J-SOX対応のプロジェクト体制と役割分担｜経理・内部監査・IT・現場・経営層をどう整理するか

J-SOX対応がうまく進まない会社を拝見していると、その原因は制度の理解不足よりも、役割分担の曖昧さにあることが少なくありません。

経理部門が3点セットを作っている。内部監査部門が評価調書を作っている。現場部門は依頼された資料を出している。IT部門はアクセス権限表を渡している。監査法人からコメントが来たら、その都度対応している。

一見すると、それぞれが動いているように見えます。しかし、少し掘り下げてみると、次のような問題が浮かび上がってきます。

• 誰が評価範囲の判断根拠を説明するのか
• 誰が業務プロセスの実態を把握しているのか
• 誰が統制の設計責任を持つのか
• 誰が証跡の品質を確認するのか
• 誰がIT統制の対象システムを整理するのか
• 誰が内部監査結果を経営層や監査役等へ報告するのか
• 誰が監査法人との協議論点を整理するのか
• 誰が不備の原因分析と是正状況を最後まで追うのか

これらが曖昧なままでは、J-SOX対応は「担当者ごとの作業」の集合にとどまり、会社として説明できる内部統制にはなりません。

J-SOX対応は、経理部門だけの業務ではありません。内部監査部門だけの評価作業でもなく、監査法人に指摘された事項を直すだけの対応でもありません。財務報告に影響する業務、システム、承認、証跡、決算・開示、子会社管理、監督機能をつなぐ、全社的なプロジェクトです。

本稿では、J-SOX対応のプロジェクト体制と役割分担について、経営者、経理・財務・開示部門、現場部門、IT部門、内部監査部門、監査役等、監査法人、外部専門家という順に、それぞれの役割を整理していきます。

J-SOX対応は、なぜ一部門だけでは完結しないのか

J-SOXは、金融商品取引法上の内部統制報告制度として、財務報告に係る内部統制の有効性を経営者が評価し、監査人が監査する仕組みです。

制度面では、2023年4月に内部統制基準・実施基準の改訂意見書が公表され、同年8月には内部統制報告制度に関するQ&Aおよび事例集が改訂されています。改訂を通じて意識されているのは、評価範囲を形式的・機械的に決めないこと、リスクを踏まえて判断すること、ITへ適切に対応すること、内部統制に関係する者の役割を明確にすること、そしてガバナンスやリスク管理との関係を捉えることです。
出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について

ここで押さえておきたいのは、J-SOXの対象が「財務報告に係る内部統制」であるとしても、その統制が経理部門の中だけで完結するわけではない、という点です。

売上は営業活動から始まります。仕入は購買活動から始まります。棚卸資産は物流、倉庫、生産、販売と結びつきます。人件費は人事・労務情報と給与計算から生じます。固定資産は投資判断、購買、検収、現物管理とつながります。資金は支払承認、銀行権限、資金繰り、残高照合と関係します。

決算・開示も、日常取引、月次決算、連結、注記、開示基礎資料の積み上げで成り立っています。IT統制の範囲も、会計システムにとどまらず、販売管理、購買管理、在庫管理、人事給与、ワークフロー、連結システムなどに及びます。

つまり、財務報告は会社の業務全体の結果なのです。

そのため、J-SOX対応を経理部門だけに寄せると、どうしても「会計処理後の資料整理」になりがちです。しかし、財務報告リスクが生じるのは、会計処理の直前ではありません。取引の発生、承認、入力、検収、請求、入金、支払、システム処理、マスタ管理、例外処理といった段階で、すでに生じています。

J-SOX対応で本当に整理すべきなのは、財務報告の最終数値だけではありません。

誰が取引を起こし、誰が承認し、誰がシステムに入力し、誰が確認し、誰が会計処理し、誰がレビューするのか。どの証跡が残り、どの段階で誤りや不正を防止・発見できるのか。

この流れを会社として説明できるようにすること。それがJ-SOX対応の中核です。

役割分担を設計する前に分けるべき3つの責任

J-SOX対応の体制を考えるとき、最初に切り分けておきたいのが、次の3つです。

• 整備・運用の責任
• 評価の責任
• 監督・監査・助言の役割

この3つを混同したまま進めると、プロジェクト全体が曖昧になります。

整備・運用の責任

内部統制を整備し、日々運用する責任は、基本的に会社側にあります。経営者を最終責任者としたうえで、経理、開示、現場、IT、子会社など、実際に業務を担う部門がそれぞれの統制を実施します。

ここでいう整備・運用とは、規程を作ることだけを指すのではありません。

• 承認ルールを決める
• 職務分掌を整理する
• 業務フローを標準化する
• 証跡が残る運用にする
• IT権限を管理する
• 例外処理を記録する
• 決算資料をレビューする
• 子会社から必要な資料を入手する
• 不備があれば是正する

こうした実務そのものが、整備・運用にあたります。

評価の責任

J-SOXでは、経営者が財務報告に係る内部統制の有効性を評価します。実務上は、内部監査部門やJ-SOX評価担当者が整備評価・運用評価を実施することが多いでしょう。

ただし、評価担当者が統制を実施する部門と同じである場合、評価の客観性に問題が生じやすくなります。

少人数体制では完全な分離が難しいこともあります。その場合でも、評価者、レビュー者、報告先、補完的な確認手続を整理しておく必要があります。

監督・監査・助言の役割

監査役、監査等委員、監査委員、取締役会、監査法人、外部専門家は、それぞれ異なる立場でJ-SOX対応に関与します。

監査役等は、会社の内部統制システムや取締役の職務執行を監査・監督する立場です。監査法人は、経営者評価を前提として内部統制監査を行う独立監査人です。外部専門家は、会社の内部統制の整備・評価・改善について助言や支援を行う立場になります。

この違いを理解しないまま、監査法人や外部専門家に「J-SOXをやってもらう」という発想になってしまうと、会社としての責任が曖昧になります。

経営者の役割｜J-SOX対応の最終責任者として何を見るべきか

J-SOX対応において、経営者の役割は非常に重いものです。

とはいえ、経営者がすべての3点セットに目を通す必要がある、すべての評価調書を自ら確認する必要がある、という意味ではありません。

経営者に求められるのは、J-SOX対応を担当者任せにせず、会社として財務報告の信頼性を確保する体制を整えることです。

具体的には、次の点を確認する必要があります。

• J-SOX対応の責任者と推進体制が明確になっているか
• 評価範囲の判断が、財務報告リスクを踏まえて行われているか
• 重要な不備や監査法人指摘が経営層に報告されているか
• 決算・開示に重大な影響を与える課題が放置されていないか
• 子会社、IT、非定型取引、会計上の見積りなど、見落としやすい領域に目が届いているか
• J-SOX対応が、現場で運用できない形式対応になっていないか
• 内部監査部門や評価担当者に必要な権限と資源が与えられているか
• 経営者自身による内部統制の無効化リスクに対する牽制が機能しているか

とりわけ重要なのは、経営者が「J-SOXは経理部門が対応するもの」という認識にとどまらないことです。

2023年の改訂では、内部統制とガバナンス、全組織的なリスク管理との関係も意識されています。財務報告の信頼性は、会計処理が正しいかどうかだけで決まるものではありません。経営者の姿勢、組織文化、情報伝達、モニタリング、IT環境、不正リスクへの対応とも結びついています。
出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について

J-SOX対応を経営者がどう位置づけるかによって、プロジェクトの温度感は変わります。

経営者が「監査対応のための作業」と見ていれば、現場もその程度の対応になります。反対に、経営者が「会社の数字と業務を説明できる状態にする取り組み」と見ていれば、経理、現場、IT、内部監査の協力の質そのものが変わってきます。

プロジェクト責任者の役割｜論点・期限・関係者を束ねる

J-SOX対応には、プロジェクト責任者が必要です。

この役割は、単なる進捗管理担当ではありません。制度、会計、業務、IT、監査法人対応、経営層報告をつなぐハブになる存在です。

プロジェクト責任者が担うべき主な役割は、次のとおりです。

• プロジェクト計画の作成
• 関係部署の役割分担の整理
• 評価範囲検討の取りまとめ
• 3点セット、RCM、評価調書など成果物の進捗管理
• 監査法人との協議事項の整理
• 課題管理表の更新
• 不備・指摘事項の重要度整理
• 経営層・監査役等への報告
• 翌期以降の改善計画への接続

プロジェクト責任者に必要なのは、すべての論点に一人で答えることではありません。どの論点を誰に確認すべきかを判断できること。ここが要になります。

売上計上の実態は営業・経理へ。在庫管理は物流・生産・経理へ。アクセス権限はIT部門へ。決算整理仕訳は経理へ。評価範囲の考え方は、経営層・内部監査・監査法人との協議へ。監査役等への報告事項は、内部監査結果や重要不備、是正状況と接続させて整理する。

J-SOX対応で手戻りが多い会社では、この「論点の交通整理」が弱いことがよくあります。個々の担当者は資料を作っているのに、全体としてどこにリスクが残っているのか、誰が判断すべきなのか、いつまでに解決すべきなのかが見えなくなってしまうのです。

経理・財務・開示部門の役割｜財務報告リスクを言語化する

経理・財務・開示部門は、J-SOX対応の中核です。

ただし、その役割は「3点セットを作ること」ではありません。会社の取引や業務が財務報告にどう影響するのかを言語化すること。これが本来の役割です。

具体的には、次のような役割があります。

• 重要な勘定科目と業務プロセスの関係を整理する
• 会計処理上のリスクを把握する
• 決算・開示プロセスの統制を設計する
• 会計上の見積りや非定型取引の検討過程を整理する
• 開示基礎資料の作成・レビュー・証跡管理を整える
• 子会社からの連結パッケージや決算資料を確認する
• 監査法人からの会計・開示・内部統制に関する指摘を整理する
• 不備が財務諸表や開示に与える影響を評価する

ここで重要なのは、経理部門が「会計処理の最後」だけを見るのではなく、取引の発生から財務報告までを見通すことです。

決算早期化の実務でも、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して業務を組み立てる視点が欠かせません。経理担当者が最終成果物を理解しないまま自分の担当領域だけを見ていると、手待ち、手戻り、重複が生じ、決算工数が膨らんでいきます。

J-SOX対応でも同じことが起こります。

売上担当は売上だけ、連結担当は連結だけ、開示担当は開示だけ、IT担当はシステムだけ。こうした分断があると、財務報告リスクの全体像は見えてきません。

経理・財務・開示部門には、財務報告の最終成果物から逆算し、どの業務、どの証跡、どの承認、どのレビューが必要なのかを整理する役割があります。

現場部門の役割｜統制は現場で実施される

J-SOX対応では、現場部門の関与が欠かせません。

販売、購買、在庫、固定資産、人件費、資金など、多くの統制は現場業務の中で実施されています。経理部門が後から確認するだけでは、取引の実態や例外処理、不正リスクまでを十分に把握することはできません。

現場部門が担うべき役割は、次のとおりです。

• 業務フローの実態を説明する
• 取引の開始、承認、実行、記録、確認の流れを明らかにする
• どの資料が証跡として残るかを確認する
• 例外処理、手作業処理、システム外処理を説明する
• 職務分掌や承認権限の実態を共有する
• 業務変更があった場合に経理・J-SOX担当へ伝える
• 統制を日常業務の中で継続して実施する

業務フローを理解する目的は、単に業務を図にすることではありません。業務には、どの会社にも共通する課題やリスクがあり、それを低減するために内部統制があります。あるべき業務フローを知らずにリスクを特定することは難しく、典型的な業務フローを理解したうえで、自社に必要な統制と不要な統制を見極めることが大切です。

現場部門に対して、J-SOX対応を「監査のために資料を出す作業」として依頼してしまうと、協力は得にくくなります。

むしろ、次のように伝えるべきでしょう。

• なぜその承認が必要なのか
• その統制がどの財務報告リスクに効いているのか
• 証跡が残らないと、後から何が説明できなくなるのか
• 業務変更が文書に反映されないと、評価や監査でどのような手戻りが生じるのか
• 統制を現場に合わない形で設計すると、かえって形骸化してしまうこと

現場部門は「評価される側」ではありますが、同時に、統制を日常的に機能させる主体でもあります。現場の実態を無視したJ-SOX対応は、長続きしません。

IT部門の役割｜財務報告を支えるシステム統制を整理する

近年のJ-SOX対応において、IT部門の役割はますます重くなっています。

財務報告は、多くの場合、複数のシステムに支えられています。

• 会計システム
• 販売管理システム
• 購買管理システム
• 在庫管理システム
• 固定資産管理システム
• 人事給与システム
• ワークフローシステム
• 経費精算システム
• 連結会計システム
• BIツールやデータ連携基盤
• クラウドサービス

J-SOX対応上、IT部門が担うべき役割は、アクセス権限表を提出することではありません。次のような論点を整理していく必要があります。

• 財務報告に関係するシステムの範囲
• 各システムがどの業務プロセス・勘定科目に関係するか
• アクセス権限の付与・変更・削除の手続
• 特権IDの管理
• プログラム変更や設定変更の承認・テスト・リリース管理
• ジョブ運用、バックアップ、障害対応
• マスタ管理
• 自動計算、自動仕訳、承認ワークフローの仕様
• システム間インターフェース
• 電子証跡、ログ、承認履歴の保存
• 外部委託先やクラウドサービスの統制状況

J-SOXにおけるIT統制は、IT全社統制、IT全般統制、IT業務処理統制などと接続して理解する必要があります。内部監査実務の観点からも、ITはJ-SOX、コントロール、リスクマネジメント、情報セキュリティ、外部委託と密接に関係しています。

IT部門と経理部門の間でよく起こるのが、言葉の違いによるすれ違いです。

経理部門は「この数字は正しいのか」を気にします。IT部門は「システムは仕様どおり動いているか」を気にします。内部監査部門は「統制として評価できるか」を気にします。監査法人は「財務報告リスクに対して統制が有効か」を見ます。

この視点が揃わないと、IT統制は表面的な資料提出で終わってしまいます。

IT部門には、単なるシステム管理者ではなく、財務報告の信頼性を支える統制基盤の管理者としての役割があります。

内部監査部門・J-SOX評価担当の役割｜整備・運用を客観的に評価する

内部監査部門またはJ-SOX評価担当者は、経営者評価を支える実務上の中心です。

ただし、その役割を「評価調書を作ること」に限定してしまうと、J-SOX対応は形骸化します。

内部監査部門が担うべき役割は、次のとおりです。

• 評価計画の作成
• 評価範囲の妥当性確認
• 3点セット・RCMの整合性確認
• 整備評価の実施
• 運用評価の実施
• 例外・逸脱の把握
• 不備の集計と重要性判断の補助
• 改善提案
• 是正状況のフォローアップ
• 経営層・監査役等への報告
• 監査法人との協議資料の整理

内部監査においては、独立性と客観性、専門的能力、リスクベースの計画、品質管理が重要になります。内部監査部門は、ガバナンス、リスクマネジメント、コントロールの有効性を評価し、改善に貢献する役割を担う存在です。

J-SOX評価でも、考え方は同じです。

評価担当者が現場の説明をそのまま調書に転記するだけでは、評価とはいえません。

統制がリスクに対応しているか。証跡が十分か。例外処理が適切か。統制頻度と評価サンプルが整合しているか。IT依存統制の前提となるIT全般統制に問題はないか。不備が他プロセスに波及していないか。

こうした観点から確認していく必要があります。

また、評価担当者が統制の整備支援に深く関与している場合、その統制を自ら評価することには慎重さが求められます。少人数の会社では完全な分離が難しいこともありますが、その場合でも、レビュー者を別に置く、外部専門家のレビューを活用する、監査法人との協議で早めに論点を整理するなど、客観性を補完する工夫が必要です。

監査役等・取締役会の役割｜J-SOXを監督機能に接続する

J-SOX対応は、実務担当者だけで閉じるべきものではありません。

監査役、監査等委員、監査委員、取締役会は、内部統制の整備・運用状況、不備、是正状況、経営者による内部統制無効化リスクなどを把握しておく必要があります。

監査役等が見るべき主な論点は、次のとおりです。

• J-SOX対応の体制が整っているか
• 評価範囲の判断に重大な偏りがないか
• 内部監査部門や評価担当者が適切に機能しているか
• 監査法人から重要な指摘が出ていないか
• 開示すべき重要な不備につながる可能性のある事項がないか
• 不備の是正が進んでいるか
• 経営者や上位者による内部統制の無効化リスクに目が届いているか
• 子会社や海外拠点など、経営層から見えにくい領域に問題がないか

監査役の監査においては、会計監査、業務監査、内部統制システムの理解、会計監査人との関係、子会社・関連会社の監査手続、不正への対応などが重要な論点となります。監査調書や監査計画は、監査役自身の判断を支える文書として位置づけられます。

J-SOX対応においても、監査役等への報告を単なる結果報告で終わらせるべきではありません。

「評価は有効でした」と報告するだけでは、監督機能として十分とはいえないでしょう。

• どの範囲を評価したのか
• なぜその範囲にしたのか
• どの不備が発見されたのか
• どの不備は重要でないと判断したのか
• 是正未了の論点は何か
• 監査法人との認識差はあるか
• 翌期に見直すべき領域はどこか

こうした情報が整理されて初めて、監査役等や取締役会は内部統制の状況を監督できます。

監査法人の役割｜会社の判断を代替する存在ではない

J-SOX対応では、監査法人との関係整理も重要です。

監査法人は、財務報告に係る内部統制監査を行う独立監査人です。経営者評価を監査する立場であり、会社の内部統制を会社に代わって設計する立場ではありません。

この点を誤解すると、次のような問題が起こります。

• 評価範囲を監査法人に決めてもらおうとする
• キーコントロールを監査法人のコメント待ちにする
• 不備判定を会社として整理せず、監査法人の結論だけを待つ
• 監査法人から指摘されて初めて対応する
• 独立性の観点から監査法人が助言できない領域まで依存する

2023年の改訂では、評価範囲について、数値基準を機械的に適用すべきではないこと、評価範囲は経営者が決定すること、状況変化があった場合などに監査人と協議することが適切であることが示されています。
出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について

この考え方は、役割分担の設計にも直結します。

会社側は、まず自らの判断根拠を持つ必要があります。

• なぜその事業拠点を評価対象にしたのか
• なぜその業務プロセスを対象にしたのか
• なぜそのITシステムを対象にしたのか
• なぜその統制をキーコントロールとしたのか
• なぜその不備を重要な不備とは判断しなかったのか
• なぜその是正計画で十分と考えるのか

監査法人協議は、会社の判断を丸投げする場ではありません。会社の判断根拠を説明し、監査人の視点から認識差や追加検討事項を早期に把握する場です。

監査法人との良い関係とは、指摘を避ける関係ではありません。判断根拠を前広に共有し、重要な論点で手戻りを減らす関係です。

外部専門家の役割｜作業代行ではなく、論点整理と実務接続を補完する

J-SOX対応で外部専門家を活用する場合は、その役割を明確にしておくことが重要です。

外部専門家は、会社に代わって経営者責任を負うわけではありません。また、監査法人の判断を代替する存在でもありません。

外部専門家が有効に機能するのは、次のような領域です。

• 導入プロジェクト全体の設計
• 現状診断
• 評価範囲の判断材料整理
• 業務フロー、RCM、3点セットの作成・見直し支援
• 決算・開示プロセス統制の整理
• IT統制の論点整理
• 子会社管理の統制設計
• 整備評価・運用評価の支援
• 不備の原因分析と是正方針の整理
• 監査法人協議に向けた資料整理
• 内部監査部門の立ち上げ・高度化支援
• 経営層・監査役等への報告資料整理

外部専門家の価値は、単に人手を補うことだけではありません。むしろ重要なのは、会社の中では見えにくい論点を整理し、制度趣旨、監査目線、現場運用、決算・開示、IT、子会社管理をつなげることです。

J-SOX対応でよくあるのは、経理部門は会計の観点で、現場部門は業務の観点で、IT部門はシステムの観点で、内部監査部門は評価調書の観点で、それぞれ正しいことを言っているにもかかわらず、全体として整合しないという状態です。

外部専門家は、その間に入り、次のような整理を行います。

• 制度上、本当に必要なことは何か
• 監査法人が問題にしやすい論点は何か
• 現場で継続運用できる統制はどこか
• 過剰統制になっている部分はないか
• 証跡として弱い部分はどこか
• 経営層へ報告すべき重要論点は何か
• 次年度以降の改善課題として整理すべきものは何か

この役割が明確であれば、外部専門家の活用は「丸投げ」ではなく、会社の判断力を高めるための補完になります。

子会社・グループ会社の役割｜親会社だけでは説明できない領域をどう扱うか

グループ会社がある場合、J-SOX対応は親会社単体だけでは完結しません。

連結財務報告に影響する子会社については、親会社が一定の統制状況を把握し、必要な資料を入手し、決算・開示への影響を説明できる状態にしておく必要があります。

子会社側が担うべき役割は、次のとおりです。

• 子会社の業務フロー、権限、証跡を説明する
• 連結パッケージや決算資料を期限内に提出する
• 親会社の会計方針や報告ルールを理解する
• 子会社側のITシステムや手作業処理を説明する
• 不備や課題があれば親会社へ報告する
• 親会社や内部監査による評価・レビューに協力する

一方、親会社側には、次の役割があります。

• 子会社をどこまで評価対象に含めるか判断する
• 子会社に求める統制水準を明確にする
• 子会社の決算・証跡・IT・業務フローを把握する
• 子会社の担当者に必要な説明や教育を行う
• 不備がある場合の是正計画を管理する
• 子会社任せにせず、グループ全体として説明責任を果たす

ここで注意しておきたいのは、親会社基準をそのまま子会社に押し付けても、運用できないことがある点です。子会社の規模、人員、システム、業務の複雑性に応じて、重要リスクに絞った統制設計が必要になります。

ただし、子会社の事情を理由に、財務報告上重要なリスクを放置してよいわけではありません。親会社は、どこまで統制を求めるか、どこに代替統制を置くか、どの証跡で説明するかを判断する必要があります。

J-SOX対応で役割分担が崩れる典型パターン

J-SOX対応では、形式上の体制図があっても、実際には役割分担が崩れていることがあります。典型的なパターンを整理しておきます。

経理部門への集中

J-SOX対応が経理部門に集中すると、業務フロー、IT、現場の証跡、子会社管理が後回しになります。

経理部門は財務報告リスクを整理する中心ではありますが、現場で行われる統制を代わりに実施することはできません。経理部門だけで抱えてしまうと、結果として「会計処理後の資料整理」になります。

内部監査部門への丸投げ

内部監査部門が評価を担うことは自然です。しかし、統制の整備・運用まで内部監査部門任せにすると、評価の客観性が損なわれます。

内部監査部門は、統制を実施する部門ではなく、統制の有効性を評価し、改善を促す立場です。

IT部門の後回し

IT統制は、アクセス権限表の提出だけではありません。会計処理、承認ワークフロー、マスタ管理、データ連携、電子証跡に関わります。

IT部門が後から呼ばれる体制では、業務処理統制や電子証跡の評価で手戻りが生じます。

現場部門の協力不足

現場部門がJ-SOX対応を「経理や監査の仕事」と捉えてしまうと、業務変更、例外処理、証跡不足が共有されません。

現場で実施される統制については、なぜその統制が必要か、どのリスクに対応しているかを説明する必要があります。

監査法人待ち

会社側が判断を整理しないまま監査法人コメントを待つと、協議が遅れます。

監査法人は会社の判断を代替する存在ではありません。会社側が評価範囲、統制設計、不備判断について説明資料を用意することが前提となります。

経営層への報告不足

J-SOX対応が担当者レベルで閉じてしまうと、重要不備、決算遅延、子会社管理、IT統制、監査法人指摘が経営判断に反映されません。

経営層には、細かい調書ではなく、重要リスク、未解決課題、是正期限、監査法人との認識差を報告する必要があります。

役割分担を設計するときの実務上の判断軸

J-SOX対応の役割分担は、組織図どおりに割り振ればよいというものではありません。

実務では、次の判断軸で整理していくと、役割が明確になります。

1. 誰が統制を実施しているか

統制の実施者は、業務実態に基づいて決めます。

承認している人、照合している人、差異分析している人、システム権限を管理している人、開示基礎資料をレビューしている人を明確にします。

2. 誰が統制の責任を持つか

実施者と責任者は異なる場合があります。

たとえば、担当者が照合を行い、部門長がレビューし、経理責任者が決算への影響を確認する場合、それぞれの責任を分けて整理します。

3. 誰が証跡を保管・提示できるか

証跡がどこに残るか、誰がアクセスできるか、保存ルールはどうなっているかを確認します。

電子証跡の場合は、ログ、承認履歴、変更履歴、出力帳票の真正性も論点になります。

4. 誰が評価するか

評価担当者は、できる限り統制実施者から独立していることが望まれます。

独立性が十分に確保できない場合は、レビュー、外部支援、監査法人との早期協議などで客観性を補います。

5. 誰が不備を判断するか

不備の一次把握は評価担当者が行うことが多いものの、重要性判断には経理、内部監査、プロジェクト責任者、経営層、監査法人協議が関係します。

評価担当者だけで結論を抱え込まない仕組みが必要です。

6. 誰が是正を実行するか

不備を発見した部門と、是正を実行する部門は異なることがあります。

たとえば、IT権限の不備はIT部門が是正し、業務承認の不備は現場部門が是正し、決算レビューの不備は経理部門が是正します。プロジェクト責任者は、是正状況を管理します。

7. 誰が経営層・監査役等へ報告するか

重要な論点は、担当者間で完結させず、適切な階層へ報告する必要があります。

とりわけ、開示すべき重要な不備につながる可能性のある事項、監査法人との認識差、是正未了の重要論点、経営者関与リスクについては、報告経路を明確にしておくべきです。

少人数体制・兼務がある会社での考え方

J-SOX対応では、理想的な職務分掌をそのまま実現できない会社もあります。

とくに上場準備会社や成長企業では、経理、財務、開示、内部監査、IT、法務、人事が少人数で運営されていることがあります。

この場合、「理想どおりに分離できないから仕方ない」で終わらせるのではなく、次の観点から代替策を検討します。

• 重要な承認だけは上位者がレビューする
• 入出金やマスタ変更など不正リスクが高い領域は重点的に牽制する
• システム権限でできる統制はシステム側に寄せる
• 月次で例外取引や異常値をレビューする
• 内部監査機能を外部専門家で補完する
• 監査役等や取締役会への報告を強化する
• 業務フローと証跡を簡素だが明確にする
• 重要な不備や監査法人指摘は課題管理表で追跡する

少人数体制では、統制を増やしすぎると回りません。反対に、統制を省きすぎると説明できなくなります。

大切なのは、すべてを上場大企業型にすることではありません。自社の人員・システム・業務実態に合わせて、財務報告リスクに効く統制を選ぶことです。

J-SOX対応における現実的な役割分担とは、妥協ではありません。限られた体制の中で、どこに牽制を置き、どこをレビューし、どの証跡で説明するかを設計することです。

役割分担表に入れるべき項目

J-SOX対応の体制を整理する際は、単なる組織図ではなく、役割分担表として明文化しておくことが有効です。

最低限、次の項目を整理しておくと、関係者間の認識が揃いやすくなります。

区分	整理すべき内容
対象領域	全社統制、決算・開示、販売、購買、在庫、固定資産、人件費、資金、IT、子会社など
業務責任者	当該プロセスの整備・運用責任を持つ部門・責任者
統制実施者	承認、照合、レビュー、入力、確認などを実際に行う担当者
証跡保管者	証跡の保存場所、保存責任者、提示可能者
文書更新責任者	業務記述書、フローチャート、RCM、規程等を更新する責任者
評価担当者	整備評価・運用評価を行う担当者
レビュー者	評価調書や不備判断をレビューする者
是正責任者	不備・課題の是正を実行する責任者
報告先	経営層、監査役等、監査法人、プロジェクト責任者など
協議事項	監査法人や外部専門家と協議すべき論点

この表の目的は、責任追及ではありません。

J-SOX対応を「誰かが何となくやっている状態」から、「誰が何を判断し、誰が何を実施し、誰が何を評価するかが分かる状態」へ変えること。それがねらいです。

J-SOX対応を経営管理体制につなげる役割分担

J-SOX対応の役割分担は、内部統制報告制度だけのために整理するものではありません。

適切に設計すれば、決算早期化、開示品質、業務標準化、権限移譲、子会社管理、内部監査高度化にもつながっていきます。

たとえば、経理・開示部門が最終成果物から逆算して必要資料を整理すれば、開示基礎資料の属人化を減らせます。現場部門が業務フローと証跡を意識すれば、業務の標準化が進みます。IT部門がアクセス権限やワークフローを整理すれば、承認と証跡の品質が高まります。内部監査部門がリスクベースで評価すれば、重要な不備や改善課題を経営層に伝えやすくなります。監査役等が重要論点を把握すれば、取締役会や経営層の監督機能にもつながります。

J-SOX対応を単なる制度対応で終わらせるか、会社の管理体制を整える機会にできるか。その分かれ目は、役割分担の設計に大きく左右されます。

J-SOX対応の体制整備で確認すべきチェックポイント

J-SOX対応のプロジェクト体制を見直す際は、次の点を確認すると、自社の課題が見えやすくなります。

• 経営者がJ-SOX対応の最終責任を認識しているか
• プロジェクト責任者が明確か
• 経理・開示部門だけに負荷が集中していないか
• 現場部門が統制の目的を理解しているか
• IT部門が早期から関与しているか
• 内部監査部門または評価担当者の独立性・客観性が確保されているか
• 監査役等への報告事項が整理されているか
• 監査法人に判断を丸投げしていないか
• 外部専門家の役割が明確か
• 子会社やグループ会社の責任分担が整理されているか
• 不備や課題の是正責任者が明確か
• 証跡の保管責任者が明確か
• 評価範囲、文書化、評価、不備判定、是正が一連の流れで管理されているか

このうち、1つでも曖昧な項目がある場合、J-SOX対応の中で手戻りが生じる可能性があります。

とりわけ、「誰が最終的に判断するのか」が曖昧な論点は、早めに整理しておくべきです。

まとめ｜J-SOX対応の体制設計は、会社の説明責任を整理する作業である

J-SOX対応のプロジェクト体制と役割分担は、単なる担当者表ではありません。

会社が財務報告に係る内部統制をどのように整備し、運用し、評価し、改善し、監督し、監査法人に説明するのかを整理するものです。

経営者は、J-SOX対応を会社全体の内部統制と経営管理の課題として位置づける必要があります。

経理・財務・開示部門は、財務報告リスクを言語化し、決算・開示プロセスと業務・証跡をつなぐ役割を担います。

現場部門は、統制を日常業務の中で実施し、業務実態と証跡を説明する役割を担います。

IT部門は、財務報告を支えるシステムとデータの信頼性を確保する役割を担います。

内部監査部門・J-SOX評価担当は、整備・運用状況を客観的に評価し、改善につなげる役割を担います。

監査役等・取締役会は、重要な内部統制論点を監督し、経営者による内部統制の無効化リスクや重要不備への対応を見ます。

監査法人は、会社の判断を代替する存在ではなく、独立監査人として経営者評価を監査します。

外部専門家は、会社の実態を踏まえ、論点整理、実務接続、監査法人協議、改善設計を補完します。

J-SOX対応で本当に整えるべきなのは、資料の量ではありません。

誰が、どのリスクに対して、どの統制を、どの証跡で、どこまで説明できるのか。

この問いに答えられる体制を作ること。それがJ-SOX対応のプロジェクト体制設計の本質です。

J-SOX対応の体制整備・役割分担に関するご相談について

J-SOX対応がうまく進まない原因は、必ずしも制度理解や資料不足だけではありません。

経理部門に負荷が集中している。IT部門の関与が遅れている。現場部門が統制の目的を理解していない。内部監査部門の評価体制が十分でない。監査法人との協議論点が整理されていない。経営層や監査役等への報告が形式的になっている。

こうした状態では、J-SOX対応は毎年の作業としては回っていても、会社として説明できる内部統制にはなりにくくなります。

犬飼公認会計士・税理士事務所では、J-SOX対応の導入・見直しにあたり、プロジェクト体制の設計、役割分担の整理、経理・現場・IT・内部監査の関係整理、監査法人協議に向けた論点整理、決算・開示体制との接続まで、会社の実態に応じた支援を行っています。

「誰が何を担うべきか分からない」「J-SOX対応が経理部門に偏っている」「監査法人対応の手戻りを減らしたい」と感じていらっしゃる場合は、現在の体制図、3点セット、評価調書、監査法人コメント、課題管理表などをもとに、まずは役割分担の整理からご相談ください。

お問い合わせページより、現在の状況とご相談内容をお知らせください。

本記事の振り返り

論点	重要な考え方
J-SOX対応の体制設計	経理部門だけでなく、経営者、現場、IT、内部監査、監査役等、監査法人、外部専門家を含めて整理する
経営者の役割	J-SOX対応の最終責任者として、体制、重要不備、評価範囲、是正状況、監査法人指摘を把握する
プロジェクト責任者の役割	論点、期限、関係者、成果物、監査法人協議、課題管理を束ねる
経理・財務・開示部門の役割	財務報告リスクを言語化し、決算・開示・業務・証跡を接続する
現場部門の役割	業務実態、承認、証跡、例外処理を説明し、統制を日常業務で運用する
IT部門の役割	財務報告に関係するシステム、アクセス権限、変更管理、データ連携、電子証跡を整理する
内部監査部門の役割	整備評価・運用評価を客観的に実施し、不備の把握と改善フォローを行う
監査役等の役割	内部統制の整備・運用、不備、是正、経営者無効化リスクを監督する
監査法人の役割	会社の判断を代替するのではなく、独立監査人として経営者評価を監査する
外部専門家の役割	作業代行ではなく、制度・監査目線・実務運用を踏まえた論点整理と改善設計を補完する
少人数体制での考え方	理想的な分離が難しい場合でも、代替統制、レビュー、証跡、外部支援で客観性を補完する
最終的な目的	誰が、どのリスクに対して、どの統制を、どの証跡で説明できるかを明確にする

参考出典

出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について
出典：日本公認会計士協会｜監査実務指針等
出典：日本公認会計士協会｜「財務報告内部統制監査基準報告書第1号『財務報告に係る内部統制の監査』の改正」及び「公開草案に対するコメントの概要及び対応」の公表について