J-SOX対応と聞くと、多くの方がまず「3点セットを作らなければならない」と考えます。
業務記述書を作る。フローチャートを作る。RCMを作る。既存のひな形を探し、前年度の資料を更新し、監査法人から求められた資料をそろえていく。
文書化がJ-SOX対応において重要であることは間違いありません。ただ、文書化そのものが目的になってしまうと、内部統制はかえって形骸化していきます。
本来、J-SOXの文書化は、会社の業務をきれいに見せるための資料作成ではありません。
- どの業務に、どのような財務報告リスクがあるのか
- そのリスクに対して、どの統制が効いているのか
- 誰が、いつ、何を確認し、どの証跡が残っているのか
- その統制は、現場で継続して運用できるのか
- 監査法人、内部監査、経営層、現場に対して説明できるのか
これらを整理するための共通言語こそが、J-SOXにおける文書化です。
J-SOX文書化は「作ること」ではなく「説明できる状態にすること」
J-SOXは、金融商品取引法上の内部統制報告制度として、財務報告に係る内部統制の有効性を経営者が評価し、監査人が監査する枠組みです。
2023年4月に公表された改訂内部統制基準・実施基準では、内部統制の目的の一つである「財務報告の信頼性」が、より広い概念である「報告の信頼性」に見直されました。
ただし、金融商品取引法上の内部統制報告制度は、あくまで「財務報告の信頼性」の確保を目的とする制度であることも、あわせて強調されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
また、2023年8月には、この改訂を踏まえて「内部統制報告制度に関するQ&A」および「内部統制報告制度に関する事例集」も改訂されています。
出典：金融庁｜「内部統制報告制度に関するＱ＆Ａ」等の改訂について
こうした流れを踏まえると、J-SOX文書化に求められているものは、単なる資料の存在ではないことがわかります。
重要なのは、財務報告に係る内部統制について、経営者が自社の業務を理解し、リスクを識別し、統制の有効性を判断したうえで、その判断過程を後から説明できる状態にしておくことです。
内部統制は、業務から独立して別に存在するものではありません。内部統制基準においても、内部統制は業務に組み込まれ、組織内の全ての者によって遂行されるプロセスとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
したがってJ-SOX文書化は、実際の業務から切り離された「提出資料」ではなく、業務の中に存在するリスクと統制を見える化する作業だと捉えるべきです。
3点セットとは何か
J-SOX実務でいう「3点セット」とは、一般に次の3つを指します。
| 文書 | 主な役割 |
|---|---|
| 業務記述書 | 業務の流れを文章で説明する |
| フローチャート | 業務の流れ、部門間連携、承認点、証跡、システム処理を図で示す |
| RCM | 財務報告リスクと対応する統制を結びつける |
ただし、3点セットという言葉だけが独り歩きすると、「3種類の資料を作ればよい」という誤解が生まれます。
3点セットは、それぞれが独立した資料ではありません。
業務記述書で、取引の発生から会計処理・報告までの流れを理解する。フローチャートで、業務の流れ、責任分担、承認点、システム処理、証跡の所在を可視化する。そしてRCMで、財務報告リスクと統制活動を対応づける。
このように、3つは一体となって初めて機能します。
実務の感覚としても、業務記述書は取引の発生から会計情報として処理されるまでの一連の流れを把握するための文書であり、RCMは業務記述書やフローチャートで把握したリスクとコントロールを、財務報告リスクの観点から整理し直す文書として位置づけられます。
3点セットは法定様式ではなく、説明のための実務ツール
J-SOX対応の現場では3点セットが当然のように語られますが、重要なのは「3点セットという名称」ではありません。何を説明するために文書化するのか、という点です。
内部統制実施基準では、評価対象となる業務プロセスについて、取引の開始、承認、記録、処理、報告を含めて取引の流れを把握し、会計処理の過程を理解することが求められています。その概要は、必要に応じて図や表を活用して整理・記録することが有用とされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
つまり3点セットは、必ずこの様式でなければならないという性質のものではありません。
会社がすでに作成している業務手順書、規程、マニュアル、システム仕様書、チェックリスト、決算資料、承認記録などがあるのであれば、それらを活用し、必要な補足を加えるという進め方も考えられます。
ただし、「既存資料があるから十分」とは限りません。
既存の規程やマニュアルは、会社としてのルールを示していても、財務報告リスクに対してどの統制が効いているのかまでは直接示していないことがあります。業務手順書も、現場の作業には役立っていても、監査法人や内部監査が評価する際に必要な統制目的、実施者、頻度、証跡、評価方法までは整理されていないことが少なくありません。
その意味で3点セットは、既存資料をJ-SOXの視点で読み替えるための整理表でもあります。
業務記述書の役割｜業務の流れを「会計処理まで」説明する
業務記述書は、業務の流れを文章で説明する文書です。
ここで大切なのは、単に現場作業を時系列に並べることではありません。
J-SOX文書化における業務記述書では、取引がどのように始まり、誰が承認し、どのシステムや帳票を使い、どのタイミングで会計データになり、最終的に財務報告へ反映されるのかまでを追う必要があります。
たとえば販売プロセスであれば、受注、与信、出荷、検収、売上計上、請求、入金消込、債権管理といった流れの中で、どの時点に財務報告リスクがあるのかを確認します。購買プロセスであれば、取引先選定、発注、検収、請求書照合、仕入計上、支払承認、債務管理といった流れを確認していきます。
業務記述書が弱い会社では、次のような問題が起こりやすくなります。
- 現場担当者に聞かなければ業務の実態がわからない
- 業務フローと実際の運用がずれている
- 会計処理に至るまでの責任分担が曖昧
- 例外処理や手作業処理が記載されていない
- 担当者が変わると統制の実施方法も変わる
- 監査法人からの質問に、都度、現場確認が必要になる
業務記述書は、きれいな文章に仕上げること以上に、取引の流れと会計処理の接点を正確に押さえることが重要です。
フローチャートの役割｜業務の流れと統制点を見える化する
フローチャートは、業務の流れを図で示す文書です。
業務記述書が「文章で説明するもの」だとすれば、フローチャートは「業務の流れ、責任分担、統制点をひと目で把握するもの」といえます。
フローチャートで見えるようにすべきなのは、単なる作業順序ではありません。
どの部門からどの部門へ情報が流れるのか。どの時点で承認や照合が行われるのか。どこでシステム処理が介在するのか。どの帳票や電子証跡が残るのか。どこに手作業や例外処理があるのか。こうした点こそが重要になります。
業務フローを理解することは、内部統制を整備するうえで欠かせません。典型的な業務フローを理解しておくことで、リスクをイメージしやすくなり、自社にない統制が必要か、逆に過剰な統制を削減できるかを検討しやすくなります。
フローチャートが有効に機能していれば、監査法人や内部監査は業務の全体像を短時間で把握しやすくなります。現場にとっても、自分の作業が財務報告のどこにつながっているのかが見えやすくなります。
一方、フローチャートが形骸化している場合には、図は存在していても、実際の統制評価には使えません。
たとえば、承認マークはあるが誰が何を確認しているのかわからない。システム処理が一つの箱でまとめられていて、入力・処理・出力のリスクが見えない。証跡がどこに残るのかわからない。例外処理が省略されている。こうした状態です。
このようなフローチャートは、見た目が整っていても、J-SOX上の説明力は十分とはいえません。
RCMの役割｜リスクと統制を対応づける
RCMは、リスク・コントロール・マトリクスの略称です。
3点セットの中でも、RCMはJ-SOX評価に直結する文書といえます。
業務記述書やフローチャートが業務の流れを把握するための資料だとすれば、RCMは、財務報告リスクと統制の対応関係を整理するための資料です。
RCMでは、一般に次のような情報を整理します。
- 対象プロセス
- 関連する勘定科目
- 財務報告リスク
- 関連するアサーション
- 対応する統制活動
- 統制の実施者
- 統制の頻度
- 統制の証跡
- キーコントロールかどうか
- 整備評価・運用評価の方法
RCMで問われるのは、「統制があるか」ではありません。
問われるのは、「その統制が、特定の財務報告リスクを十分に低減しているか」です。
内部統制実施基準でも、虚偽記載が発生するリスクを低減するための内部統制を識別する際には、取引の開始、承認、記録、処理、報告に関する内部統制を対象に、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性といった財務情報作成上の要件を確保する観点から識別することが示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
たとえば売上プロセスで「上長承認がある」と書かれていても、それだけでは十分ではありません。
その承認は、架空売上を防ぐための承認なのか。期間帰属の誤りを防ぐための承認なのか。価格・数量の誤りを防ぐための承認なのか。与信超過を防ぐための承認なのか。検収前売上を防ぐための承認なのか。
同じ「承認」でも、対応するリスクによって意味は変わります。
RCMが弱い会社では、統制活動の名称だけが並び、リスクとの対応関係が曖昧になりがちです。その結果、監査法人から「この統制は何のリスクに効いているのか」「このリスクに対する統制が不足しているのではないか」と指摘されやすくなります。
規程・マニュアルと3点セットの違い
J-SOX対応では、規程やマニュアルも重要です。
ただし、規程・マニュアルと3点セットでは役割が異なります。
規程は、会社としてのルールや権限を定めるものです。マニュアルは、業務の実施方法を定めるものです。これに対して3点セットは、実際の業務プロセスにおいて、財務報告リスクと統制がどのように関係しているかを説明するものです。
規程やマニュアルが「あるべきルール」を示す文書だとすれば、3点セットは「財務報告リスクに照らして、実際の業務がどう動き、どの統制が効いているか」を示す文書だといえます。
そのため、規程やマニュアルが整っていても、J-SOX文書化としては不十分な場合があります。
たとえば、職務権限規程に承認権限が定められていても、実際の業務でその承認が行われていないことがあります。購買マニュアルに検収手続が定められていても、検収証跡が残っていないことがあります。経理規程に決算承認手続が定められていても、誰がどの資料をレビューしたかが残っていないこともあります。
逆に、現場では実効性のある確認が行われているにもかかわらず、規程やマニュアルに反映されていないというケースもあります。
このずれを放置すると、J-SOX評価では手戻りが生じます。文書上のルール、実際の運用、証跡、評価手続が一致していないからです。
証跡がなければ、統制は評価しにくい
J-SOX文書化で見落とされやすいのが、証跡の設計です。
統制は、実施されているだけでは足りません。後から第三者が確認できる形で、統制が実施されたことを説明できる必要があります。
「担当者が確認しています」
「上長が見ています」
「システム上で承認しています」
「異常があれば気づくはずです」
このような説明だけでは、運用評価に耐えにくい場合があります。
証跡として必要なのは、誰が、いつ、何を、どの資料に基づいて、どのような観点で確認したのかがわかることです。
たとえばレビュー統制であれば、レビュー対象資料、レビュー実施者、レビュー日、確認内容、差異の有無、差異がある場合の対応、承認記録が残っているかを確認する必要があります。
電子承認やワークフローを利用している場合も同じです。電子承認があること自体ではなく、その承認がどの情報を対象に、どの権限者により、どのタイミングで行われ、後から改ざん困難な形で確認できるかが重要になります。
内部統制実施基準では、記録の保存について、金融商品取引法上は有価証券報告書および添付書類の縦覧期間を勘案し、それと同程度の期間、適切な範囲および方法で保存することが考えられるとされています。あわせて、後日、第三者による検証が可能となるよう、関連する証拠書類を適切に保存する必要があるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
証跡は、評価時に慌てて探すものではありません。
統制を設計する段階で、この統制を実施した証拠は何か、どこに残るのか、誰が保存するのか、監査法人や内部監査が確認できるのか、というところまで決めておく必要があります。
3点セットと整備評価・運用評価の関係
3点セットは、整備評価と運用評価の前提になります。
整備評価では、統制が設計上有効かどうかを確認します。つまり、識別された財務報告リスクに対して、適切な統制が設計されているかを評価します。
この段階では、RCMが特に重要になります。
RCMにリスクと統制の対応関係が明確に整理されていなければ、整備評価で何を確認すべきかが曖昧になります。統制活動の内容、実施者、頻度、証跡、評価方法が曖昧であれば、「設計上有効」と判断する根拠も弱くなってしまいます。
運用評価では、設計された統制が一定期間にわたって実際に運用されていたかを確認します。
この段階で重要になるのが、証跡です。
統制は設計されていても、実際には実施されていない。実施されていても証跡がない。証跡はあるが、統制内容と一致していない。サンプルを抽出すると、承認漏れや日付漏れが見つかる。
このような状態では、運用評価で不備が識別される可能性があります。
つまり3点セットは、「初年度に作る資料」ではなく、評価の基礎資料なのです。
整備評価では、統制設計の妥当性を説明するために使います。運用評価では、どの統制を、どの証跡で、どのようにテストするかを決めるために使います。監査法人対応では、経営者評価の前提と判断過程を説明するために使います。
3点セットが形骸化する典型的な原因
J-SOX対応がうまく進まない会社では、3点セットそのものが悪いのではなく、3点セットの使い方がずれていることが少なくありません。
典型的には、次のような状態です。
- 前年度の文書を日付だけ変えている
- 業務変更やシステム変更が文書に反映されていない
- 現場担当者が3点セットの内容を知らない
- 業務記述書とフローチャートが一致していない
- フローチャート上の承認点と実際の承認証跡が一致していない
- RCMに記載された統制と、実際の運用がずれている
- 規程・マニュアルと3点セットがつながっていない
- 証跡の保存場所が担当者任せになっている
- 内部監査や監査法人の指摘を文書更新に反映していない
この状態では、3点セットは「ある」ものの、J-SOX対応としては十分に機能していません。
むしろ、実態と異なる文書が存在することで、評価手続や監査法人対応の手戻りが増えてしまうことがあります。
J-SOX文書化で大切なのは、きれいな資料を作ることではありません。現場で実際に回っている業務を、財務報告リスクの観点から整理し、必要な統制と証跡に結びつけることです。
3点セットを作り込む前に確認すべきこと
3点セットを作成・見直しする際には、いきなり文書作成に入るべきではありません。
まず確認すべきなのは、評価範囲です。
どの事業拠点が対象なのか。どの勘定科目が重要なのか。どの業務プロセスが評価対象なのか。決算・財務報告プロセスやIT統制との関係はどうなっているのか。
評価範囲が曖昧なまま3点セットを作ると、必要のないプロセスまで過剰に作り込んだり、本来必要なプロセスが抜け落ちたりします。
2023年4月の改訂内部統制基準・実施基準では、評価範囲の検討において、例示されている数値基準や勘定科目を機械的に適用すべきではないことが示され、財務報告に対する影響の重要性を適切に勘案することが促されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
この考え方は、文書化にもそのまま当てはまります。
文書化も、機械的に広げればよいというものではありません。重要な財務報告リスクに対して、必要な粒度で、説明可能な文書を整えることが大切です。
過剰統制と統制不足のどちらにも注意する
J-SOX対応では、統制不足だけでなく、過剰統制にも注意が必要です。
統制不足の状態では、財務報告リスクを十分に低減できません。一方で、過剰統制の状態では、現場負荷が重くなり、運用が続かなくなります。
たとえば、重要性が低い取引まですべて細かく承認・照合を求めれば、現場の作業は増えます。しかし、その統制が財務報告リスクの低減に実質的に寄与していなければ、J-SOX上の効果は限定的です。
また、承認者を増やせば統制が強くなるとは限りません。複数人が形式的に承認しているだけで、誰も実質的に確認していないのであれば、統制としての有効性は弱くなります。
反対に、少人数体制や成長途中の会社では、理想的な職務分掌が難しいこともあります。その場合には、現実に回る代替統制を検討する必要があります。
J-SOX文書化では、「統制が多いか少ないか」ではなく、「重要なリスクに対して、実効性のある統制が設計され、証跡が残り、継続運用できるか」を見るべきです。
文書化は決算・開示体制ともつながっている
J-SOX文書化は、業務プロセスだけの話ではありません。
決算・財務報告プロセス、開示基礎資料、リードシート、連結パッケージ、会計上の見積り、非定型取引、監査法人対応とも密接に関係しています。
たとえば、販売プロセスで売上計上の統制を整えていても、決算時に手作業で大きな修正仕訳が入るのであれば、決算プロセス側の統制も重要になります。
子会社からの連結パッケージが遅れたり、親会社側で差戻しが多発したりする場合には、子会社決算プロセスや親会社レビュー統制も、文書化の対象として検討する必要があります。
開示資料の作成過程が属人化している場合には、最終開示物から開示基礎資料、レビュー証跡まで追跡できる状態を整える必要があります。
決算早期化の観点でも、業務全体を俯瞰する視点、属人化の解消、標準化、重要性判断、業務フロー見直しは重要です。J-SOX文書化も同じく、「森を見る視点」を持たなければ、個別資料の整備だけで終わってしまいます。
J-SOX文書化を見直すときの実務上の判断軸
J-SOX文書化を見直す際には、次の観点で確認すると、論点を整理しやすくなります。
第一に、評価範囲との整合性
現在の3点セットは、最新の評価範囲に対応しているか。重要な事業拠点、重要な勘定科目、重要な業務プロセスの変更が反映されているか。新規事業、システム変更、M&A、子会社化、組織変更が反映されているか。
第二に、業務実態との整合性
文書に記載された業務と、実際の現場運用は一致しているか。担当者変更、承認フロー変更、システム変更、外部委託先変更が反映されているか。
第三に、リスクと統制の対応関係
RCM上、財務報告リスクと統制活動は明確に対応しているか。統制があるように見えても、リスクを十分に低減していないものはないか。逆に、重要なリスクに対して統制が不足していないか。
第四に、証跡の有無と品質
統制の実施を後から確認できる証跡があるか。証跡には、実施者、実施日、確認対象、確認内容、例外処理が残っているか。電子証跡の場合、閲覧可能性や改ざん防止の観点も確認できるか。
第五に、評価手続との接続
整備評価・運用評価で、どの統制をどのように評価するかが明確か。評価調書と3点セットの間にずれがないか。監査法人が理解できる粒度で整理されているか。
この5つの観点を確認すると、3点セットが単なる資料なのか、それともJ-SOX対応の実務基盤として機能しているのかが見えやすくなります。
まとめ｜3点セットは、説明できる会社をつくるための土台
J-SOX文書化の目的は、資料を整えることではありません。
会社の業務を理解し、財務報告リスクを識別し、統制活動を設計し、証跡を残し、評価手続につなげることです。
業務記述書は、業務の流れを説明するためにあります。フローチャートは、業務の流れと統制点を見える化するためにあります。RCMは、リスクと統制を対応づけるためにあります。
そして、これらは規程、マニュアル、証跡、評価調書、監査法人対応、決算・開示体制とつながって初めて意味を持ちます。
J-SOX対応を「3点セットを作る作業」と捉えると、毎年の更新作業や監査法人対応に追われることになります。
一方で、J-SOX対応を「会社が自らの業務・数字・権限・証跡・判断過程を説明できる状態に整える取り組み」と捉えれば、文書化は経営管理体制を強くするための基盤になります。
特に、業務が属人化している、証跡が残っていない、監査法人対応で手戻りが多い、子会社管理が弱い、IT統制が曖昧、決算・開示が遅れているといった課題を抱えている場合、3点セットの見直しは単なるJ-SOX対応にとどまりません。
会社の内部管理体制そのものを見直す入口になります。
J-SOX文書化・3点セットの見直しをご検討の方へ
J-SOX文書化は、ひな形を埋めるだけでは実務に耐えません。
評価範囲、業務フロー、財務報告リスク、統制活動、証跡、評価手続、監査法人対応までを一体で整理する必要があります。
犬飼公認会計士・税理士事務所では、単なる資料作成ではなく、会社の実態に合わせたJ-SOX文書化、3点セットの見直し、RCM整理、証跡設計、監査法人対応に向けた論点整理をご支援しています。
「3点セットはあるが、実態と合っているか不安がある」
「監査法人から文書化や証跡について指摘を受けている」
「J-SOX対応を、決算・開示・業務フロー・経営管理体制の改善につなげたい」
このような課題がある場合は、まず現在の文書化状況と運用実態を整理するところから始めることが有効です。
ご相談をご希望の方は、犬飼公認会計士・税理士事務所HPのお問い合わせページより、現在の状況やお悩みをご連絡ください。
振り返り｜本記事の重要ポイント
| 論点 | 重要ポイント |
|---|---|
| J-SOX文書化の目的 | 資料作成ではなく、業務・リスク・統制・証跡を説明できる状態にすること |
| 業務記述書 | 取引の発生から会計処理・報告までの流れを文章で整理する |
| フローチャート | 業務の流れ、部門間連携、承認点、システム処理、証跡を可視化する |
| RCM | 財務報告リスクと対応する統制を結びつける |
| 規程・マニュアルとの違い | 規程・マニュアルはルール、3点セットは財務報告リスクと統制の説明資料 |
| 証跡の重要性 | 統制は実施されるだけでなく、後から第三者が検証できる形で残す必要がある |
| 整備評価との関係 | 統制が設計上、財務報告リスクに対応しているかを確認する |
| 運用評価との関係 | 統制が一定期間、継続して実施されているかを証跡で確認する |
| 形骸化の原因 | 前年度踏襲、業務実態との乖離、RCMの形式化、証跡不足、更新漏れ |
| 見直しの判断軸 | 評価範囲、業務実態、リスクと統制、証跡、評価手続との整合性を確認する |
