監査法人が依拠しやすい内部評価体制の作り方｜J-SOX評価の品質を高める実務設計

J-SOX対応として、内部評価は実施している。評価調書もある。サンプルも抽出している。不備一覧も作成している。

それでも監査法人から、「追加で確認します」「この調書だけでは判断できません」「サンプルの母集団を再確認してください」「評価者の独立性を整理してください」と指摘され、結局、監査法人対応で多くの手戻りが生じてしまう会社があります。

このとき問題になっているのは、調書の見た目やサンプル件数ではありません。

監査法人が見ているのは、会社の内部評価が、経営者評価として信頼できる品質で実施されているかどうかです。評価者は客観的に評価できる立場にあるのか。評価手続はリスクに対応しているのか。母集団は完全なのか。証跡から統制の実施内容を読み取れるのか。例外処理は適切に判断されているのか。レビューは形式ではなく実質的に行われているのか。問われているのは、こうした点です。

本記事では、監査法人が依拠しやすい内部評価体制を作るために、会社側が整理しておきたい実務論点を解説します。

なお、ここでいう「依拠しやすい」とは、監査法人が必ず内部評価結果を利用する、あるいは監査手続が必ず軽減される、という意味ではありません。監査法人が内部評価結果をどのように利用するかは、監査計画、重要な虚偽表示リスク、内部評価の品質、そして職業的専門家としての判断によって異なります。本記事の目的は、会社として経営者評価の品質を高め、監査法人・監査役等・経営層に説明できる内部評価体制を作ることにあります。

監査法人が内部評価結果を利用しにくい会社の共通点

内部評価を実施しているにもかかわらず、監査法人が十分に利用しにくい会社には、いくつかの共通点があります。

代表的なものは、次のような状態です。

• 評価者が、評価対象業務の担当者と実質的に同じである
• 評価手続が、前年調書のコピーになっている
• RCM上の統制と、実際の業務・システム・証跡がずれている
• サンプル抽出の母集団が明確でない
• 評価調書に、何を確認したのかが具体的に記載されていない
• 証跡を添付しているだけで、評価者の判断が残っていない
• 例外や逸脱があっても、原因・影響・補完統制・再評価が整理されていない
• レビュー欄に押印やチェックはあるが、レビュー内容が分からない
• IT統制や電子証跡の前提が確認されていない
• 子会社や海外拠点の評価品質にばらつきがある
• 監査法人からの過年度指摘が、翌期の評価計画に反映されていない

これらは、評価作業の不足というより、内部評価体制の設計不足です。

J-SOX評価は、調書を埋める作業ではありません。経営者が、財務報告に係る内部統制の有効性を評価し、その判断を説明できる状態にするためのプロセスです。監査法人にとって利用しやすい内部評価体制とは、会社側の判断過程が明確で、第三者が追跡でき、例外が隠されず、結論に至る根拠を調書上で確認できる体制だといえます。

金融庁は、2023年4月に内部統制基準・実施基準の改訂意見書を公表し、内部統制報告制度の実効性、評価範囲の判断、不正リスク、経営者による内部統制の無効化、ITへの対応などを含めた見直しを行っています。J-SOX評価は、例示や過年度踏襲を機械的に処理するものではなく、財務報告の信頼性に及ぼす影響の重要性を踏まえた判断が求められます。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）

また、金融庁は2023年8月に「内部統制報告制度に関するQ&A」および「内部統制報告制度に関する事例集」を改訂しています。評価範囲、評価手続、不備対応などは、現行の基準・実施基準・Q&A・事例集を踏まえて整理する必要があります。
出典：金融庁｜内部統制報告制度に関するQ&A
出典：金融庁｜内部統制報告制度に関する事例集

「監査法人に依拠してもらうこと」を目的化してはいけない

内部評価体制を整えるときに注意したいのは、「監査法人に依拠してもらうこと」そのものを目的にしないことです。

• 監査法人に利用してもらうために調書を作る
• 監査法人の手続を減らすためにサンプルを増やす
• 監査法人が求める形式に合わせることだけを優先する
• 不備があると依拠されにくいから、例外を軽く扱う
• レビュー印を揃えて、体裁だけ整える

こうした発想は危険です。

J-SOXにおける内部評価は、あくまで経営者評価の一部です。会社が、自社の財務報告に係る内部統制をどのように評価し、どのような根拠で有効性を判断したのかを説明するためのものです。

監査法人が利用しやすい内部評価体制とは、監査法人向けの資料作成体制ではありません。会社自身が、リスク、統制、証跡、評価手続、不備、是正を一貫して説明できる体制です。その結果として、監査法人も内部評価結果を検討しやすくなります。

日本公認会計士協会の監査基準報告書610「内部監査人の作業の利用」では、監査人が内部監査人の作業を利用する場合に、内部監査機能の客観性、能力、専門職としての規律ある姿勢と体系的な手法などを評価する考え方が示されています。同報告書は財務諸表監査における内部監査人の作業利用に関する実務指針であり、J-SOXの内部評価体制そのものを直接規定するものではありません。それでも、監査法人が内部評価の品質をどのような発想で見ているのかを理解するうえでは、重要な手がかりになります。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

内部評価体制の品質は、5つの要素で決まる

監査法人が検討しやすい内部評価体制を作るには、少なくとも次の5つを整える必要があります。

品質要素	見られるポイント
評価者の独立性・客観性	評価対象業務から一定程度独立した立場で評価しているか
評価者の能力	J-SOX、会計、業務プロセス、IT、証跡を理解しているか
評価手続の明確性	何を、どの母集団から、どの方法で、どの証跡により確認するかが明確か
評価調書の品質	実施手続、確認結果、例外判断、結論、レビューが追跡できるか
品質管理・レビュー	評価作業を第三者的にレビューし、ばらつきや誤りを是正しているか

この5つのうち、どれか1つが弱いだけでも、内部評価結果の利用可能性は下がります。

たとえば、評価者の知識が十分であっても、評価対象業務の担当者自身が自己評価している場合には、客観性に疑問が生じます。証跡が豊富でも、評価調書に何を確認したかが書かれていなければ、判断過程は分かりません。評価調書が丁寧でも、レビュー体制が弱ければ、評価者ごとの判断のばらつきが残ります。

内部評価体制は、個人の能力だけに頼るのではなく、仕組みとして設計する必要があります。

評価者の独立性・客観性をどう確保するか

J-SOX評価では、評価者が評価対象業務からどの程度独立しているかが重要になります。

理想的には、内部監査部門やJ-SOX評価担当部門が、評価対象部門から独立した立場で評価を実施します。とりわけ、販売、購買、在庫、固定資産、人件費、資金、決算・開示、IT統制など、財務報告に重要な影響を与える領域では、業務実施者による自己評価だけでは十分とはいえません。

ただし、すべての会社が独立した内部監査部門を十分な人数で持てるわけではありません。上場準備会社、成長企業、少人数の管理部門では、内部監査担当者が1名、あるいは兼務であることもあります。

その場合でも、次のような工夫により、客観性を高める余地があります。

• 評価対象業務の実施者と評価者を分ける
• 同じ管理部門内でも、自己レビューにならないよう担当を分ける
• 重要統制については、外部専門家による調書レビューを受ける
• IT統制は、情報システム部門だけでなく経理・内部監査が評価観点を確認する
• 子会社評価は、子会社担当者の自己点検だけで終わらせず、親会社がレビューする
• 評価結果を、CFO、内部監査責任者、監査役等に報告する
• 評価者の兼務状況、利害関係、評価対象との関係を評価計画書に明記する

重要なのは、「完全に独立した組織がないから無理だ」と考えないことです。自社の人的制約を前提としたうえで、どの統制について、どの程度の客観性を確保する必要があるかを判断していきます。

少人数体制では、すべての統制について同じ水準の独立性を確保することが難しい場合もあります。その場合は、財務報告リスクが高い統制、監査法人が重視する統制、過年度に不備があった統制、判断を伴う決算・開示統制、IT依存度が高い統制から優先して、評価者・レビュー者の客観性を高めるべきです。

評価者に必要なのは「作業経験」ではなく、リスクを読む力である

内部評価の品質は、評価者の能力に大きく左右されます。

ただし、ここでいう能力とは、過去にJ-SOX調書を作成したことがある、サンプル抽出をしたことがある、監査法人対応をしたことがある、といった経験だけを指すものではありません。

必要なのは、次のような力です。

• 財務報告リスクを理解する力
• 業務プロセスと会計処理のつながりを理解する力
• RCM上のリスクと統制の対応関係を読み解く力
• 統制の整備不備と運用不備を区別する力
• 証跡から統制実施の有無と内容を読み取る力
• サンプルの母集団、抽出条件、網羅性を確認する力
• 例外や逸脱があった場合に、不備の影響を整理する力
• IT統制や電子証跡の前提を理解する力
• 評価調書に、判断過程を過不足なく記録する力

J-SOX評価は、チェックリストを消化する作業ではありません。リスクに対して統制が効いているかを判断する作業です。

たとえば、「上長承認があるか」を確認するだけであれば、承認印やワークフロー承認ログを見れば終わります。しかし、評価者が見るべきなのは、承認が形式的に存在するかどうかだけではありません。

• 承認者は適切な権限者か
• 承認時点は取引実行前か、事後か
• 承認対象資料は十分か
• 承認者が何を確認したか分かるか
• 例外があった場合、差戻しや修正の記録が残っているか
• 承認権限を超過した取引はないか
• システム上の承認権限が職務権限規程と一致しているか

ここまで確認して、初めて承認統制の運用を評価できます。

内部評価者は、評価対象業務の細部を現場担当者以上に知っている必要はありません。しかし、現場担当者の説明をそのまま受け取るのではなく、財務報告リスクに照らして「何を確認すべきか」を判断できる力は欠かせません。

評価計画は、評価作業の予定表ではなく、品質設計図である

内部評価体制の品質は、評価計画の段階でほぼ決まります。

評価計画が曖昧なまま評価を始めると、評価者ごとに判断がばらつき、母集団やサンプルの取り方が不統一になり、調書の粒度も揃わなくなります。結果として、監査法人から追加確認を求められやすくなります。

評価計画には、少なくとも次の事項を含めるべきです。

• 評価対象範囲
• 対象拠点・対象プロセス・対象システム
• キーコントロール一覧
• 整備評価と運用評価の実施時期
• 評価者とレビュー者
• 評価者の独立性・兼務状況
• 母集団の取得方法
• サンプリング方針
• 証跡入手方法
• IT生成データ・帳票の信頼性確認方法
• 例外・逸脱の報告ルール
• 不備集計方法
• 是正・再評価の方針
• 監査法人との協議時期
• 経営層・監査役等への報告時期
• 前年度不備・監査法人指摘の反映状況

評価計画が単なる年間スケジュールで終わっている会社は、内部評価の品質が安定しません。

重要なのは、「誰がいつ評価するか」だけでなく、「どのリスクに対して、どの統制を、どの方法で評価し、どの水準の証跡をもって結論を出すか」を事前に決めておくことです。

監査法人との協議も、この評価計画段階で行うべきです。期末に評価結果だけを提出しても、母集団、サンプリング、証跡、評価者、IT統制の前提に問題があれば、手戻りは大きくなります。

評価調書は「作業メモ」ではなく、結論に至る判断証跡である

監査法人が内部評価結果を検討する際、最も直接的に確認するのが評価調書です。

評価調書の品質が低いと、どれだけ評価作業を実施していても、監査法人から見れば「何を確認したのか分からない」「なぜ有効と判断したのか分からない」という状態になってしまいます。

評価調書には、最低限、次の情報が必要です。

調書項目	記載すべき内容
統制番号・統制名	RCMと対応する統制を明確にする
関連リスク	どの財務報告リスク・アサーションに対応するか
評価対象期間	いつからいつまでの運用を評価したか
母集団	何を母集団とし、どのように取得したか
サンプル抽出方法	件数、抽出基準、抽出日、抽出者を明確にする
評価手続	何を、どの資料で、どの観点から確認したか
確認結果	各サンプルで確認した事項と結果
例外・逸脱	内容、原因、影響、対応方針
評価者結論	整備・運用の有効性に関する判断
レビュー	レビュー者、レビュー日、レビュー内容、修正事項
証跡参照	添付資料、ファイル名、保存場所、参照番号

一方で、調書において避けるべきなのは、次のような記載です。

• 「問題なし」だけで終わっている
• 「承認済みであることを確認」とだけ記載し、何を見たか分からない
• 添付資料はあるが、調書から証跡の該当箇所に辿れない
• サンプル一覧と証跡の対応関係が不明
• 例外があるのに、調書上は「有効」とだけ結論づけている
• レビュー者のチェック欄はあるが、レビュー内容が残っていない
• 前年調書をコピーし、実際の業務変更が反映されていない

評価調書は、評価者の作業メモではありません。後から第三者が同じ調書を見て、同じ結論に至る合理性を確認できる、判断の証跡です。

サンプリングでは、件数よりも母集団の完全性が重要である

内部評価の品質を下げる大きな原因の一つが、母集団の曖昧さです。

サンプル件数をいくら増やしても、母集団が不完全であれば評価結果は信頼できません。監査法人が確認したいのは、「何件見たか」だけではなく、「何から抽出したのか」「その母集団は完全か」「抽出条件は適切か」という点です。

母集団については、次の事項を整理する必要があります。

• 母集団の定義は明確か
• 評価対象期間と一致しているか
• 対象となる取引・承認・レビュー・仕訳・帳票が網羅されているか
• システムから抽出した場合、抽出条件が保存されているか
• 手作業で作成した一覧の場合、元データとの照合が可能か
• 除外データがある場合、除外理由が明確か
• 重複や欠番がないか
• 母集団作成者と評価者が分かれているか
• IT生成レポートを利用する場合、レポートの完全性・正確性を確認しているか

特に注意が必要なのは、Excelで作成された母集団です。

Excelは柔軟で便利ですが、抽出条件、加工履歴、削除行、手修正、バージョン管理が曖昧になりやすいという弱点があります。Excelを使うこと自体が問題なのではありません。問題は、Excel上で作成・加工された母集団について、網羅性と正確性を説明できないことにあります。

内部評価体制を高めるには、サンプリング方針を標準化し、評価者が任意にサンプルを選ばない仕組みを作る必要があります。

証跡は「存在」ではなく「統制内容が読み取れるか」で判断する

監査法人が内部評価結果を利用しにくい典型例に、「証跡はあるが、統制実施内容が分からない」というものがあります。

• 承認ログはあるが、何を承認したのか分からない
• レビュー印はあるが、何を確認したのか分からない
• 会議資料はあるが、議論内容や結論が議事録に残っていない
• 差異分析表はあるが、分析結果に対する判断が残っていない
• システムログはあるが、ログの意味や抽出条件が分からない
• メール承認はあるが、添付資料や承認対象が不明
• 証跡ファイル名が統一されておらず、調書から該当資料に辿れない

証跡は、単に存在していればよいというものではありません。統制実施者が、いつ、何を、どの資料で確認し、どのような結論を出し、例外にどう対応したのかを読み取れる必要があります。

特にレビュー統制では、「レビューした」という事実だけでは不十分です。

• レビューの対象
• レビューの観点
• レビュー時点
• レビュー者
• レビュー結果
• 差戻しや修正の有無
• 修正後の再確認
• 例外処理の承認

これらが残っていなければ、実質的なレビューがあったかどうかを後から説明できません。

電子証跡の場合も同じです。ワークフロー承認、ログ、タイムスタンプ、アクセス履歴、電子帳票は、紙よりも強い証跡になり得ます。一方で、システム権限、変更履歴、ログ保存期間、承認対象データの固定性、後日修正可能性を確認しなければ、証跡としての信頼性を十分に説明できないこともあります。

例外処理を隠さない体制が、評価品質を高める

内部評価で例外や逸脱が発見されたとき、その会社の評価品質がよく表れます。

品質が低い評価体制では、例外が見つかっても、調書上で曖昧に処理されてしまいます。

• 「軽微」とだけ記載する
• 「担当者に確認済み」とだけ記載する
• 「次回から注意」として終わる
• 補完統制の有無を確認しない
• 同種の不備が他にもないか確認しない
• 原因分析をしない
• 是正完了の証跡を残さない
• 経営層や監査役等へ報告しない

一方、評価品質が高い会社では、例外を隠すのではなく、評価可能な形で整理します。

• 例外の内容
• 発生原因
• 影響するリスク
• 金額的影響
• 質的重要性
• 発生頻度
• 同種不備の有無
• 補完統制の有無と運用状況
• 是正策
• 責任者
• 期限
• 再評価方法
• 不備判定への影響
• 監査法人との協議要否

J-SOX評価では、例外が1件もないことが品質ではありません。例外を適切に検出し、原因と影響を整理し、必要な是正と再評価につなげることが品質です。

不備を軽く見せるための評価体制は、監査法人から信頼されません。むしろ、例外処理の透明性が高い会社ほど、内部評価体制への信頼は高まります。

レビュー体制は、押印ではなく「判断の品質管理」である

内部評価調書のレビューは、単なる承認手続ではありません。

レビュー者は、評価者の作業が適切に実施されているか、結論が証跡に基づいているか、例外判断が妥当か、評価者ごとの判断にばらつきがないかを確認する役割を担います。

レビューで確認すべき事項は、次のとおりです。

• 評価対象統制はRCMと一致しているか
• 評価手続はリスクに対応しているか
• 母集団の定義と抽出方法は明確か
• サンプル選定に偏りがないか
• 証跡は統制実施内容を示しているか
• 例外・逸脱の判断は妥当か
• 補完統制の評価は十分か
• 結論と調書記載が整合しているか
• 前年指摘や監査法人コメントが反映されているか
• 必要な是正・再評価が漏れていないか

レビューの質を高めるうえでは、レビューコメントを残すことが重要です。

「レビュー済み」の押印だけでは、何をレビューしたのか分かりません。少なくとも重要統制、不備判断、IT統制、子会社評価、決算・開示統制については、レビューコメント、修正指示、再確認結果を残すべきです。

レビュー体制が弱い会社では、評価者ごとに調書の粒度や判断基準が異なってきます。ある評価者は厳しく例外を検出し、別の評価者は同じ状態を問題なしと判断する。こうしたばらつきは、監査法人にとって利用しにくい内部評価結果につながります。

内部評価体制の品質管理では、レビュー者の役割を明確にし、重要論点については二次レビューや責任者レビューを設定することが有効です。

IT統制を評価体制に組み込まなければ、内部評価は弱くなる

現代のJ-SOX評価では、IT統制を評価体制に組み込むことが不可欠です。

販売管理、購買管理、在庫管理、経費精算、人事給与、会計、連結、開示、ワークフローなど、財務報告に関係する多くの処理はシステムに依存しています。業務統制だけを評価しても、その前提となるシステム権限、マスタ、変更管理、データ連携、ログが弱ければ、統制の有効性を十分に説明できないことがあります。

内部評価体制では、次のようなIT論点を組み込む必要があります。

• 財務報告に関連するシステム一覧を整備する
• IT全般統制の対象システムを明確にする
• アクセス権限管理を評価する
• 特権IDの利用・承認・ログを評価する
• システム変更管理を評価する
• 本番環境への移行承認を評価する
• バックアップ・障害対応を評価する
• 外部委託先・クラウドサービスの管理を評価する
• IT生成帳票の完全性・正確性を確認する
• ワークフロー承認や電子証跡の信頼性を確認する
• IT依存統制をRCM上で識別する

特に、内部評価者がIT統制を理解していない場合、IT部門から資料を受領して添付するだけの評価になりがちです。しかし、監査法人が見ているのは、資料の提出有無ではありません。そのIT統制が、財務報告に係る業務処理統制の信頼性をどのように支えているかです。

IT統制評価は、情報システム部門任せにせず、経理、内部監査、J-SOX担当、IT部門が共通認識を持つ必要があります。

子会社・海外拠点の内部評価品質をどう揃えるか

グループ会社では、内部評価品質のばらつきが大きな課題になります。

• 親会社の評価調書は整っているが、子会社の証跡が弱い
• 海外拠点では、承認やレビューの証跡が現地言語で、内容を確認しにくい
• 子会社の評価者が、J-SOXの評価観点を十分に理解していない
• 連結パッケージのレビューが、親会社側で形式的になっている
• 子会社のIT環境や権限管理が親会社と異なる
• 評価対象外とした子会社について、除外理由やリスク評価が更新されていない

このような状態では、親会社としてグループ全体の財務報告リスクを説明しにくくなります。

子会社・海外拠点の内部評価品質を揃えるには、親会社が次のような仕組みを整えることが有効です。

• グループ共通の評価方針を作る
• 子会社向けの評価手続書を整備する
• 証跡の要求水準を明確にする
• 重要統制について親会社レビューを実施する
• 子会社評価調書を親会社がサンプルレビューする
• 現地言語の証跡について、要約・翻訳・説明資料を整備する
• 子会社の評価者へ教育を行う
• 子会社の不備を親会社の不備集計に反映する
• 子会社のIT環境と外部委託先を把握する
• 年度末だけでなく期中に評価状況を確認する

親会社が子会社に評価作業を依頼するだけでは、グループJ-SOXは安定しません。親会社が子会社の評価品質をレビューし、必要に応じて支援し、グループ全体として説明できる状態にしていく必要があります。

監査法人との関係では「依拠してもらう」より「利用判断しやすい情報を出す」

監査法人が内部評価結果をどの程度利用するかは、監査法人の判断です。

会社側にできるのは、監査法人が利用可能性を検討しやすい情報を整えることです。

具体的には、次の資料を早期に整理します。

• 内部評価計画
• 評価範囲資料
• 評価者・レビュー者一覧
• 評価者の独立性・兼務状況
• RCM・キーコントロール一覧
• サンプリング方針
• 母集団定義と抽出方法
• 評価調書サンプル
• 証跡サンプル
• 例外処理ルール
• 不備集計表
• 是正管理表
• IT統制評価方針
• 内部評価レビュー方針
• 前年度指摘の対応状況

監査法人との協議で重要なのは、完成した評価結果を期末に提出することではありません。評価を始める前に、評価計画、調書様式、母集団、サンプリング、証跡、IT統制、例外処理の方針を共有し、重要な認識差を早期に把握することです。

ただし、監査法人との協議は、会社の評価判断を監査法人に代替してもらう場ではありません。会社としての判断案を持ち、その判断根拠を示したうえで、監査法人と論点を確認する場です。

内部評価体制の成熟度別に、何から整えるべきか

内部評価体制は、会社の規模、上場年数、内部監査部門の有無、子会社数、IT環境、監査法人指摘の状況によって、整えるべき優先順位が異なります。

内部監査部門が未成熟な会社

まず整えるべきなのは、評価計画、評価者・レビュー者、調書様式、証跡要求水準です。

この段階では、網羅的な高度化を目指すよりも、重要な業務プロセスと決算・開示プロセスについて、最低限、第三者が追跡可能な評価調書を作ることを優先すべきです。

評価作業はあるが、監査法人から手戻りが多い会社

この段階では、評価者の教育、母集団の定義、サンプリング方針、レビュー体制を見直します。

調書が存在していても、評価者ごとに判断がばらついている場合、監査法人にとっては利用しにくい状態です。評価手続書、調書記載例、レビュー観点、例外処理ルールを整備する必要があります。

子会社・IT統制・決算開示が複雑な会社

この段階では、親会社による品質管理、IT統制評価、連結決算・開示統制の評価品質を高めることが重要になります。

単体の業務プロセス評価だけが整っていても、子会社パッケージ、連結修正、開示基礎資料、IT生成データの信頼性が弱ければ、J-SOX全体の評価品質は安定しません。

IPO準備会社

IPO準備会社では、上場後にJ-SOXを本番運用できる体制を、前倒しで整える必要があります。

直前期になってから評価体制を作ろうとしても、十分な運用実績や証跡を積み上げることは難しくなります。上場準備段階では、3点セット、RCM、評価範囲、内部監査担当、ドライラン、証跡ルール、課題管理表を早期に整備し、上場会社と同等の評価水準に近づけていく発想が重要です。

内部評価体制で避けるべき落とし穴

監査法人が依拠しやすい内部評価体制を作るうえで、避けておきたい落とし穴があります。

1. 評価作業を外部専門家に丸投げする

外部専門家の活用自体は有効です。しかし、評価作業を丸投げしてしまうと、会社側に評価ノウハウが残りません。

経営者評価は会社の責任です。外部専門家は、評価設計、調書レビュー、サンプリング支援、品質管理、教育、論点整理に活用しつつ、会社側が判断過程を理解している状態を作る必要があります。

2. 調書の体裁だけを整える

調書のフォーマットが整っていても、評価手続や判断が弱ければ品質は高まりません。

監査法人が見るのは、見た目ではなく、リスクと統制の対応、証跡の十分性、例外判断、レビュー内容です。

3. 不備を出さないことを評価者の目標にする

不備を出さないことを評価者の目標にすると、例外が隠れてしまいます。

内部評価の目的は、不備をゼロに見せることではありません。重要な不備を早期に発見し、原因を整理し、是正し、再発防止につなげることです。

4. IT統制を別枠にする

IT統制を情報システム部門の別資料として扱うと、業務統制との接続が弱くなります。

IT統制は、業務処理統制や電子証跡の信頼性を支える前提です。RCM、評価計画、証跡設計と一体で整理する必要があります。

5. レビューを形式的な承認にする

レビュー欄にチェックがあっても、レビュー内容が残っていなければ品質管理にはなりません。

重要な調書については、レビューコメント、修正指示、再確認結果を残す必要があります。

監査法人が依拠しやすい内部評価体制は、経営管理にも効く

内部評価体制を整えることは、監査法人対応だけに効くわけではありません。

• 評価者の独立性を整えることは、業務の自己点検体制を強くします
• 評価計画を整えることは、年間の決算・開示・内部監査スケジュールを安定させます
• RCMを見直すことは、業務フローと財務報告リスクの関係を明確にします
• 証跡管理を整えることは、決算・開示資料の説明力を高めます
• 例外処理を標準化することは、不備の早期発見と是正を促進します
• レビュー体制を整えることは、属人化を減らし、引継ぎや権限移譲をしやすくします
• IT統制を組み込むことは、データ管理とシステム変更管理の品質を高めます
• 子会社評価を標準化することは、グループ経営管理を強くします

J-SOX対応を監査法人対応だけで終わらせる会社は、評価作業が毎年重くなります。一方で、内部評価体制を経営管理の仕組みとして整える会社は、評価作業が決算早期化、開示品質、業務標準化、子会社管理、IT統制、内部監査の高度化につながっていきます。

内部評価体制の品質は、会社の説明力そのものです。

まとめ｜監査法人が見ているのは、評価結果ではなく評価体制の信頼性である

監査法人が内部評価結果を検討するとき、見ているのは「評価済み」という結論だけではありません。

• 評価者は客観的か
• 評価者は必要な能力を持っているか
• 評価計画はリスクに対応しているか
• RCMと実務は一致しているか
• 母集団は完全か
• サンプル抽出は合理的か
• 証跡から統制実施内容を読み取れるか
• 例外処理は適切か
• レビューは実質的に行われているか
• IT統制の前提は確認されているか
• 子会社評価の品質は親会社として管理されているか
• 経営者評価として、判断過程が説明できるか

内部評価体制を整える目的は、監査法人の作業を減らすことではありません。会社が自らの内部統制を評価し、説明できる状態を作ることです。

その状態ができて初めて、監査法人も内部評価結果を検討しやすくなり、監査法人対応の手戻りも減っていきます。

日本公認会計士協会は、財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」について、2025年2月13日承認の改正を公表し、2025年4月1日以後開始する連結会計年度および事業年度に係る内部統制監査から適用することとしています。内部評価体制を設計する際には、会社側のJ-SOX実務だけでなく、監査法人が準拠する内部統制監査の最新実務指針も踏まえて協議することが重要です。
出典：日本公認会計士協会｜「財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」の改正」及び「公開草案に対するコメントの概要及び対応」の公表について

J-SOX内部評価体制の見直しをご検討の方へ

• 内部評価は実施しているものの、監査法人から毎年追加確認を求められる
• 評価調書を作っているが、監査法人に十分利用されていない
• 評価者の独立性やレビュー体制をどう設計すべきか悩んでいる
• サンプリング、母集団、証跡、例外処理の判断が属人化している
• IT統制や子会社評価の品質に不安がある
• 内部監査部門を設置したが、J-SOX評価の品質管理まで手が回っていない
• 外部専門家を活用したいが、どこまで依頼すべきか判断できない

このような状況では、個別調書の修正だけでなく、内部評価体制そのものを見直すことが有効です。

犬飼公認会計士・税理士事務所では、J-SOX評価体制の設計、評価計画の見直し、RCM・3点セットの改善、評価調書レビュー、サンプリング・証跡設計、IT統制・子会社評価、不備管理、監査法人協議に向けた論点整理を支援しています。

監査法人に説明できる内部評価体制を整えたいとお考えでしたら、お問い合わせページよりご相談ください。

振り返り

論点	重要ポイント
内部評価体制の目的	監査法人対応ではなく、経営者評価として内部統制を説明できる状態を作る
依拠の考え方	監査法人が必ず利用するわけではなく、利用しやすい品質を会社側で整える
評価者の独立性	自己評価を避け、重要統制ほど客観的な評価者・レビュー者を配置する
評価者の能力	J-SOX、会計、業務、IT、証跡、不備判断を理解できる人材を育成・配置する
評価計画	対象範囲、評価者、手続、母集団、証跡、例外処理、レビューを事前に設計する
評価調書	実施手続、確認結果、例外、結論、レビュー、証跡参照を追跡可能にする
サンプリング	件数よりも、母集団の完全性・抽出条件・除外理由を明確にする
証跡	存在だけでなく、統制実施内容が読み取れるかを確認する
例外処理	例外を隠さず、原因・影響・補完統制・是正・再評価を整理する
レビュー体制	押印ではなく、判断の妥当性を確認し、レビューコメントを残す
IT統制	業務統制・電子証跡・IT生成データの信頼性を支える前提として評価する
子会社評価	親会社が評価品質をレビューし、グループ全体として説明できる状態にする
外部専門家活用	作業代行ではなく、評価設計、品質管理、教育、論点整理に活用する
経営管理への接続	内部評価体制の整備は、決算早期化、開示品質、業務標準化、子会社管理にもつながる