電子証跡・ログ・ワークフロー承認の扱い｜J-SOXで「後から説明できる」証跡設計とは

J-SOX対応で電子化が進むと、現場から決まって挙がってくる質問があります。

「ワークフローで承認していれば、紙の押印は不要ですか」
「システムにログが残っていれば、証跡として十分ですか」
「電子メール、チャット、請求書データ、操作ログは、どこまで保存すべきですか」
「監査法人に提出する証跡は、画面キャプチャでもよいのでしょうか」

いずれも、実務の感覚としてはよく分かる問いです。ただ、これらに対して「電子化していればよい」「ログがあればよい」と単純にお答えすることはできません。

J-SOX上の証跡で問われるのは、紙か電子かという形式ではありません。統制が実際に設計どおり実施され、その結果を後から説明できるかどうかです。誰が、いつ、何を、どの資料に基づいて確認し、どのように承認し、例外や差異があった場合にどう処理したのか。ここが読み取れなければ、電子データがどれだけ大量に残っていても、監査上有効な証跡とは評価しにくくなります。

金融庁の内部統制基準・実施基準では、内部統制は業務に組み込まれ、組織内のすべての者によって遂行されるプロセスとされ、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応という6つの要素から構成されると整理されています。J-SOXにおける電子証跡も、この「業務に組み込まれた統制」を後から確認するための記録として位置づける必要があります。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準

この記事では、J-SOX上の電子証跡、ログ、ワークフロー承認を、単なる電子化対応としてではなく、決算・開示・業務プロセス・IT統制をつなぐ「説明できる会社づくり」という視点から整理していきます。

電子証跡は「紙の代替」ではなく、統制を説明するための記録である

電子証跡とは、業務処理、承認、確認、照合、修正、例外処理、システム操作などの事実を、電子的に記録したものをいいます。

代表的なものを挙げると、次のとおりです。

• ワークフローシステム上の申請・承認履歴
• 会計システムの仕訳承認履歴
• 販売管理システムの出荷確定履歴
• 購買システムの発注承認履歴
• 経費精算システムの承認履歴
• 支払データ作成・承認・送信履歴
• アクセスログ、操作ログ、変更ログ
• マスタ登録・変更履歴
• エラーリスト、再処理履歴
• CSV取込ログ、インターフェースログ
• 電子契約の締結履歴
• 電子メール、チャット、添付ファイル
• クラウドストレージ上の保存日時、更新履歴、版管理情報

ただし、電子証跡は「電子データが残っていること」自体に意味があるわけではありません。J-SOX上の証跡として意味を持つのは、その電子データによって、統制の実施事実と判断内容を確認できる場合です。

たとえば、ワークフロー上に「承認済」と表示されていたとします。それでも、承認者が何を見て承認したのか、申請時点の添付資料が何だったのか、承認後に金額や添付資料が差し替えられていないのか。これらが分からなければ、証跡としては弱いと言わざるを得ません。

逆に、紙の押印がなくても、承認者、承認日時、承認対象、添付資料、変更履歴、差戻し履歴が明確に残り、後から閲覧できるのであれば、J-SOX上は十分に証跡として機能する場合があります。

そもそも証憑上のハンコを求める趣旨は、統制の整備・運用の事実を事後的に確認することにあります。別の手段で統制実績を証明できるのであれば、ハンコそのものにこだわる必要はなく、ワークフローシステムによる証跡の可視化も有効な手段になり得ます。

J-SOXは「すべての電子データ保存」を求めているわけではない

電子証跡を議論するとき、最初に押さえておきたい点があります。J-SOXは、電子メール、チャット、ログ、電子ファイルなどを一律に保存することを求める制度ではない、ということです。

金融庁の内部統制報告制度Q&Aでも、ITの利用によって生じる新たなリスクを考慮する必要はあるものの、それは電子メール等のデータを一律に記録・保存することを求める趣旨ではないとされています。保存すべき記録は、財務報告に係る内部統制の有効性の評価手続、評価結果、発見した不備、その是正措置に関して作成した記録で足りる、という整理です。
出典：金融庁｜内部統制報告制度に関するQ&A

この考え方は、実務上とても重要です。

たとえば、次のような対応は過剰になりやすいものです。

• 全従業員の電子メールを無期限に保存する
• すべてのチャット履歴をJ-SOX証跡として管理する
• 重要性にかかわらず全システムの全ログを評価対象にする
• すべての承認に電子署名やタイムスタンプを求める
• 軽微な経費精算まで取締役承認相当の証跡を求める

一方で、次のような対応は不足しやすい領域です。

• 重要な決算仕訳の承認履歴が残っていない
• 会計システムの管理者権限による修正履歴を確認できない
• マスタ変更の申請・承認・登録履歴が残っていない
• 支払承認後に振込データを変更できる
• 開示基礎資料の作成者、レビュー者、確定版が分からない
• 電子承認後に添付資料が差し替えられても履歴が残らない

J-SOX上の証跡保存とは、「何でも残す」ことではありません。財務報告リスクに対して必要な記録を、後から評価・監査できる状態で残すことです。

電子証跡として確認すべき4つの品質

電子証跡をJ-SOX上で利用する場合、少なくとも次の4つを確認しておく必要があります。

1. 完全性｜必要な証跡が漏れなく残っているか

完全性とは、必要な承認履歴、確認履歴、操作履歴、添付資料、変更履歴が欠けていない状態を指します。

たとえば支払承認ワークフローであれば、申請データ、請求書、支払先口座、承認者、承認日時、承認後の振込データ、送信結果まで、一連の流れがつながっている必要があります。

承認履歴だけが残っていても、承認対象の請求書が後から削除されている、添付資料が現在版しか見られない、承認後の支払金額の変更履歴が見えない。こうした状態では、完全性に疑義が生じます。

2. 閲覧可能性｜後から見られる状態で保存されているか

電子証跡は、保存しているつもりでも、後から閲覧できなければ意味がありません。

特に注意したいのがクラウドサービスです。退職者アカウントを削除した結果、承認履歴や添付ファイルにアクセスできなくなることがあります。システム移行の際に、旧システムの承認履歴が閲覧できなくなるケースも見られます。

閲覧可能性を確認するときの視点は、次のとおりです。

• 保存期間中に閲覧できるか
• 退職者、異動者、組織変更後も履歴を確認できるか
• システム移行後も旧データを参照できるか
• 監査法人や内部監査に提示できる形式で出力できるか
• 必要に応じてPDF、CSV、画面キャプチャ等で保存できるか
• 承認時点の添付資料が確認できるか

金融庁のQ&Aでも、内部統制の整備・運用状況に係る記録は、経営者による評価や監査人による監査が実施できる記録が保存されていればよく、すべての関連書類への押印までは求められていないとされています。保存方法についても、必要に応じて適時に可視化できるのであれば、書面に限らず磁気媒体等での保存も可能とされています。
出典：金融庁｜内部統制報告制度に関するQ&A

3. 改ざん防止｜承認後・確定後に変更できない、または変更履歴が残るか

電子証跡は紙より便利である一方、後から変更・削除できてしまう場合があります。

そのため、証跡として利用するには、次のいずれかが備わっていることが必要です。

• 承認後は変更できない
• 変更できるが、変更履歴が残る
• 変更には再承認が必要になる
• 管理者権限による変更がログとして残る
• 削除しても削除履歴が残る
• 定期的にログや変更履歴をレビューしている

電子証跡の信頼性を考えるうえでは、承認ログや業務データが容易に改ざんされないこと、承認者IDが共有されないこと、承認ログや業務データが消失しないこと、そしてデータが網羅的に保存され後から抽出できることが重要になります。ワークフローシステムを導入する際にも、なりすまし、不正改ざん、事後承認といった、IT利用に伴う新たなリスクを織り込んで考える必要があります。

4. 承認内容の明確性｜何を承認したかが分かるか

電子承認では、承認者と承認日時が残っていても、承認内容そのものが不明確なことがあります。

たとえば「購買申請を承認」と表示されていても、次のような点が分からなければ、統制としては弱くなります。

• 何を購入する申請か
• 金額はいくらか
• 相手先はどこか
• 予算内か
• 見積比較はされたか
• 添付された見積書はどの版か
• 例外承認か通常承認か
• 支払条件や納期は確認されたか
• 承認後に内容変更があったか

J-SOXで求められるのは、承認という行為があったかどうかだけではありません。承認者が、承認すべき事項を確認していたことです。

したがって、ワークフロー承認をキーコントロールに位置づけるのであれば、承認画面、申請項目、添付資料、コメント、差戻し履歴、承認後変更履歴まで含めて、承認内容を説明できる設計にしておく必要があります。

ログは「残っているだけ」では統制にならない

ログは、電子証跡のなかでも特に誤解されやすい領域です。

アクセスログ、操作ログ、変更ログ、承認ログ、取込ログ、エラーログ。これらが残っていると、つい「証跡はあります」と説明したくなります。しかし、ログは残っているだけでは統制になりません。

ログをJ-SOX上の証跡として使うには、次の点を確認する必要があります。

• どの操作が記録されるのか
• 誰の操作として記録されるのか
• 管理者権限の操作も記録されるのか
• ログを変更・削除できる者は誰か
• ログの保存期間は十分か
• ログを誰が、どの頻度でレビューしているか
• 異常ログや例外ログをどう扱うか
• ログと業務証跡、承認証跡、会計データが結びつくか

経済産業省のIT統制ガイダンスでも、財務報告に係るITの運用においては、財務情報の入力、登録、処理、集計、報告といった日常の業務処理の信頼性を確保できるよう運用することが望ましいとされ、運用の実施記録やログの取得・保管が統制目標として位置づけられています。
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）

また、日本公認会計士協会の監査基準報告書315実務ガイダンスでは、システム部門がプログラム変更履歴、本番環境へのアクセス記録、本番環境での操作履歴といった各種ログを記録し、これらのログと作業記録を検証している場合、監査人はITの利用から生じるリスクが低減されていると判断できる場合があるとされています。
出典：日本公認会計士協会｜監査基準報告書315実務ガイダンス第1号

ここで押さえておきたいのは、「ログが取得されていること」と「ログが統制として機能していること」は違う、という点です。

ログを誰も見ていなければ、異常操作があっても発見できません。保存期間が短すぎれば、運用評価のタイミングで確認できません。共有IDで操作していれば、誰が操作したのかを特定できません。管理者がログを削除できるのであれば、ログの信頼性そのものが弱くなります。

ログは、取得、保管、レビュー、例外対応まで含めて、はじめて統制になります。

J-SOXで見られる主なログの種類

電子証跡として整理すべきログは、システムによって異なります。実務上は、次のように分類しておくと整理しやすくなります。

ログの種類	主な内容	J-SOX上の確認ポイント
アクセスログ	誰が、いつ、どのシステムへログインしたか	退職者・異動者のアクセス、特権ID利用、深夜・休日アクセス
操作ログ	どの画面で、どの操作をしたか	仕訳修正、マスタ変更、承認取消、締後修正
変更ログ	設定、マスタ、プログラム、権限の変更履歴	変更申請・承認・実施内容との整合性
承認ログ	申請、承認、差戻し、取消、再承認	承認者、承認日時、承認内容、添付資料
取込ログ	CSV取込、システム間連携、インターフェース	件数、金額、取込エラー、再取込履歴
エラーログ	入力エラー、処理エラー、連携エラー	エラーの解消、再処理、未解消の管理
出力ログ	帳票出力、データ抽出、ダウンロード	重要データの持出し、不正抽出、出力条件
管理者操作ログ	特権ID、システム管理者による操作	不正修正、統制無効化、ログレビュー

このうち、すべてを同じ重要度で評価する必要はありません。財務報告リスクとの関係が強いログ、たとえば仕訳修正、決算締め後修正、支払データ変更、マスタ変更、特権ID操作、インターフェースエラーといった領域から優先的に整理していくのが現実的です。

なお、システムIDの管理が不十分だと、不正アクセスによる情報漏洩にとどまらず、不正行為を行った者を特定できず、隠ぺいが容易になる可能性があります。ID申請と棚卸を統制として設計しておくことは、ログを証跡として利用するための前提でもあります。

ワークフロー承認は「承認ボタン」ではなく「権限設計」である

ワークフロー承認は、紙の稟議書や押印に代わる有効な統制になり得ます。

ただし、J-SOX上のキーコントロールとして利用するのであれば、承認ボタンがあるというだけでは足りません。

確認すべきなのは、次のような点です。

• 承認ルートが職務権限規程と整合しているか
• 金額、取引内容、部門、例外条件に応じて承認ルートが変わるか
• 承認者が本当に承認権限者か
• 代理承認や代行承認のルールがあるか
• 承認者IDが共有されていないか
• 承認前後のデータ変更が制限されているか
• 承認後に変更があった場合、再承認されるか
• 差戻し、再申請、取消の履歴が残るか
• 添付資料が承認時点の状態で保存されているか
• 承認コメントや確認結果が残るか

ワークフロー承認でとりわけ注意したいのは、「形式上の承認」と「実質的なレビュー」の違いです。

たとえば、上長が毎日数十件の申請を一括承認しており、添付資料や差異内容を実質的に確認していない。この場合、承認ログは残っていても、統制としての有効性は弱くなります。反対に、承認件数が少なくても、承認者が必要資料を確認し、差戻しやコメントを残し、例外処理を明確にしているのであれば、統制として説明しやすくなります。

電子承認でよくある不備

電子承認やワークフローで多く見られる不備には、次のようなものがあります。

1. 承認者IDの共有

承認者IDやパスワードが部門内で共有されている場合、誰が承認したのかを説明できません。

これは、電子承認の根幹を崩してしまいます。紙の押印でいえば、部門全員が同じ印鑑を自由に使える状態に近いと考えるべきでしょう。

2. 承認後の修正が自由にできる

申請が承認された後に、金額、支払先、添付資料、科目、部門、納期などを自由に変更できる場合、承認時点の内容と最終処理内容が一致しない可能性が残ります。

承認後の修正を可能にするのであれば、変更履歴、変更理由、再承認、管理者レビューをあわせて設計しておく必要があります。

3. 添付資料の版管理ができていない

見積書、契約書、請求書、検収書、差異分析資料などが、承認後に差し替えられるにもかかわらず履歴が残らない。この場合、承認者が何を見て承認したのかを説明できません。

ワークフロー上の承認履歴と、承認時点の添付資料は、一体で保存する必要があります。

4. 代理承認・代行承認のルールが曖昧

繁忙期や休暇時に代理承認が行われること自体は、必ずしも問題ではありません。

問題となるのは、誰が、どの範囲で、どの期間、どの権限を代理できるのかが明確でないことです。代理承認が常態化すると、職務権限規程と実際の承認者が乖離していきます。

5. 承認ルートが実態に合っていない

職務権限規程では部長承認が必要な取引なのに、システム上は課長承認で完了してしまう。一定金額を超える支払には役員承認が必要なのに、ワークフロー設定が更新されていない。組織変更後も、旧組織の承認ルートがそのまま残っている。

このような状態では、ワークフロー承認がかえって統制不備の原因になってしまいます。

6. コメントがなく、レビュー内容が分からない

承認ログには「承認済」と表示されていても、承認者が何を確認したのか分からない場合があります。

すべての承認に長いコメントを求める必要はありません。ただ、重要な取引、例外処理、差異処理、見積り判断、決算修正については、確認内容や判断根拠が残るようにしておく必要があります。

電子証跡・ログ・ワークフロー承認とIT全般統制の関係

電子証跡が一見有効に見えても、その前提となるIT全般統制が弱い場合、証跡の信頼性が損なわれることがあります。

たとえば、次のようなケースです。

• 承認ログはあるが、管理者が自由にログを削除できる
• 操作ログはあるが、特権IDが共有されている
• 承認ルートはあるが、システム設定変更の承認履歴がない
• アクセス権限が退職者・異動者に残っている
• ワークフローのマスタ変更が無承認で行われている
• クラウドサービスの保存期間設定を誰も把握していない
• バックアップやリストア手順が未整備で、証跡消失時に復旧できない

内部統制実施基準では、ITに係る業務処理統制は、承認された業務がすべて正確に処理・記録されることを確保するために業務プロセスへ組み込まれた内部統制とされ、入力情報の完全性・正確性・正当性、エラー修正と再処理、マスタデータの維持管理、システム利用に関する認証や操作範囲の限定などが例示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準

つまり、電子証跡や承認ログは、アクセス権限、変更管理、運用管理、バックアップ、障害対応と切り離して評価することができません。

ワークフロー承認を証跡として利用するのであれば、承認権限の設定が誰により、どの承認を経て変更されるのか。ログ保存期間がどのように設定されているのか。管理者権限が誰に付与され、その操作状況を誰が確認しているのか。ここまで整理しておく必要があります。

電子帳簿保存法との関係｜J-SOX証跡と税務保存要件を混同しない

電子証跡を議論するときには、電子帳簿保存法との関係も整理しておきたいところです。

電子帳簿保存法は、国税関係帳簿書類や電子取引データの保存に関する制度です。これに対してJ-SOXは、財務報告に係る内部統制の有効性を評価・報告する制度です。両者は重なる部分がありますが、目的も評価軸も同じではありません。

国税庁は、申告所得税・法人税に関して帳簿・書類を保存する義務のある者が、注文書、契約書、送り状、領収書、見積書、請求書などに相当する電子データをやり取りした場合、その電子取引データを保存しなければならないと説明しています。保存にあたっては、改ざん防止のための措置、「日付・金額・取引先」での検索が可能であること、ディスプレイやプリンタ等の備付けが必要とされています。
出典：国税庁｜電子帳簿保存法 電子取引データの保存方法をご確認ください

さらに国税庁は、改ざん防止のための措置として、タイムスタンプの付与、訂正・削除履歴が残るシステム等での授受・保存、改ざん防止のための事務処理規程を定めて守る方法などを示しています。
出典：国税庁｜電子帳簿保存法 電子取引データの保存方法をご確認ください

ただし、J-SOX上は、電子帳簿保存法の要件を満たしていれば常に十分、というわけではありません。

たとえば、請求書データを電子帳簿保存法に沿って保存していたとしても、その請求書を誰が確認し、どの仕入データと照合し、差異があった場合にどう修正し、支払承認にどうつながったのか。ここが分からなければ、J-SOX上の統制証跡としては不足します。

逆に、J-SOX上の承認ログやレビュー記録が残っていても、電子取引データの保存要件を満たしていなければ、税務上の別の論点が残ることになります。

したがって、電子証跡の設計にあたっては、少なくとも次のように目的を分けて考える必要があります。

区分	主な目的	確認すべき観点
J-SOX証跡	統制の整備・運用を説明する	誰が、何を、いつ、どの資料で確認・承認したか
電子帳簿保存法	国税関係帳簿書類・電子取引データを保存する	改ざん防止、検索性、出力可能性、保存期間
契約・法務証跡	契約成立、権利義務、承認過程を説明する	契約版管理、締結権限、電子署名、承認履歴
経営管理証跡	意思決定とモニタリングを説明する	予算、KPI、差異分析、会議体資料、改善記録

電子証跡を一つの制度だけで見てしまうと、J-SOX上は不足、税務上も不足、法務上も不足という状態になりかねません。

業務プロセス別に見る電子証跡のポイント

電子証跡は、業務プロセスごとに見るべきポイントが異なります。

販売・売上債権プロセス

販売プロセスでは、売上の実在性、期間帰属、金額の正確性、請求・回収の網羅性が論点になります。

電子証跡として確認すべきものは、受注承認、出荷確定、検収データ、売上計上データ、請求書発行履歴、入金消込履歴、差異対応記録などです。

特に注意したいのが、売上データがCSVで出力され、会計システムへ取り込まれる場合です。販売管理システムから出力した売上データCSVを確認し、会計システムへの取り込み前に形式を整え、取り込み後に確認する。こうした統制では、CSVを直接修正せず、修正が必要な場合はシステム側で修正する運用が重要になります。

購買・仕入債務プロセス

購買プロセスでは、承認された発注、実際の検収、請求書照合、支払承認が一連でつながっているかが重要です。

電子証跡としては、発注申請、承認履歴、検収データ、請求書データ、仕入データとの照合記録、差異修正承認、支払承認履歴、振込データ作成履歴を確認します。

なかでも、支払先口座のマスタ変更や振込データの変更履歴は、不正支払リスクに直結します。管理者権限で支払先口座を変更できる場合には、その変更申請、承認、変更履歴、ログレビューが欠かせません。

在庫プロセス

在庫プロセスでは、実地棚卸の結果、システム在庫、棚卸差異、廃棄・評価減の承認が電子化されることがあります。

バーコードリーダーや在庫管理システムを利用する場合は、スキャン結果、入力日時、入力者、修正履歴、棚卸差異リスト、承認履歴が重要になります。デジタル管理は入力ミスの低減に有効ですが、現場でのカウント結果を反映した棚卸表や原票の保存、差異処理の証跡が残っていなければ、後から説明することはできません。

人件費・給与プロセス

人件費では、人事マスタ、勤怠承認、給与計算結果、支払データ、会計仕訳の連携が論点になります。

電子証跡としては、勤怠承認履歴、残業承認、給与改定承認、人事マスタ変更履歴、給与計算結果のレビュー、振込データ承認、会計仕訳連携履歴を確認します。

勤怠管理システムや給与計算システムを導入している場合でも、システム上の承認者と実際の承認責任者が一致しているか、退職者や異動者の権限が残っていないか、給与データの修正履歴が残るか。この点は確認が必要です。

固定資産・設備投資プロセス

固定資産では、投資稟議、発注、検収、台帳登録、減価償却、除却、減損兆候の検討が関係します。

電子証跡としては、投資承認ワークフロー、見積書、契約書、検収記録、固定資産台帳登録履歴、資産計上判定、除却承認、減損検討資料のレビュー履歴が重要です。

特に、資産計上か費用処理か、資本的支出か修繕費か、減損兆候があるか。こうした判断を伴う領域では、承認ログだけでなく、判断根拠資料と検討メモを残しておく必要があります。

決算・開示プロセス

決算・開示プロセスでは、電子証跡の質が、そのまま財務報告の説明可能性に直結します。

確認すべき証跡は、決算スケジュール、決算整理仕訳の承認履歴、リードシートのレビュー記録、残高確認、差異分析、開示基礎資料の版管理、有価証券報告書や決算短信のレビュー履歴、取締役会承認資料などです。

決算早期化を実現している会社では、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して決算・開示業務を組み立てる「森を見る視点」が働いています。電子証跡についても、単体担当者、連結担当者、開示担当者がそれぞれ別々に資料を残すのではなく、最終開示物から基礎資料まで追跡できるように設計する必要があります。

電子証跡をRCMにどう記載するか

RCMに電子証跡を記載する際、「ワークフロー承認あり」「ログあり」とだけ書いても十分ではありません。

少なくとも、次の要素を記載する必要があります。

• 統制目的
• 対象リスク
• 統制実施者
• 承認者またはレビュー者
• 実施頻度
• 利用するシステム
• 確認対象データ
• 承認・確認の内容
• 例外処理
• 証跡の保存場所
• 証跡の出力方法
• IT依存の有無
• 関連するIT全般統制

たとえば購買承認の統制であれば、次のように記載します。

購買申請について、申請部門担当者が見積書・発注内容・予算区分を添付してワークフロー申請し、職務権限表に基づく承認者が金額、取引先、予算、発注内容を確認したうえで承認する。承認履歴、承認日時、承認者、申請時点の添付資料、差戻し履歴はワークフローシステムに保存される。承認後に金額・取引先・添付資料を変更する場合は再申請を必要とする。

ここまで記載して初めて、統制がどのリスクに効いているのか、どの証跡で確認できるのかが明確になります。

電子証跡の運用評価で確認されること

整備評価では、電子証跡が設計として有効かを確認します。運用評価では、その設計どおりに一定期間継続して実施されているかを確認します。

運用評価で確認されやすい項目は、次のとおりです。

• サンプル取引について承認履歴が残っているか
• 承認者が権限表上の承認者と一致しているか
• 承認日が取引実行日より前か
• 承認時点の添付資料を確認できるか
• 承認後に変更がないか
• 変更がある場合、再承認されているか
• 差異や例外が発生した場合、対応履歴が残っているか
• ログ保存期間内に評価対象期間をカバーできるか
• システム上の承認ルートが最新の組織・権限規程と整合しているか
• 管理者による例外操作が適切にレビューされているか

ここでよく問題になるのが、評価時点ではすでにログが消えているケースです。

たとえば、クラウドサービスの標準ログ保存期間が90日で、J-SOX運用評価を半年後に実施する場合、評価対象期間のログを確認できない可能性があります。このような場合には、ログエクスポート、定期保存、証跡のPDF化、月次レビュー記録といった代替設計が必要になります。

電子証跡・ログ・ワークフロー承認の設計手順

電子証跡を整備する際は、システム機能から考えるのではなく、財務報告リスクから逆算していくことが重要です。

1. 重要な業務プロセスと勘定科目を結びつける

まず、売上、売掛金、棚卸資産、仕入債務、人件費、固定資産、現預金、決算整理、開示資料といった重要な勘定科目と、業務プロセスを対応づけます。

そのうえで、どの業務プロセスで電子承認、電子帳票、ログ、システム連携が使われているかを確認します。

2. 統制ごとに「必要な証跡」を定義する

次に、各統制について、何を証跡として残すべきかを定義します。

たとえば売上計上前の確認であれば、出荷データ、請求データ、売上データ、確認者、確認日、差異対応記録が必要です。支払承認であれば、請求書、支払先口座、支払金額、承認者、承認日時、振込データ、送信結果が必要になります。

3. 電子証跡の保存場所と保存期間を決める

電子証跡は、システム内に残すのか、PDF出力するのか、共有フォルダに保存するのか、証跡管理ツールに集約するのか。この点をあらかじめ決めておく必要があります。

保存期間は、法令・社内規程・監査対応・J-SOX評価サイクルを踏まえて設計します。J-SOX上、一律にすべての電子データを保存する必要はありませんが、評価・監査に必要な証跡は、評価時点で閲覧できなければなりません。

4. 変更・削除・再承認のルールを決める

電子証跡は、承認後に変更できる場合が多いため、変更・削除・再承認のルールが重要になります。

特に、金額、取引先、支払先口座、勘定科目、部門、決算仕訳、開示基礎資料など、財務報告に影響する項目については、変更履歴と承認履歴を残す必要があります。

5. ログレビューの対象を絞る

すべてのログを毎月レビューすることは、現実的ではありません。ログレビューは、重要リスクに絞って設計します。

たとえば、次のようなログは優先度が高いといえます。

• 特権IDの利用ログ
• 決算締め後の仕訳修正ログ
• 支払先口座マスタ変更ログ
• 得意先・仕入先マスタ変更ログ
• 会計システムへの直接データ修正ログ
• ワークフロー承認後変更ログ
• 大量データ出力ログ
• インターフェースエラーログ

6. 評価・監査で提示できる形にしておく

電子証跡は、システム内では見えるものの、外部に提示しにくいことがあります。

監査法人や内部監査に提示する場合に備えて、画面キャプチャ、PDF出力、CSV出力、ログ抽出、監査用アカウントなど、どの方法で提示するかを事前に整理しておく必要があります。

過剰統制を避けるための考え方

電子証跡対応では、過剰統制にも注意が必要です。

たとえば、軽微な経費精算に複数階層の承認を求める。すべてのメールを保存する。すべてのログをレビュー対象にする。こうした運用は現場の負荷を重くし、結果として統制が形骸化していきます。

内部統制の実務では、承認が必要なもの、委譲してよいもの、相互チェックで足りるもの、統制対象から外してよい僅少なものを区分する発想が重要です。職務権限規程や予実管理を前提に、上長承認が必要な領域と、現場への権限委譲・相互チェックで足りる領域を整理することで、統制と業務スピードを両立しやすくなります。

J-SOXは、すべての業務を重くするための制度ではありません。

重要なのは、財務報告リスクに対して必要十分な証跡を残すことです。軽微な取引まで過剰に承認させる一方で、決算仕訳、支払先口座変更、開示基礎資料、連結パッケージといった重要な領域の証跡が弱いのであれば、統制設計の優先順位が逆になっています。

電子証跡について監査法人と協議すべき論点

電子証跡・ログ・ワークフロー承認については、監査法人との認識合わせが重要です。

特に、次の論点は早めに整理しておきたいところです。

• 電子承認をキーコントロールの証跡として利用できるか
• 承認ログに必要な情報は何か
• 画面キャプチャ、PDF、CSV、ログ抽出のどれを証跡とするか
• 承認後変更がある場合の再承認ルールは十分か
• 電子メールやチャットをどの範囲で証跡として利用するか
• ワークフローの管理者権限や設定変更をどう評価するか
• ログ保存期間が運用評価に耐えるか
• クラウドサービスの証跡をどのように確認するか
• 電子帳簿保存法対応とJ-SOX証跡の範囲をどう切り分けるか
• 内部監査がどのように電子証跡をテストするか

監査法人対応で手戻りが起きやすいのは、会社側が「システムに残っています」と説明したものの、監査法人が求める証跡としては不十分だった場合です。

そのため、評価前に、実際のサンプルを用いて、承認履歴、添付資料、変更履歴、ログ抽出、エラー処理、出力方法を確認しておくことが有効です。

電子証跡は、決算早期化と開示品質にもつながる

電子証跡を整えることは、監査対応のためだけではありません。

承認ルートが明確になれば、決算時に「誰の承認が必要か」を探す時間が減ります。ログと変更履歴が残れば、原因不明の差異や修正の追跡がしやすくなります。開示基礎資料の版管理が整えば、決算短信、有価証券報告書、取締役会資料、月次資料の整合性を確認しやすくなります。

月次決算は、経営者が会社の現状を把握し、予算との比較を通じて次に打つべき手を考えるための仕組みです。適時・正確な記帳体制がなければ、経営状態を正しく把握することはできません。電子証跡の整備は、この適時・正確な記帳体制を支える基盤にもなります。

「誰が承認したか分からない」「どの資料が最新版か分からない」「会計システムに取り込んだCSVがどこから来たか分からない」「開示資料の根拠が追えない」。このような状態では、決算早期化も開示品質の向上も実現しにくくなります。

J-SOX対応として電子証跡を整えることは、会社の数字を早く、正確に、そして説明できる状態にすることでもあります。

電子証跡・ログ・ワークフロー承認について専門家に相談すべき場面

次のような状況がある場合には、電子証跡の設計を見直す余地があります。

• 紙の押印を廃止したが、代替証跡が整理されていない
• ワークフロー承認を導入したが、承認内容や添付資料が追跡できない
• 承認後の変更履歴や再承認ルールが曖昧
• 管理者権限で重要データを修正できるが、ログレビューをしていない
• ログ保存期間が短く、J-SOX評価時に確認できない
• 電子メールやチャットを証跡として使っているが、保存ルールがない
• 電子帳簿保存法対応とJ-SOX証跡管理が混在している
• 監査法人から電子証跡やログの信頼性について指摘を受けている
• クラウドサービス導入後、証跡保存や権限管理が不明確になっている
• IPO準備や上場後運用に向けて、電子承認・ログ管理を整えたい

電子証跡の論点は、IT部門だけで完結するものではありません。経理、現場、情報システム、内部監査、監査法人、経営層が、それぞれ異なる視点で関係してきます。

犬飼公認会計士・税理士事務所では、J-SOX対応を、単なる文書作成やチェックリスト消化としてではなく、決算・開示・業務プロセス・IT統制・証跡管理をつなぐ「説明できる会社づくり」として整理する支援を行っています。

電子承認、ログ、ワークフロー、クラウドサービス、電子帳簿保存法対応、監査法人からの指摘、IPO準備段階の内部管理体制など、自社のどこから優先して整えるべきかを確認したい場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。

出典・参考情報

出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
出典：金融庁｜内部統制報告制度に関するQ&A
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）
出典：日本公認会計士協会｜監査基準報告書315実務ガイダンス第1号
出典：国税庁｜電子帳簿保存法 電子取引データの保存方法をご確認ください

重要事項の振り返り

論点	実務上のポイント
電子証跡の本質	紙か電子かではなく、統制の実施事実と判断内容を後から説明できることが重要
J-SOX上の保存範囲	電子メールやログをすべて一律に保存する制度ではなく、財務報告に係る内部統制評価に必要な記録を保存する
完全性	承認履歴、添付資料、変更履歴、例外処理が欠けずに残っているかを確認する
閲覧可能性	退職者アカウント削除、システム移行、ログ保存期間切れ後も証跡を提示できるようにする
改ざん防止	承認後の変更制限、変更履歴、再承認、管理者操作ログを確認する
承認内容の明確性	誰が承認したかだけでなく、何を見て何を承認したかを説明できるようにする
ログの扱い	ログは取得だけでなく、保管、レビュー、例外対応まで含めて統制として設計する
ワークフロー承認	職務権限規程との整合、代理承認、承認後修正、添付資料の版管理を確認する
電子帳簿保存法との違い	税務上の電子取引データ保存要件と、J-SOX上の統制証跡は目的が異なる
最終目的	電子証跡を監査対応だけでなく、決算早期化、開示品質、業務標準化、説明可能な経営管理体制につなげる