般的には次のような流れで設計していきます。
| 時期 | 主な作業 | 実務上の狙い |
|---|---|---|
| 4月〜5月 | 前年度評価結果の振り返り、翌期論点整理 | 同じ不備を繰り返さない前提を作る |
| 5月〜6月 | 評価範囲案、リスク変化、重要拠点・重要勘定の確認 | 評価範囲を前例踏襲にしない |
| 6月〜7月 | 監査法人との初期協議、年間計画確定 | 手戻りの大きい論点を早期に合わせる |
| 7月〜9月 | 3点セット・RCM更新、整備評価 | 業務実態と統制設計のズレを早期発見する |
| 9月〜12月 | 運用評価の開始、サンプルテスト、例外確認 | 期末前に不備を把握し、是正期間を確保する |
| 12月〜1月 | 不備判定、是正計画、追加評価 | 期末日までに是正・再評価できるか判断する |
| 1月〜3月 | 期末評価、決算・開示統制評価、IT統制最終確認 | 財務報告の最終成果物に直結する統制を確認する |
| 4月〜6月 | 評価結果の取りまとめ、内部統制報告書、翌期改善計画 | 評価結果を次年度計画へ接続する |
この表は「標準カレンダー」ではありません。
大切なのは、評価の性質に応じて時期を分けるという発想です。
日次・月次の統制は、期中から評価できます。四半期決算統制は、四半期ごとの実績を見ながら評価します。一方、年次決算統制、開示統制、会計上の見積り、減損、税効果、引当金、後発事象、関連当事者などは、期末処理に近いタイミングでなければ評価できない部分が残ります。
とはいえ、年次統制だからといって、期末まで何もしなくてよいわけではありません。統制設計、証跡様式、レビュー観点、責任者、監査法人協議は、いずれも期中に準備できます。
評価時期は「統制頻度」と「是正可能性」で決める
評価時期を決めるうえでは、特に次の2点が重要になります。
1つ目は、統制の頻度です。
日次、週次、月次、四半期、年次、都度実施では、評価できるタイミングも、必要なサンプルの考え方も異なります。
2つ目は、不備が見つかったときに是正できる時間が残っているかどうかです。
期末直前に運用評価を行い、そこで重要な不備が見つかった場合、期末日までに是正し、改善後の運用実績まで確認することは難しくなります。
| 統制頻度 | 評価時期の考え方 | 注意点 |
|---|---|---|
| 日次・週次 | 期中に複数回評価しやすい | 母集団の完全性、例外処理を確認する |
| 月次 | 第2四半期以降に評価開始しやすい | 月次決算の遅延が証跡遅延に直結する |
| 四半期 | 各四半期後に評価する | 期末前に不備を把握するには第2・第3四半期の活用が重要 |
| 年次 | 期末前に設計評価、期末後に運用評価 | 事前準備をしないと再評価機会が限られる |
| 都度 | 対象取引発生時に証跡確保が必要 | 母集団管理と発生漏れの把握が重要 |
評価時期は、監査法人の都合だけで決まるものではありません。
不備が見つかった場合に、会社が自ら是正し、再評価し、説明できる時間を確保する。そのために決めるものです。
関係者依頼は「資料提出依頼」ではなく「統制目的の共有」から始める
J-SOX対応では、現場部門への依頼が遅れると、評価全体が不安定になります。
現場から見ると、J-SOX担当者から突然「この承認証跡を出してください」「このチェックリストを提出してください」と依頼が届くことがあります。しかし、現場が統制目的を理解していなければ、証跡の品質は上がりません。
証跡を提出すること自体が目的になると、現場は「何を確認したか」ではなく「何かを出すこと」を優先してしまいます。
そこで年間評価計画では、現場依頼を次の3段階で設計します。
| 段階 | 内容 | 目的 |
|---|---|---|
| 事前説明 | 評価対象統制、財務報告リスク、必要証跡を説明する | なぜその統制が必要かを共有する |
| 期中確認 | 証跡の残し方、例外処理、保存場所を確認する | 評価時点で証跡不足になることを防ぐ |
| 評価依頼 | 対象期間、母集団、サンプル、提出期限を依頼する | 評価手続を効率的に進める |
とりわけ、営業、購買、在庫、人事、IT、子会社など、経理部門以外が統制実施者となる領域では、早い段階での説明が欠かせません。
J-SOXは経理部門だけの制度対応ではありません。財務報告に影響する業務を行う部門全体の運用が、評価の対象になります。
文書更新は、年度途中の変更管理として扱う
3点セットやRCMは、初年度に作って終わりではありません。
業務フロー、システム、組織、権限、承認ルール、外部委託先、子会社体制が変われば、文書も更新する必要があります。
年間評価計画では、文書更新を「評価前の準備作業」ではなく、「変更管理」として位置づけるべきです。
| 変更トリガー | 文書更新で確認すべきこと |
|---|---|
| 組織変更 | 実施者、承認者、レビュー者、職務分掌が変わっていないか |
| システム変更 | 自動処理、ワークフロー、権限、ログ、帳票出力が変わっていないか |
| 業務フロー変更 | 業務開始点、承認点、入力、照合、例外処理が変わっていないか |
| 規程改定 | RCM上の統制活動と規程が整合しているか |
| 子会社追加・再編 | 親会社統制、連結パッケージ、子会社証跡が変わっていないか |
| 外部委託・クラウド利用 | 責任分界、委託先管理、サービスレポート、障害対応が変わっていないか |
| 重要取引の発生 | 非定型取引、見積り、関連当事者、契約条件のレビューが必要か |
文書更新が遅れると、整備評価の段階で「文書上は統制があるが、実務では違う」という状態が生じます。
これは、単なる記載漏れではありません。評価対象としている統制が、実際には設計どおり存在していない可能性があるため、整備上の不備につながります。
監査法人協議は、年1回では足りない
監査法人とのJ-SOX協議は、期末近くにまとめて行うものではありません。
年間評価計画の中に、協議すべきタイミングをあらかじめ組み込んでおく必要があります。
| 協議時期 | 協議論点 |
|---|---|
| 年度開始後 | 評価範囲、重要拠点、重要勘定、前年度不備の扱い |
| 整備評価前 | キーコントロール、RCM更新、文書化方針 |
| 運用評価前 | サンプリング方針、母集団、評価時期、証跡粒度 |
| 不備発見時 | 不備判定、影響範囲、補完統制、是正方針 |
| 期末前 | 是正状況、再評価、残課題、内部統制報告書への影響 |
| 報告書提出前 | 評価結果、付記事項・特記事項、翌期改善論点 |
内部統制報告制度に関するQ&Aでは、経営者の評価がすべて完了していない場合であっても、監査人が内部統制の整備状況および運用状況の有効性の検証を行うことは可能とされています。会社側にとっても、評価が完了してから監査法人に見せるのではなく、評価計画・評価範囲・再評価方針を期中から共有しておくことが、手戻りの防止につながります。
出典：金融庁｜内部統制報告制度に関するQ&A
監査法人との協議記録は、単なる議事メモではありません。
なぜその評価範囲にしたのか。なぜその統制をキーコントロールとしたのか。なぜその不備をその重要性で判定したのか。会社が判断過程を説明するための、大切な証跡です。
不備フォローは、年間計画の中核に置く
年間評価計画において最も重要なのは、不備フォローです。
不備は、評価の最後に集計するものではありません。発見された時点で、原因、影響、是正、再評価、残課題を管理していく必要があります。
なかでも前年度不備は、翌期計画の起点になります。
| 前年度不備の状態 | 翌期計画への反映 |
|---|---|
| 期末日までに是正済み | 翌期に定着確認を行う |
| 期末日後に是正 | 翌期の早い時期に運用評価を行う |
| 恒久対応未了 | 翌期改善ロードマップに組み込む |
| 子会社展開未了 | 子会社別の対応期限を設定する |
| IT改修未了 | 暫定統制と恒久改修を分けて管理する |
| 監査法人と見解未一致 | 年度開始時に再協議する |
不備を翌期に引き継がない会社では、同じ指摘が何度も繰り返されます。
たとえば、前年度に月次決算レビューの証跡不足を指摘されていながら、翌期も評価時期になるまで現場へ説明していなければ、同じ不備が再発します。
前年度にIT権限レビューの未実施を指摘されていながら、翌期のIT部門の年間業務に権限棚卸が組み込まれていなければ、やはり未実施のまま期末を迎えることになります。
不備フォローとは、是正計画表を閉じることではありません。翌期の業務計画、評価計画、教育計画、監査計画へ反映することです。
翌期改善サイクルは「評価結果の棚卸」から始める
J-SOX評価が終わった後、すぐに翌期改善へつなげられる会社は強いと感じます。
反対に、内部統制報告書を提出した時点で担当者がいったん燃え尽き、翌期の評価開始まで何も動かない会社では、改善サイクルが途切れてしまいます。
評価終了後には、少なくとも次の棚卸を行っておきたいところです。
| 棚卸対象 | 確認する内容 |
|---|---|
| 評価範囲 | 当年度の範囲は妥当だったか、翌期に見直すべき拠点・プロセスはあるか |
| 統制設計 | キーコントロールはリスクに効いていたか、過剰・不足はないか |
| 証跡 | 評価に耐える証跡が残っていたか、保存場所・形式は適切か |
| 評価手続 | 評価時期、サンプル、調書品質、レビュー体制に問題はなかったか |
| 不備 | 原因分析、是正、再評価、残課題は適切に管理されたか |
| 監査法人対応 | 手戻りが生じた論点は何か、協議時期は適切だったか |
| 現場負荷 | 現場依頼が遅すぎなかったか、依頼内容は明確だったか |
| IT統制 | システム変更、権限、ログ、外部委託先管理に評価漏れはなかったか |
| 子会社 | 子会社の証跡、レビュー、教育、報告ラインは十分だったか |
| 決算・開示 | 決算遅延、開示基礎資料、監査対応の手戻りに統制上の原因はなかったか |
この棚卸結果を、翌期の年間評価計画へ反映していきます。
ここまで行って初めて、J-SOX評価は「年次作業」から「改善サイクル」へと変わります。
決算・開示スケジュールとJ-SOX評価を分断しない
J-SOX評価は、決算・開示スケジュールと切り離して設計できません。
決算・開示に関わる統制は、財務報告の最終成果物に直結するからです。
決算早期化の実務では、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して業務を組み立てる「森を見る視点」が欠かせません。J-SOX評価でも、考え方は同じです。単体決算統制、連結パッケージ統制、開示基礎資料レビュー、会計上の見積りレビュー、監査法人対応を別々に管理していると、手待ち、手戻り、重複が生じます。
J-SOX評価計画では、次のように決算・開示スケジュールと接続していきます。
| 決算・開示業務 | J-SOX評価上の接続 |
|---|---|
| 月次決算 | 月次レビュー統制、残高分析、リードシート、差異分析の証跡 |
| 四半期決算 | 四半期決算レビュー、連結パッケージ、開示チェック |
| 年次決算 | 会計上の見積り、税効果、減損、引当金、後発事象 |
| 決算短信 | 開示基礎資料、承認、レビュー、数値整合性 |
| 有価証券報告書 | 注記、非財務情報、内部統制報告書、監査法人対応 |
| 監査対応 | 監査資料、質問対応、修正仕訳、未了事項管理 |
月次決算は、年度の途中で業績や財政状態を把握するための仕組みです。正確な月次決算を積み重ねることは、年次決算の精度向上にもつながります。J-SOX評価もこれと同じで、期末に突然行うのではなく、月次・四半期のレビュー統制や証跡管理へ組み込むことで、決算・開示の品質とスピードを支える仕組みになります。
IT統制は、年間計画に組み込まなければ評価漏れが起きる
IT統制は、J-SOXの年間計画で後回しにされやすい領域です。
しかし、財務報告に関連するシステムが多い会社では、IT統制の計画遅延が評価全体に波及します。
特に注意したいのは、次のような変更です。
- 会計システムの入替え
- 販売管理・購買管理・在庫管理システムの改修
- ワークフローシステムの導入
- 経費精算システムの変更
- クラウドサービスへの移行
- 外部委託先の変更
- 権限ロールの見直し
- マスタ管理方法の変更
- データ連携方法の変更
- ログ保存期間や出力方法の変更
IT統制については、2023年改訂後の実務においても、IT環境の変化を踏まえた評価頻度や評価方法が重要な論点となっています。特定の年数を機械的に当てはめるのではなく、IT環境の変化、財務報告への影響、監査人との協議を踏まえて判断していく必要があります。
出典：金融庁｜内部統制報告制度に関するQ&A
年間評価計画には、IT部門との定例確認を組み込んでおくべきです。
たとえば、四半期ごとにシステム変更一覧、権限変更、障害、外部委託先変更、クラウドサービスの契約・サービスレポートを確認する仕組みを設けておく、といった方法が考えられます。
IT統制を情報システム部門任せにしてしまうと、経理・内部監査が評価開始の時点で初めて変更を知る、という事態になりかねません。
子会社管理は、親会社の年間評価計画に組み込む
子会社のJ-SOX対応は、親会社の期末評価時に慌てて資料を集めるものではありません。
子会社が評価対象に含まれる場合、親会社は、子会社の決算・業務プロセス・IT・証跡・不備状況を年間を通じて把握しておく必要があります。
とりわけ、連結パッケージ、内部取引、会計方針、重要勘定、IT環境、現地規程、承認証跡については、親会社側のレビュー時期を明確にしておきたいところです。
| 子会社管理の論点 | 年間計画で決めること |
|---|---|
| 評価対象子会社 | 重要性、リスク、事業変化を踏まえて選定する |
| 子会社側責任者 | 経理責任者、業務責任者、IT責任者を明確にする |
| 親会社レビュー | 四半期ごとのレビュー、証跡確認、差戻し手順 |
| 文書更新 | 子会社業務フロー、RCM、連結パッケージ手順 |
| 教育 | 子会社担当者への統制目的・証跡ルールの説明 |
| 不備報告 | 子会社不備の報告期限、是正期限、親会社承認 |
| 監査法人対応 | 構成単位監査人、親会社監査人との情報共有 |
子会社管理が弱い会社では、親会社が「子会社から提出された数字」を受け取るだけになりがちです。
しかし、J-SOX上は、親会社が連結財務報告の信頼性を説明しなければなりません。子会社の数字がどのような統制のもとで作成され、どの証跡で裏付けられ、誰がレビューしたのか。これらを把握できていなければ、親会社としての説明責任を果たしているとはいえません。
内部監査部門の年間計画とJ-SOX評価を接続する
J-SOX評価を内部監査部門が担う会社では、内部監査計画とJ-SOX年間評価計画を分断してはいけません。
内部監査部門には、独立的評価を行うという役割があります。ただし、評価作業に追われるばかりでは、リスクベースの内部監査や改善フォローに十分な時間を割けなくなります。
内部監査部門の年間計画では、次のようなバランスを考える必要があります。
| 領域 | 検討事項 |
|---|---|
| J-SOX評価 | 評価範囲、評価時期、評価者、レビュー体制 |
| 業務監査 | J-SOX対象外でもリスクの高い業務領域 |
| 不備フォロー | 前年度不備、監査法人指摘、是正状況 |
| 子会社監査 | 子会社往査、リモートレビュー、教育 |
| IT監査 | 権限、変更管理、外部委託、セキュリティ |
| 経営層報告 | 重要不備、残課題、改善ロードマップ |
| 監査役等連携 | 監査計画、発見事項、是正状況の共有 |
内部監査の実務では、リスクベースの年次監査計画、経営者・取締役会への報告、監査資源の管理、他のアシュアランス提供者との連携が重要になります。J-SOX評価も、この内部監査の年間運営の中に位置づけることで、評価作業と改善活動を接続できます。
経営層・監査役等への報告時期を計画に入れる
J-SOXの年間評価計画では、経営層・監査役等への報告時期もあらかじめ設定しておくべきです。
重要な不備が発見されたときだけ報告するのでは、どうしても遅すぎます。
少なくとも、次のタイミングでの報告が考えられます。
| 報告時期 | 報告内容 |
|---|---|
| 年度開始後 | 年間評価計画、評価範囲、重点評価領域 |
| 整備評価後 | 設計上の不備、文書更新状況、残課題 |
| 運用評価中 | 例外・逸脱、不備候補、是正状況 |
| 期末前 | 重要不備リスク、是正完了見込み、監査法人協議状況 |
| 報告書提出前 | 評価結果、内部統制報告書への影響、翌期課題 |
| 翌期開始時 | 前年度不備の定着確認、改善ロードマップ |
内部統制監査において、監査人が開示すべき重要な不備を発見した場合には、経営者に報告して是正を求めるとともに、その不備の内容および是正結果を取締役会および監査役等へ報告することが求められています。会社側としても、経営層・監査役等への報告を年間計画に組み込み、重要論点が期末になって初めて共有される状態は避けたいところです。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
経営層報告の目的は、単なる承認の取得ではありません。
人員、システム、子会社支援、外部専門家の活用、決算スケジュール、業務標準化など、経営判断を伴う課題を早期に共有することにあります。
年間評価計画に含めるべき成果物
年間評価計画を実務で運用していくには、成果物を明確にしておく必要があります。
代表的なものは、次のとおりです。
| 成果物 | 役割 |
|---|---|
| 年間評価計画書 | 評価範囲、評価時期、体制、主要論点を示す |
| 評価範囲メモ | 評価対象・除外理由・変更点・判断根拠を整理する |
| 評価スケジュール | 整備評価、運用評価、監査法人協議、報告時期を管理する |
| 文書更新一覧 | 3点セット、RCM、規程、マニュアルの更新状況を管理する |
| 現場依頼一覧 | 部門別の証跡依頼、提出期限、担当者を管理する |
| IT変更確認表 | システム変更、権限変更、外部委託先変更を管理する |
| 子会社評価管理表 | 子会社別の評価範囲、証跡、提出状況、不備を管理する |
| 不備管理表 | 不備内容、重要性、原因、是正、再評価、残課題を管理する |
| 監査法人協議記録 | 協議論点、合意事項、未決事項を残す |
| 経営層・監査役等報告資料 | 評価状況、不備、是正、翌期課題を報告する |
| 翌期改善計画 | 前年度結果を翌期の評価・改善へ引き継ぐ |
これらは、形式的に資料を増やすためのものではありません。
関係者が同じ前提で評価状況を把握し、期末を迎える前に必要な判断を行うための資料です。
年間評価計画で避けるべき落とし穴
年間評価計画を作っていても、実務では機能しないことがあります。
注意すべき落とし穴を整理しておきます。
前年スケジュールのコピーになっている
事業、組織、システム、子会社、そして監査法人の関心は、毎年変わります。
前年と同じスケジュールを使うこと自体が悪いわけではありません。ただし、「なぜ今年も同じでよいのか」を確認しないままでは、単なる前例踏襲になってしまいます。
文書更新と評価手続が分断されている
3点セットやRCMが更新されないまま評価を開始すると、評価対象の統制と実際の業務がずれていきます。
評価前に文書更新を終えるだけでなく、変更があった都度、文書更新の要否を判断する仕組みが必要です。
現場への依頼が評価直前になる
証跡は、後から作るものではありません。
評価直前に現場へ依頼しても、承認時の確認内容、例外判断、差異分析、レビューコメントが残っていないことがあります。
IT統制が後回しになる
IT統制の評価には、システム台帳、権限一覧、変更管理記録、障害記録、ログ、外部委託先資料などが必要です。
これらは経理部門だけでは揃いません。IT部門との年間を通じた連携が欠かせません。
不備管理が評価終了後の作業になっている
不備は、発見した時点で管理すべきものです。
期末近くにまとめて不備集計を行うと、是正・再評価が間に合わなくなります。
監査法人との協議が「資料提出後」になっている
評価範囲、キーコントロール、サンプリング、不備判定は、早い段階で協議すべき論点です。
資料を作り終えてから見解が合わないとなると、手戻りは大きくなります。
翌期改善が担当者の記憶に依存している
前年度の反省が正式な翌期計画に反映されていなければ、担当者の異動や繁忙期のなかで忘れられてしまいます。
改善事項は、必ず管理表、年間計画、内部監査計画へ落とし込む必要があります。
成熟度別に見る年間評価計画の整え方
会社の成熟度によっては、最初から完璧な年間評価計画を作る必要はありません。
大切なのは、自社の現状に応じて優先順位をつけることです。
| 成熟度 | 状態 | 優先すべき改善 |
|---|---|---|
| レベル1：場当たり対応 | 評価時期が遅く、資料収集が都度対応 | 年間スケジュール、不備一覧、現場依頼一覧を整備 |
| レベル2：基本運用 | 評価計画はあるが、前年踏襲が多い | 評価範囲見直し、文書更新、監査法人協議を前倒し |
| レベル3：統制運用 | 期中評価と不備フォローが回っている | IT・子会社・決算開示との接続を強化 |
| レベル4：改善サイクル | 評価結果が翌期計画に反映される | 経営層報告、内部監査高度化、業務標準化へ接続 |
| レベル5：経営管理接続 | J-SOXが決算早期化・開示品質・権限移譲に活きている | 事業変化・再編・上場準備にも耐える管理基盤へ拡張 |
多くの会社では、いきなりレベル5を目指すよりも、まずはレベル1から2へ、あるいはレベル2から3へ進むほうが現実的です。
なかでも、評価時期の前倒し、文書更新責任者の明確化、監査法人協議の定例化、不備フォローの翌期引継ぎは、比較的早く効果が表れやすい改善だと感じています。
J-SOXを翌期改善につなげる会社の特徴
J-SOX対応が安定している会社は、評価作業が軽い会社ではありません。
評価計画が早く、関係者の役割が明確で、不備が早期に見つかり、是正が翌期に引き継がれる。そうした会社です。
具体的には、次のような特徴があります。
- 年度開始時点で評価範囲と重点論点が整理されている
- 前年度不備が翌期評価計画に反映されている
- 3点セット・RCMの更新責任者が決まっている
- IT部門・子会社・現場部門への依頼時期が明確である
- 監査法人との協議論点が期中に整理されている
- 不備発見時に、原因分析・是正・再評価がすぐ始まる
- 経営層・監査役等への報告が期末直前に集中しない
- 決算・開示スケジュールとJ-SOX評価が接続している
- 翌期改善計画が正式な管理資料として残っている
- J-SOX対応が業務標準化、決算早期化、子会社管理に活かされている
反対に、J-SOX対応が毎年重くなる会社では、評価作業だけを見直そうとしがちです。
しかし、本当に見直すべきなのは、年間計画、関係者連携、文書更新、証跡設計、不備フォロー、翌期改善という仕組みそのものです。
まとめ｜年間評価計画は、J-SOXを「毎年の作業」から「改善サイクル」に変える
J-SOXの年間評価計画は、単なるスケジュール表ではありません。
評価範囲、文書更新、整備評価、運用評価、不備管理、監査法人協議、経営層報告、翌期改善を、年度を通じて接続するための設計図です。
場当たり的なJ-SOX対応では、毎年同じ手戻りが起こります。現場は証跡依頼に追われ、内部監査は調書作成に追われ、経理は監査法人対応に追われる。そして経営層は、期末近くになって初めて重要論点を知ることになります。
一方、年間評価計画が機能している会社では、J-SOX対応は期中から着実に進みます。
評価範囲の見直し、3点セットの更新、現場説明、IT変更確認、子会社フォロー、監査法人協議、不備是正、翌期改善。これらが一つの流れとしてつながっていきます。
J-SOXは、一度整えれば終わりという制度対応ではありません。
事業が変わり、組織が変わり、システムが変わり、子会社が増え、決算・開示の要求水準が高まるほど、内部統制も更新し続ける必要があります。
年間評価計画と翌期改善サイクルを整えること。それは、J-SOXを守りの監査対応から、会社の説明力・判断力・改善力を高める経営基盤へと変えていくための実務です。
J-SOXの年間評価計画・継続運用でお悩みの方へ
J-SOX対応が毎年場当たり的になっている場合、評価手続そのものだけでなく、年間計画、文書更新、関係者依頼、監査法人協議、不備フォロー、翌期改善のつなぎ目に問題が潜んでいることが少なくありません。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる評価調書の作成やチェックリストの消化ではなく、会社が自らの統制状況と改善方針を説明できる状態に整えるための支援と位置づけています。
評価範囲の見直しが前年踏襲になっている。3点セットの更新が追いついていない。現場への証跡依頼が毎年混乱する。IT統制や子会社管理の評価時期が後手に回る。監査法人との協議で手戻りが多い。不備を翌期改善に活かせていない。
このような課題をお持ちの場合は、現在の評価計画、RCM、3点セット、不備一覧、監査法人コメント、決算・開示スケジュールをもとに、どこから整えるべきかを整理することが有効です。
お問い合わせページより、現在のJ-SOX対応状況とご相談内容をお知らせください。単年度の評価対応にとどめず、翌期以降も継続運用できる年間評価計画と改善サイクルの設計からご支援いたします。
振り返り｜年間評価計画と翌期改善サイクルの重要ポイント
| 論点 | 確認すべきこと | 実務上の注意点 |
|---|---|---|
| 年間評価計画の目的 | 評価範囲、文書更新、評価、不備、翌期改善を接続する | 日程表だけで終わらせない |
| 評価範囲 | 事業変化、組織変更、システム変更、子会社化を反映する | 前年踏襲にしない |
| 評価時期 | 統制頻度と是正可能性を踏まえて決める | 期末直前に不備が出ると是正が難しい |
| 文書更新 | 3点セット、RCM、規程、マニュアルを更新する | 業務実態と文書のズレを放置しない |
| 現場依頼 | 統制目的、必要証跡、提出時期を早めに共有する | 資料提出依頼だけでは証跡品質が上がらない |
| IT統制 | システム変更、権限、ログ、外部委託を年間で確認する | IT部門任せにしない |
| 子会社管理 | 子会社の決算・業務・IT・証跡を親会社が把握する | 期末の資料回収だけでは不十分 |
| 監査法人協議 | 評価範囲、キーコントロール、不備判定を期中に協議する | 評価完了後の協議は手戻りが大きい |
| 不備フォロー | 原因、是正、再評価、残課題を管理する | 不備一覧を作るだけで終わらせない |
| 翌期改善 | 前年度不備・指摘・残課題を翌期計画に反映する | 担当者の記憶に依存しない |
| 経営層報告 | 重要論点、リソース、残課題を定期報告する | 期末直前に初めて報告しない |
| 内部監査連携 | J-SOX評価と内部監査計画を接続する | 評価作業だけで内部監査機能を消耗させない |
| 決算・開示接続 | 月次、四半期、年次、開示統制と評価計画を合わせる | J-SOXを決算・開示から切り離さない |
| 継続運用 | 事業・組織・ITの変化に応じて毎年更新する | 初年度整備で終わらせない |
| 経営管理への接続 | 決算早期化、開示品質、業務標準化に活かす | 監査対応だけのJ-SOXにしない |
