J-SOX対応について、「3点セットを作れば終わり」「チェックリストを埋めれば評価できる」と受け止められていることがあります。
もちろん、業務記述書、フローチャート、RCMはいずれも重要です。評価調書も必要ですし、監査法人に説明できる証跡も欠かせません。
ただ、J-SOX評価手続の本質は、書類を整えることではないと考えています。
本当に確認すべきなのは、財務報告に重要な虚偽表示が生じるリスクに対して、会社が適切な統制を整備しているか。そして、その統制を実際に運用し、期末日時点で「財務報告に係る内部統制は有効である」と説明できる状態にあるかどうかです。
金融庁の内部統制基準では、「財務報告に係る内部統制が有効である」とは、当該内部統制が適切な内部統制の枠組みに準拠して整備・運用されており、開示すべき重要な不備がないことをいうとされています。
また、経営者は財務報告の信頼性に及ぼす影響の重要性の観点から必要な範囲について、財務報告に係る内部統制の有効性を評価するものとされ、その評価は原則として連結ベースで行うこととされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
そのため、J-SOX評価手続は単なる社内点検ではありません。経営者評価、内部監査、監査法人対応、決算・開示体制、業務運用、IT統制、証跡管理をつなぐ実務プロセスとして理解しておく必要があります。
J-SOX評価手続は「計画→評価→不備対応→報告」の一連の流れで考える
J-SOX評価手続は、大きく分けると次の流れで進みます。
- 評価計画を立てる
- 評価対象となる統制を選定する
- 整備評価を行う
- 運用評価を行う
- 評価結果を調書化する
- 不備を集計し、影響を評価する
- 是正状況を確認し、必要に応じて再評価する
- 経営者評価として総合評価し、内部統制報告につなげる
この流れのうち、どこか一つだけを切り出しても、J-SOX評価は完結しません。
たとえば、整備評価で「ルールはある」と判断できたとしても、実際にそのルールどおりに運用されていなければ、財務報告の信頼性は担保されません。
反対に、現場で何となく確認している実態があったとしても、誰が、何を、どの資料で確認したのかが残っていなければ、後から評価することも、監査法人に説明することも難しくなります。
J-SOX評価手続で重要なのは、手続を一つずつこなすことではありません。リスク、統制、証跡、評価結果、是正、報告が一貫してつながっていることです。
評価計画では、評価範囲・時期・担当者・証跡を先に設計する
評価手続の出発点は、評価計画です。
評価計画というと、年間スケジュールを作ることだけを思い浮かべがちですが、それだけでは足りません。J-SOX評価計画で決めるべきことは、少なくとも次のような事項です。
- どの事業拠点を評価対象とするか
- どの業務プロセスを評価対象とするか
- どの統制をキーコントロールとして評価するか
- 整備評価と運用評価をいつ実施するか
- 誰が評価を実施し、誰がレビューするか
- どの証跡を評価対象資料とするか
- 不備が出た場合に誰へ報告し、どの期限で是正するか
- 監査法人とどのタイミングで協議するか
ここで曖昧さを残すと、後工程で必ず手戻りが生じます。
よく見られるのは、評価手続の時期だけを決めて、評価対象となる統制や証跡の粒度が十分に決まっていない状態です。
この場合、評価者は現場に資料を依頼するたびに迷い、現場は何を出せばよいかわからず、監査法人からは「この証跡で本当に統制が実施されたといえるのか」と問われることになります。
評価計画の段階で大切なのは、「今年、何を評価するか」だけではありません。
「なぜそれを評価するのか」「その統制はどのリスクに対応しているのか」「どの証跡があれば実施を確認できるのか」「不備が出た場合に期末までに是正可能か」まで考えておくことです。
金融庁の内部統制基準では、経営者は評価範囲の決定に当たり、財務報告に対する金額的および質的影響の重要性を考慮し、評価範囲の決定方法および根拠等を適切に記録しなければならないとされています。
さらに、評価範囲の決定前後に、その方法および根拠等について、必要に応じて監査人と協議を行うことが適切であるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
評価計画は、評価作業のための事務資料ではありません。会社としてどのリスクに向き合うかを決める、判断資料です。
統制選定では「全部見る」より「重要な統制を見極める」ことが重要
J-SOX評価では、すべての業務、すべての承認、すべてのチェックを同じ深さで評価するわけではありません。
重要なのは、財務報告に重要な影響を及ぼすリスクに対して、どの統制が実質的に効いているかを見極めることです。
このとき中心になるのが、RCMです。
RCMでは、財務報告リスクと統制活動を対応づけます。ただし、統制らしきものを多く並べればよいというものではありません。
むしろ、キーコントロールの選定が甘いと、評価手続は膨らみ、現場の負荷も増え、監査法人対応も重くなります。
統制選定で確認しておきたい観点は、次のようなものです。
- その統制は、財務報告上のどのリスクに対応しているか
- 当該リスクは、金額的または質的に重要か
- その統制が機能しない場合、虚偽表示につながる可能性はどの程度か
- 同じリスクに対して、他に補完的な統制があるか
- 統制実施者は、十分な権限と能力を持っているか
- 統制の実施結果は、証跡として残るか
- 手作業統制か、IT依存統制か、自動化統制か
特に注意が必要なのは、「承認があるから大丈夫」と考えてしまうことです。
承認という言葉は便利ですが、実務上はかなり幅があります。形式的に押印しているだけなのか、金額・契約条件・取引実態・会計処理まで確認しているのか。その違いによって、統制としての意味はまったく異なります。
J-SOX評価で問われるのは、「承認欄があるか」ではありません。「承認によってどのリスクが低減されているか」です。
整備評価は、統制がリスクに対応する設計になっているかを見る
整備評価とは、統制が設計上有効かどうかを確認する手続です。
簡単にいえば、「その統制が存在するか」「その統制はリスクに対応する設計になっているか」「実際に運用できる形になっているか」を見る段階になります。
ここで見ているのは、一定期間にわたって継続的に運用されたかどうかではありません。まずは、統制の設計そのものが有効かを確認します。
整備評価で確認すべき典型的な観点は、次のとおりです。
- 業務フロー上、リスクが発生するポイントが特定されているか
- 当該リスクに対応する統制活動が設計されているか
- 統制実施者、頻度、対象資料、確認内容が明確か
- 職務分掌や承認権限に矛盾がないか
- 統制実施後の証跡が残る設計になっているか
- 例外処理や差戻しの流れが決まっているか
- ITシステムや外部委託先に依存する部分が整理されているか
整備評価の代表的な手続としては、ウォークスルーが挙げられます。
ウォークスルーでは、評価対象となる業務プロセスについて、取引の開始から会計記録・報告までの流れをたどります。そのうえで、文書化されたフローと実際の業務が一致しているか、統制が設計どおりに組み込まれているかを確認していきます。
ここで重要なのは、「現場に聞いたところ問題なさそうだった」で終わらせないことです。
現場へのヒアリングはもちろん必要です。ただ、ヒアリングだけでは証拠力が弱くなりがちです。業務記述書、フローチャート、規程、承認記録、システム画面、帳票、契約書、請求書、入出金記録などを組み合わせて確認し、統制設計が実態に即しているかを評価する必要があります。
整備評価で不備が出る場合、多くは「ルールがない」「ルールが曖昧」「ルールはあるが現場で使われていない」「証跡が残る設計になっていない」という形で表れます。
これは、単なる資料不足ではありません。業務の進め方そのものを見直す必要があるサインだと受け止めています。
運用評価は、統制が継続して実施されているかを見る
運用評価とは、有効に整備されていると判断された統制について、対象期間中に継続して実施されていたかを確認する手続です。
整備評価が「統制の設計」を見る手続だとすれば、運用評価は「統制の実行」を見る手続だといえます。
たとえば、販売プロセスにおいて、売上計上前に出荷実績と検収情報を確認する統制が設計されていたとします。
整備評価では、その確認手続がリスクに対応する設計になっているかを見ます。一方の運用評価では、対象期間中の複数の取引について、実際に確認が行われ、証跡が残っているかを確認します。
運用評価で確認したい観点は、次のようなものです。
- 統制が定められた頻度で実施されているか
- 統制実施者は、設計時に想定された者か
- 確認内容は、リスクに対応する水準か
- 承認日、確認日、対象資料、確認結果が証跡として残っているか
- 例外や差異が発生した場合に、適切に対応されているか
- 期中だけでなく、期末日までの有効性を説明できるか
運用評価で重要なのは、証跡の有無だけではありません。証跡の中身です。
押印や承認ログがあっても、何を確認したのかがわからなければ、統制が有効に運用されたと説明しにくくなります。
反対に、確認内容、差異分析、判断根拠、差戻し対応が明確に残っていれば、統制の実施状況を後から検証しやすくなります。
運用評価は、現場の通常業務と密接に関係します。そのため、評価者が一方的に資料を集めるだけでは、現場の負荷が増えるばかりです。
本来は、日常業務の中で自然に証跡が残るように設計しておくべきものだと考えています。
評価調書は、評価者の作業記録ではなく「判断の説明資料」である
J-SOX評価で作成する評価調書は、単なる作業メモではありません。
評価調書は、経営者がどのような根拠に基づいて内部統制の有効性を評価したのかを説明する資料です。内部監査部門、経営層、監査役等、監査法人に対して、評価手続の内容と結論を説明するための基礎になります。
評価調書には、少なくとも次の情報が整理されている必要があります。
- 評価対象となるプロセス
- 評価対象となるリスク
- 評価対象となる統制
- 評価手続の種類
- 評価実施者
- 評価実施日
- 確認した証跡
- サンプルの選定方法
- 評価結果
- 発見事項
- 不備と判断した理由
- 不備ではないと判断した理由
- レビュー者の確認結果
ここで注意しておきたいのは、評価調書に「問題なし」とだけ記載しても、説明資料にはならないという点です。
「どの資料を見て、何を確認し、どのような理由で有効と判断したのか」が残っていなければ、後から評価の妥当性を検証できません。
J-SOX評価では、手続を実施した事実だけでなく、評価者の判断過程を残すことが重要になります。
特に、例外や逸脱が見つかった場合には、単に「軽微」と処理するのではなく、なぜ軽微と判断したのか、他の取引にも波及する可能性はないのか、補完統制はあるのか、是正が必要かを記録しておく必要があります。
不備集計では、個別の指摘を「全体としての影響」に引き上げて考える
評価手続で不備が見つかった場合、まずは個別の不備として整理します。
ただ、J-SOX評価では、個別不備だけを見ていては不十分です。複数の不備が重なることで、財務報告に重要な影響を及ぼす可能性が高まることがあるためです。
不備集計では、次のような観点で整理していきます。
- 整備不備か、運用不備か
- どのプロセスで発生したか
- どの拠点で発生したか
- どの勘定科目や開示項目に影響するか
- 金額的影響はどの程度か
- 質的に重要な論点を含むか
- 発生可能性は高いか
- 補完統制が存在するか
- 期末日までに是正されたか
- 同様の不備が他プロセスにも存在する可能性はないか
不備集計で避けたいのは、「1件だけだから重要ではない」と短絡的に判断してしまうことです。
不備の重要性は、件数だけでは決まりません。対象となる統制の性質、影響する勘定科目、経営者関与の有無、決算・開示への影響、子会社管理やIT統制との関係などを踏まえて判断する必要があります。
また、同じような不備が複数の拠点やプロセスで発生している場合、それは単なる個別ミスではないかもしれません。全社的な統制環境や教育、モニタリングの弱さを示している可能性があります。
不備集計は、監査法人対応のためだけに行うものではありません。会社として、どこに構造的な弱さがあるのかを把握するための、重要な管理資料です。
是正と再評価は、J-SOX評価手続の「後処理」ではない
不備が見つかった後に重要になるのが、是正です。
ただし、是正とは、評価調書上の指摘を消すことではありません。統制が実際に改善され、期末日時点で有効に機能していると説明できる状態にすることを指します。
是正で確認すべき事項は、次のとおりです。
- 不備の原因は何か
- ルールの不備なのか、運用の不徹底なのか
- 現場が実行できる改善策になっているか
- 改善後の証跡は残るか
- 改善策の責任者と期限は明確か
- 改善後に再評価できる期間が確保されているか
- 経営層や監査法人に説明すべき論点はないか
ここでよく見られる失敗が、不備を発見した後に「今後は注意します」で終わってしまうことです。
J-SOX評価上は、それだけでは不十分です。注意喚起をしただけでは、統制が改善されたとは言い切れません。
必要に応じて、規程の改訂、業務フローの見直し、承認権限の明確化、システム設定の変更、証跡保存ルールの整備、教育、モニタリングなどを行う必要があります。
さらに、是正しただけでも足りません。是正後に再評価し、改善後の統制が実際に運用されているかを確認する必要があります。
この再評価まで含めて、J-SOX評価手続は完結します。
評価基準日は期末日だが、期末にすべてを評価するのは現実的ではない
J-SOXにおける経営者評価は、期末日を評価時点として行うものとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
とはいえ、期末日近くにすべての評価手続を一度に行えばよいわけではありません。
実務上は、期中に整備評価や運用評価を実施し、その後、期末日までの変化や是正状況を確認する形で進めることが多くなります。
この考え方がないと、期末になってから次のような問題が一気に表面化します。
- 評価対象統制が確定していない
- 現場から証跡が集まらない
- 文書化されたフローと実態が違う
- 不備が見つかったが是正期間が足りない
- 監査法人との協議が間に合わない
- 内部統制報告書の評価結論を出せない
J-SOX評価は、期末日の一時点で突然できるものではありません。
期中評価、是正、再評価、期末時点での総合評価までを見据えて、年間スケジュールを設計しておく必要があります。
外部委託やIT統制も評価手続の外に置いてはいけない
近年は、経理・給与・販売管理・在庫管理・決済・会計システムなど、財務報告に関係する業務の一部を外部サービスやクラウドシステムに依存している会社も少なくありません。
この場合、「外部に委託しているから自社の評価対象外」と考えるのは危険です。
金融庁の内部統制基準では、外部に委託した業務の内部統制についても評価範囲に含めるとされています。
また、委託業務が重要な業務プロセスの一部を構成している場合、経営者は当該業務を提供している外部の受託会社の業務に関し、その内部統制の有効性を評価しなければならないとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準
これは、クラウドサービスを使ってはいけないという意味ではありません。
重要なのは、財務報告に影響する処理がどこで行われているか、そしてその処理の正確性・完全性・承認・変更管理・アクセス管理をどのように確認するかです。
IT全般統制やIT業務処理統制の評価を十分に整理しないまま運用評価だけを進めると、後から「このシステム処理に依拠してよいのか」「アクセス権限の管理は有効か」「変更管理の証跡はあるか」という論点が出てきます。
J-SOX評価手続では、業務プロセス、IT、外部委託を分けて考えすぎないことが大切です。財務報告リスクから逆算して、どこに統制があり、どこに証跡が残るのかを整理していきます。
評価手続の品質を左右するのは、評価者の独立性と専門性である
J-SOX評価では、誰が評価するかも重要な論点です。
統制を実施した本人が自分の統制を評価しても、独立的な評価としては説得力が弱くなります。
もちろん、現場部門による自己点検やセルフチェックは有用です。ただ、それだけで経営者評価を完結させることは難しい場合があります。
評価者には、少なくとも次のような要件が求められます。
- 評価対象業務から一定の独立性があること
- 財務報告リスクを理解できること
- 業務フローを読み解けること
- RCM上のリスクと統制の対応関係を理解できること
- 証跡の十分性を判断できること
- 不備の重要性を初期的に整理できること
- 監査法人に説明できる調書を作成できること
ここが弱いと、評価調書は形式的なものになりがちです。
形式的な評価調書は、評価手続を実施したように見えても、実際には経営者評価を支える根拠になりません。監査法人から追加確認を求められ、現場への資料依頼が増え、結局は負荷が大きくなります。
評価手続を効率化するために必要なのは、評価手続を省略することではありません。評価の品質を上げることです。
過剰評価と過少評価のどちらも問題になる
J-SOX評価手続では、過少評価だけでなく、過剰評価にも注意が必要です。
過少評価とは、本来評価すべき重要な統制を評価していない状態を指します。これは、内部統制報告制度上のリスクだけでなく、監査法人対応や開示対応にも大きな影響を与えます。
一方、過剰評価とは、財務報告リスクに照らして重要性が低い統制まで、広く深く評価しすぎている状態です。
過剰評価は一見すると慎重に見えますが、実務上は次のような問題を生みます。
- 現場の資料準備負荷が増える
- 評価者の作業時間が増える
- 監査法人の確認対象も増える
- 本当に重要な統制への注意が薄れる
- J-SOX対応が「重い制度対応」として現場に嫌われる
J-SOX対応の品質は、評価項目の多さで決まるわけではありません。
大切なのは、財務報告に重要な影響を及ぼすリスクに対して必要十分な統制を選び、その統制について整備・運用・証跡・不備対応を説明できることです。
金融庁の事例集でも、内部統制の有効性は保ちつつ、企業の実態に合った効率的な内部統制が整備・運用されることを目指す考え方が示されています。
出典：金融庁｜内部統制報告制度に関する事例集～中堅・中小上場企業等における効率的な内部統制報告実務に向けて～
評価手続は、決算・開示・経営管理の改善にもつながる
J-SOX評価手続は、監査法人に見せるためだけの作業ではありません。
評価手続を通じて見えてくる課題は、決算・開示・経営管理の課題そのものでもあります。
たとえば、次のような不備は、J-SOX上の不備であると同時に、経営管理上の弱点でもあります。
- 月次決算の締めが遅い
- 残高確認が担当者任せになっている
- 売上計上の根拠が十分に整理されていない
- 連結パッケージのレビューが形式的である
- 開示基礎資料の作成責任が曖昧である
- システム権限の棚卸が行われていない
- 子会社の経理資料を親会社が十分に確認できていない
- 承認はあるが、何を承認したのかが残っていない
これらは、J-SOX対応だけの問題ではありません。
数字の信頼性、決算早期化、開示品質、子会社管理、権限移譲、業務標準化、経営会議の質に直結します。
J-SOX評価手続を丁寧に行うと、会社の業務や数字のどこが属人化しているのか、どこに証跡が不足しているのか、どのプロセスで手戻りが発生しやすいのかが見えてきます。
つまり、J-SOX評価は「不備を見つけるための作業」ではなく、「会社の説明力を高めるための作業」でもあるということです。
J-SOX評価手続でよくある実務上の落とし穴
J-SOX評価手続では、次のような落とし穴がよく見られます。
評価計画が遅すぎる
期末に近づいてから評価を始めると、不備が見つかっても是正する時間がありません。特に整備不備は、ルールや業務フローそのものの見直しを伴うため、短期間での改善が難しいことがあります。
3点セットと実態がずれている
業務記述書やフローチャートが古いままになっていると、評価手続は実態を反映しません。文書上は統制があるのに、現場では別の運用をしている場合、整備評価の段階で手戻りになります。
キーコントロールが多すぎる
重要な統制を絞り込めていない場合、評価対象が増えすぎます。結果として、現場負荷が高まり、評価品質もばらつきます。
証跡の質を見ていない
承認印やシステムログがあるだけで安心してしまうと、統制の実質を見落とします。誰が何を確認したのか、差異があった場合にどう対応したのかまで確認する必要があります。
不備の原因分析が浅い
不備を「担当者のミス」として処理すると、再発します。ルールが曖昧だったのか、教育不足だったのか、システム上の制約なのか、職務分掌に無理があったのかを整理する必要があります。
経営層への報告が遅い
J-SOX評価の不備は、現場だけで抱えるべきものではありません。重要な不備に発展する可能性がある場合には、経営層、監査役等、監査法人との共有が必要になります。
J-SOX評価手続を機能させるための実務上の判断軸
J-SOX評価手続を実効性あるものにするには、次の判断軸を持っておくことが重要です。
第一に、その評価手続は、財務報告リスクに対応しているか。
第二に、その統制は、現場で継続的に運用できるか。
第三に、その証跡は、後から第三者に説明できるか。
第四に、不備が出た場合に、期末日までに是正・再評価できるか。
第五に、監査法人、内部監査、経営層、現場の間で、同じ理解に立てるか。
この5つが揃っていない評価手続は、どれだけ調書の枚数が多くても、J-SOX対応としては不安定です。
反対に、評価範囲、統制選定、整備評価、運用評価、不備集計、是正、報告が一貫していれば、J-SOX対応は単なる制度対応ではなく、会社の管理体制を強くする取り組みになります。
まとめ｜J-SOX評価手続は、会社の説明力を高めるプロセスである
J-SOX評価手続は、評価計画、統制選定、整備評価、運用評価、評価調書、不備集計、是正、総合評価という一連の流れで進みます。
この流れを形式的に進めるだけでは、J-SOX対応はどうしても重い作業になります。
しかし、リスクと統制の関係を整理し、現場で回る運用に落とし込み、証跡を残し、不備を改善し、経営層や監査法人に説明できる状態を作ることができれば、J-SOX評価手続は会社の信頼性を高める仕組みになります。
J-SOX対応で重要なのは、「評価したこと」ではありません。
「どのリスクに対して、どの統制があり、どの証跡で、どのように有効性を判断したのか」を説明できることです。
この説明力こそが、決算・開示・内部監査・監査法人対応・子会社管理・経営管理体制を支える基盤になります。
J-SOX評価手続の整理・見直しをご検討の方へ
J-SOX評価手続は、文書化、評価調書、サンプリング、不備判定といった個別作業だけで考えると、どうしても場当たり的になりがちです。
実際には、評価範囲の妥当性、キーコントロールの選定、証跡の設計、評価者の独立性、監査法人との協議、不備の是正可能性、決算・開示体制との接続までを、一体で整理していく必要があります。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なるチェックリスト作成ではなく、会社が自らの数字・業務・判断過程を説明できる状態に整えるための支援として位置づけています。
評価手続が属人化している、監査法人対応で手戻りが多い、証跡が十分に残っていない、評価範囲やキーコントロールの見直しが必要かもしれない。そう感じていらっしゃる場合は、まずは現在の評価体制と課題を整理するところからご相談ください。
お問い合わせページより、現在のご状況とご相談内容をお知らせいただければ、J-SOX評価手続のどこから見直すべきかを一緒に整理いたします。
振り返り｜J-SOX評価手続の重要ポイント
| 項目 | 実務上のポイント |
|---|---|
| 評価計画 | 評価範囲、時期、担当者、証跡、不備対応、監査法人協議まで事前に設計する |
| 統制選定 | すべてを見るのではなく、財務報告リスクに効くキーコントロールを見極める |
| 整備評価 | 統制がリスクに対応する設計になっているか、現場で実施可能かを確認する |
| 運用評価 | 統制が対象期間を通じて継続的に実施され、証跡が残っているかを確認する |
| 評価調書 | 作業記録ではなく、評価手続と判断根拠を説明する資料として作成する |
| 不備集計 | 個別不備だけでなく、拠点・プロセス・勘定科目・全社統制への影響を整理する |
| 是正・再評価 | 不備を修正するだけでなく、改善後の統制が有効に運用されているかを確認する |
| 期末評価 | 期末日時点の有効性を説明できるよう、期中評価とロールフォワードを組み合わせる |
| IT・外部委託 | 外部サービスやクラウド利用部分も、財務報告リスクに応じて評価対象に含める |
| 経営管理への接続 | J-SOX評価を、決算早期化、開示品質、業務標準化、子会社管理の改善につなげる |
