J-SOX対応で作成する3点セットのうち、RCMは最も「判断」が表れる文書です。
業務記述書は、業務の流れを文章で説明するものです。フローチャートは、業務の流れ、部門間の連携、承認点、証跡を図として見える化します。
これに対してRCMは、財務報告リスクに対して、どの統制が効いているのかを対応づける文書です。
見た目が表形式であるため、Excelの項目を埋めれば作れるように見えるかもしれません。しかし実務で問題になるRCMの多くは、表が未完成なのではなく、リスクと統制の因果関係を説明できない状態になっています。
たとえば、次のようなRCMです。
| よくある状態 | 問題点 |
|---|---|
| リスク欄に「売上計上誤り」とだけ書かれている | 何の誤りか、どの勘定科目・アサーションに影響するか分からない |
| 統制欄に「上長が承認する」とだけ書かれている | 何を、どの基準で、どの証跡に基づき承認しているか分からない |
| すべての統制がキーコントロールになっている | 評価負荷が過大になり、重要な統制が見えにくくなる |
| 証跡欄が空欄、または「システム」とだけ記載されている | 運用評価で何を確認するか分からない |
| 業務記述書・フローチャートとRCMが一致していない | 文書間の整合性が取れず、監査法人対応で手戻りが生じる |
RCMは、単なる一覧表ではありません。
「どの財務報告リスクに対して、どの統制が、誰により、どの頻度で、どの証跡に基づき実施され、その統制をどのように評価するのか」を説明するための文書です。
RCMは、3点セットの中で最も「統制設計の本質」が表れる
RCMは、Risk Control Matrixの略称です。日本語では、リスク・コントロール・マトリックス、あるいはリスク・コントロール対応表などと呼ばれます。
実務上、RCMは3点セットの中でも特に重要な位置を占めます。評価を行うには、財務報告リスクと、それに対応するコントロールを洗い出し、理解しておく必要があるからです。そのため内部統制チームや監査人にとって、RCMは3点セットの中でも中核的な調書となります。業務記述書やフローチャートは、RCMを作成するための下書きとしての意味も持ちます。
ただし、ここで誤解してはいけない点があります。RCMだけを先に作ればよいわけではない、ということです。
RCMを正しく作るためには、業務の流れを理解する必要があります。業務記述書で取引の開始から会計処理までを把握し、フローチャートで部門間連携や統制点を可視化する。そのうえで、どこに財務報告リスクがあり、どの統制がそのリスクを低減しているかをRCMに落とし込みます。
つまり、3点セットの関係は次のように整理できます。
| 文書 | 主な役割 | RCMとの関係 |
|---|---|---|
| 業務記述書 | 業務の流れを文章で説明する | リスクと統制を拾い上げる基礎資料 |
| フローチャート | 業務、部門、システム、統制点、証跡を可視化する | リスクと統制の所在を確認する資料 |
| RCM | リスクと統制を対応づける | 評価対象、証跡、キーコントロールを決める中核文書 |
RCMは、業務の説明資料ではなく、統制の判断資料です。
現行J-SOXにおけるRCMの前提｜リスクから統制を考える
現行の内部統制基準・実施基準では、重要な業務プロセスについて、取引の流れや会計処理の過程を整理したうえで、虚偽記載が発生するリスクを識別することが求められています。さらに、そのリスクがどの財務報告または勘定科目等と関連するのか、業務に組み込まれた内部統制によって十分に低減できるのかを検討することが示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
この考え方をRCMに落とし込むと、順番は明確です。
最初に統制を列挙するのではありません。
まず、財務報告リスクを識別します。次に、そのリスクに対して現在の統制が有効に設計されているかを確認します。そのうえで、評価対象とすべき統制、とりわけキーコントロールを選定していきます。
RCMの作成順序は、次の流れで考えるべきです。
| 順序 | 検討事項 |
|---|---|
| 1 | 重要な勘定科目・開示項目を確認する |
| 2 | 関連する業務プロセスを特定する |
| 3 | アサーションを踏まえて財務報告リスクを具体化する |
| 4 | リスクに対応する統制活動を識別する |
| 5 | 統制の実施者、頻度、証跡を明確にする |
| 6 | キーコントロールを選定する |
| 7 | 整備評価・運用評価の方法を整理する |
| 8 | 業務記述書・フローチャートとの整合性を確認する |
RCMは、チェックリストではありません。リスクから統制を設計するための文書です。
アサーションを使わないRCMは、リスクがぼやける
RCMで最初に整理すべきなのは、アサーションです。
アサーションとは、財務諸表の金額や表示が満たすべき要件を指します。内部統制実施基準では、虚偽記載が発生するリスクを識別するにあたり、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性といった要件のうち、どれに影響を及ぼすのかを理解することが重要とされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
RCMでは、アサーションを単なる列として埋めるのではありません。「そのリスクがどの虚偽表示につながるのか」を考えるために使います。
| アサーション | RCM上の考え方 | 例 |
|---|---|---|
| 実在性 | 計上された取引・資産・負債が実際に存在するか | 架空売上、架空在庫、架空固定資産 |
| 網羅性 | 計上すべき取引・負債・費用が漏れていないか | 仕入債務計上漏れ、未払費用計上漏れ |
| 権利と義務の帰属 | 資産に対する権利、負債に対する義務が会社にあるか | 委託在庫、リース、預り資産 |
| 評価の妥当性 | 適切な金額で測定されているか | 棚卸資産評価減、貸倒引当金、減損 |
| 期間配分の適切性 | 収益・費用が適切な期間に計上されているか | 売上の前倒し計上、費用の先送り |
| 表示の妥当性 | 財務諸表・注記・開示上、適切に表示されているか | 関連当事者取引、偶発債務、区分表示 |
たとえば販売プロセスで、「売上計上誤り」というリスクを記載しただけでは不十分です。
売上が実在しないリスクなのか。
売上計上が漏れるリスクなのか。
売上の期間帰属が誤るリスクなのか。
返品・値引が適切に反映されないリスクなのか。
本人・代理人の判断や表示に関するリスクなのか。
これらは、対応すべき統制がそれぞれ異なります。
リスクの解像度が低いままでは、統制の有効性も説明できません。
リスクは「業務上のミス」ではなく「財務報告上の虚偽表示」として書く
RCMでよく見られる問題のひとつが、リスク欄が業務上の不都合として書かれていることです。
「入力ミスが発生する」
「承認漏れが発生する」
「請求書の発行が遅れる」
「棚卸差異が発生する」
「資料が提出されない」
これらは確かに業務上の問題ですが、そのままでは財務報告リスクとしては不十分です。
RCMでは、業務上の問題が、どの勘定科目・開示項目に、どのような虚偽表示を生じさせるのかまで落とし込む必要があります。
| 不十分なリスク記載 | RCMとして望ましいリスク記載 |
|---|---|
| 売上計上誤りが発生する | 出荷・検収の事実がない取引について売上が計上され、売上高および売掛金が過大計上される |
| 請求漏れが発生する | 出荷済み取引について売上計上・請求が漏れ、売上高および売掛金が過小計上される |
| 仕入計上誤りが発生する | 検収済みの仕入について買掛金が計上されず、仕入高または棚卸資産および仕入債務が過小計上される |
| 棚卸差異が発生する | 実在しない在庫または数量誤りが棚卸資産に反映されず、棚卸資産が過大または過小計上される |
| 固定資産管理が不十分 | 除却済み資産が台帳に残り、固定資産および減価償却費が誤って計上される |
| 給与計算ミスが発生する | 勤怠情報・人事マスタの誤りにより、人件費および未払費用が誤って計上される |
リスクをこの水準まで具体化すると、対応する統制も見えやすくなります。
「上長が承認する」ではなく、「出荷実績と受注情報を照合し、未承認出荷や数量差異がないことを確認する」といった統制活動に落とし込めるからです。
会計不正の観点でも同じことがいえます。不適切な収益認識、負債・費用の隠蔽、期間帰属の操作、棚卸資産の水増し、不適切な開示など、虚偽表示は具体的な財務報告項目に現れます。RCMでも、こうしたリスクの具体性を持たせることが重要です。
統制活動は「何を確認しているか」まで書く
RCMの統制欄で最も多い失敗は、統制活動が抽象的すぎることです。
「上長が承認する」
「経理部が確認する」
「システムでチェックする」
「担当者がレビューする」
「月次で照合する」
これでは、どのリスクに効いているのかが分かりません。
統制活動は、少なくとも次の要素を含めて記載する必要があります。
| 項目 | 記載すべき内容 |
|---|---|
| 統制目的 | どのリスクを低減するための統制か |
| 実施内容 | 何と何を照合し、何を確認し、どの基準で判断するか |
| 実施者 | 担当者、上長、経理責任者、システム管理者など |
| 実施頻度 | 取引ごと、日次、月次、四半期、年次、都度など |
| 使用資料 | 注文書、契約書、検収書、請求書、出荷データ、仕訳一覧など |
| 証跡 | 承認履歴、照合表、レビューサイン、差異分析、ログなど |
| 例外対応 | 差異・エラー・例外があった場合の処理と承認 |
たとえば、販売プロセスの統制を考えてみます。
| リスク | 不十分な統制記載 | 説明可能な統制記載 |
|---|---|---|
| 架空売上が計上される | 上長が売上を承認する | 経理担当者が売上計上前に、売上データと出荷実績データを照合し、未出荷取引が売上計上されていないことを確認する。差異がある場合は営業部門へ照会し、経理責任者の承認を受ける。照合結果と差異対応を月次売上照合表に記録する。 |
| 売上計上漏れが発生する | 経理部が確認する | 経理担当者が月次で出荷済未請求リストを出力し、未請求・未計上取引がないかを確認する。未計上取引がある場合は売上計上処理を行い、対応結果を経理責任者がレビューする。 |
| 売上の期間帰属が誤る | 月末にチェックする | 経理担当者が月末前後の出荷日・検収日・売上計上日を照合し、売上計上基準に従って適切な会計期間に計上されているかを確認する。差異は一覧化し、経理責任者が承認する。 |
統制活動の記載は、長ければよいというものではありません。
ただし、「その統制を再実施または評価できる程度」には具体的である必要があります。
頻度・実施者・証跡がないRCMは、運用評価に進めない
RCMは、整備評価だけでなく運用評価にもつながる文書です。
統制が設計されているだけでは足りません。一定期間にわたり、実際に運用されていたことを確認できる必要があります。
そのためRCMでは、頻度、実施者、証跡を明確にしておく必要があります。
| 項目 | なぜ重要か |
|---|---|
| 頻度 | サンプル抽出や運用評価範囲の前提になる |
| 実施者 | 職務分掌、能力、独立性、権限を判断する前提になる |
| 証跡 | 統制実施の事実を後から確認する根拠になる |
| レビュー者 | 作成者と承認者・レビュー者が分かれているかを確認する前提になる |
| 保存場所 | 評価時・監査時に証跡を取り出せるかに影響する |
書類や文書の管理では、必要な資料をすぐに取り出せる状態にしておくこと、書類ごとに保存場所や管理方法を決めておくことが重要です。重要書類の紛失や探索時間の増加、情報漏洩・改ざんリスクを抑えるうえでも、証跡の所在を明確にすることはRCMの実務運用と直結します。
RCMで証跡欄が曖昧なままだと、運用評価の段階で次のような問題が起こります。
| RCM上の記載 | 運用評価で起こる問題 |
|---|---|
| 証跡：承認 | どの承認画面・申請書・メールを確認すればよいか分からない |
| 証跡：システム | ログなのか、帳票なのか、マスタ変更履歴なのか分からない |
| 証跡：月次資料 | 月次資料のどの箇所が統制証跡か分からない |
| 証跡：なし | 統制を実施していても評価できない |
| 証跡：担当者保管 | 担当者異動時に証跡が失われる可能性がある |
J-SOX上、統制は「やっている」だけでは不十分です。
誰が、何を、いつ、どの資料で確認し、その結果どう判断したのか。これを後から説明できる状態にしておく必要があります。
キーコントロールは「重要なリスクを最もよく低減する統制」を選ぶ
RCMで特に重要なのが、キーコントロールの選定です。
内部統制基準・実施基準では、業務プロセスに係る内部統制の評価において、経営者が評価対象となる業務プロセスを分析し、財務報告の信頼性に重要な影響を及ぼす「統制上の要点」を選定することが示されています。そのうえで、選定した統制上の要点について、内部統制の基本的要素が機能しているかを評価するとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）
実務上、この「統制上の要点」はキーコントロールと呼ばれることが多くあります。
キーコントロールは、各財務報告リスクに対応する統制の中でも、財務報告の信頼性に重要な影響を及ぼす統制上の要点です。運用状況評価の対象となり、評価作業の負荷にも大きく影響します。だからこそ、論理的かつ戦略的な選定が重要になります。
キーコントロールを選ぶ際の判断軸は、次のとおりです。
| 判断軸 | 確認ポイント |
|---|---|
| リスクへの直接性 | その統制は、対象リスクを直接低減しているか |
| 精度 | 重要な虚偽表示を発見・防止できる粒度で実施されているか |
| 実施者の適切性 | 実施者に権限・知識・独立性があるか |
| 頻度 | リスクの発生頻度に対して、統制頻度が十分か |
| 証跡 | 実施事実と判断内容が後から確認できるか |
| 例外対応 | 差異や例外が発見された場合の対応が明確か |
| IT依存 | システム出力や自動制御を使う場合、その前提となるIT統制が整理されているか |
| 補完関係 | 他の統制と組み合わせて初めて有効になるものではないか |
キーコントロールの選定では、二つの極端を避ける必要があります。
一つは、統制を絞り込みすぎることです。重要なリスクに対する統制がキーコントロールから漏れると、評価上の説明力が弱くなります。
もう一つは、統制を広げすぎることです。すべてをキーコントロールにすると、評価負荷が増え、現場の証跡収集も重くなります。過剰な評価設計は、J-SOX対応を形式的な作業にしてしまいます。
内部統制対応では、計画段階で評価対象を必要十分な範囲を超えて設定すると、文書化範囲、識別すべきリスク、評価項目、評価手続、不備対応まで連鎖的に増加していきます。初動で範囲や統制を広げすぎることは、後工程の負荷を大きくします。
RCMに含めるべき基本項目
RCMの様式は、会社によって異なります。金融庁Q&Aでも、内部統制評価の具体的な手続は各企業において判断されることが適当であり、必要に応じて監査人と協議して判断基準等を設定することが考えられるとされています。
出典：金融庁｜内部統制報告制度に関するQ&A
ただし実務上、RCMに最低限含めたい項目はあります。
| 区分 | RCM項目 | 記載の目的 |
|---|---|---|
| 対象 | 業務プロセス | 販売、購買、在庫、固定資産、人件費、資金など |
| 対象 | サブプロセス | 受注、出荷、請求、入金、発注、検収、支払など |
| 財務報告 | 勘定科目・開示項目 | 売上高、売掛金、棚卸資産、買掛金、固定資産など |
| 財務報告 | アサーション | 実在性、網羅性、評価、期間帰属、表示など |
| リスク | 財務報告リスク | どのような虚偽表示が発生するか |
| 統制 | 統制活動 | リスクを低減する具体的な手続 |
| 統制 | 統制種別 | 予防的統制、発見的統制、手作業統制、自動統制など |
| 統制 | 頻度 | 取引ごと、日次、月次、四半期、年次など |
| 統制 | 実施者・レビュー者 | 担当者、部門長、経理責任者、システム管理者など |
| 証跡 | 統制証跡 | 承認履歴、照合表、ログ、チェックリスト、差異分析など |
| 評価 | キーコントロール該当性 | 運用評価対象とするか |
| 評価 | 整備評価方法 | ウォークスルー、質問、資料閲覧、再実施など |
| 評価 | 運用評価方法 | 証跡確認、再実施、観察、データ分析など |
| IT | 利用システム・IT依存 | 業務システム、会計システム、ワークフロー、RPAなど |
| 補足 | 例外処理・補完統制 | 例外発生時の承認、代替統制、少人数体制での補完策など |
RCMは、項目が多ければよいわけではありません。
項目が多すぎると、入力作業だけが重くなり、現場で更新されなくなります。必要なのは、評価と説明に使える項目を過不足なく設けることです。
RCMでは「一つの統制が複数リスクに効く」こともある
実務では、一つの統制が複数のリスクに効くことがあります。
たとえば、月次で売上データ、出荷データ、請求データを照合する統制です。この統制は、売上の実在性、網羅性、期間帰属といった複数のリスクに関係することがあります。
また、債権年齢表のレビューは、売掛金の評価、貸倒引当金、滞留債権管理に関係することがあります。
一方で、一つのリスクに複数の統制が対応することもあります。
たとえば、架空売上リスクに対して、受注承認、出荷実績確認、検収確認、売上計上レビュー、入金消込レビューが組み合わさる場合です。
RCMでは、リスク別にコントロールを並べ替えることで、リスクとコントロールの対応関係を明確にします。業務記述書が時系列で業務を説明する文書であるのに対し、RCMはリスクごとに統制を整理する文書です。
このとき重要なのは、「何でも紐づける」ことではありません。
その統制が本当にそのリスクを低減しているかを確認することです。
| 紐づけの状態 | 評価 |
|---|---|
| リスクと統制が直接対応している | 説明しやすい |
| 統制が間接的にしか効いていない | 補完統制として位置づけるか検討する |
| 統制がリスクと関係していない | RCM上の紐づけを外すべき |
| 一つの統制にリスクを過剰に紐づけている | 実際にどのアサーションに効くか再検討する |
| 複数統制を組み合わせて初めて有効 | 統制の組み合わせとして説明する必要がある |
RCMの品質は、行数ではなく、紐づけの精度で決まります。
RCMで見落としやすいIT依存統制
現在の業務プロセスでは、システムを使わない統制はむしろ少数です。
販売管理システムから会計システムにデータ連携する。
ワークフローで承認する。
マスタ登録に権限制限がある。
自動計算や自動仕訳が行われる。
エラーリストや例外リストが出力される。
クラウドサービス上で承認履歴やログが保存される。
このような場合、RCMでは「手作業統制」だけでなく、IT依存を明確にする必要があります。
| IT依存の論点 | RCMで確認すべきこと |
|---|---|
| 自動計算 | 計算ロジックが適切か、変更管理されているか |
| 自動仕訳 | 仕訳生成ルールが適切か、マスタ・設定変更が管理されているか |
| データ連携 | 連携漏れ、二重連携、エラー処理が管理されているか |
| 承認ワークフロー | 承認権限、代理承認、承認履歴が適切か |
| アクセス権限 | 登録・変更・承認・実行権限が分離されているか |
| 出力帳票 | 帳票の完全性・正確性をどのように担保するか |
| ログ | 後から確認可能で、改ざん防止や保存期間が確保されているか |
月次監査の観点でも同様です。新たに業務システムから会計システムへ仕訳連携する場合には、業務システムから連携データが出力され、会計システムへ仕訳を読み込むまでの一連の流れを把握することが重要になります。また、発注、検収、販売、請求、代金回収までのプロセスと、その過程で発行される証憑書類や作成担当者を確認する視点は、RCM上の統制・証跡設計にも直結します。
IT依存統制をRCMに反映しないまま運用評価に進むと、次のような手戻りが生じます。
「この帳票は本当に完全か」
「この承認者は権限規程上の承認者か」
「マスタ変更は誰が承認しているか」
「システム変更後も同じ統制として評価できるか」
「ログは評価期間中、保存されているか」
RCMでは、IT統制の詳細そのものをすべて記載する必要はありません。しかし、業務統制がどのシステム・データ・帳票・承認機能に依存しているかは、明確にしておく必要があります。
RCMで例外処理を外すと、重要なリスクが漏れる
RCMでは、標準的な処理だけでなく、例外処理も検討する必要があります。
なぜなら、財務報告リスクは、標準処理よりも例外処理で顕在化しやすいからです。
| 例外処理 | RCM上の検討事項 |
|---|---|
| 返品・値引 | 売上取消、売掛金、期間帰属、承認権限 |
| 検収差異 | 仕入計上、買掛金、棚卸資産、未払計上 |
| 入金差額 | 売掛金残高、貸倒、消込、雑損益 |
| マスタ修正 | 取引先、単価、勘定科目、承認権限 |
| 手作業仕訳 | 根拠資料、承認、レビュー、経営者無効化リスク |
| 連携エラー | 仕訳漏れ、二重計上、手修正 |
| 棚卸差異 | 在庫数量、評価、原価、差異承認 |
| 期末調整 | 見積り、期間帰属、開示基礎資料との整合性 |
とりわけ手作業仕訳、マスタ変更、例外承認、期末調整については、形式的な承認があっても統制として十分でないことがあります。
「誰が承認したか」だけではありません。「何を根拠に判断したか」「どの差異を許容し、どの差異を是正したか」「会計処理にどう反映したか」を証跡として残せるかが重要です。
不正リスクの観点では、取引スキームを熟知した人物が内部統制の欠陥を突いて行うことがあります。長期間同一業務を担当している、不正実行者以外が取引の詳細を把握していない、モニタリングが行われていないといった状況が、問題になりやすいとされています。
RCMでは、標準業務だけを整えて安心するのではなく、例外・修正・非定型の領域に統制の抜けがないかを見る必要があります。
RCMは、過剰統制を減らすためにも使う
RCMは、不足している統制を見つけるためだけの文書ではありません。
過剰統制を見直すためにも使えます。
業務フローを理解することで、自社に必要な内部統制を整備できる一方、リスクを勘案して不要と判断できるフローを削減・簡略化することもできます。また、担当業務が業務フローのどこに位置づけられるかを理解することで、同じ視点でチェックしている別業務があれば、重複を削減できる場合もあります。
RCMを作成すると、次のような過剰統制が見えやすくなります。
| 過剰統制の例 | 見直しの方向性 |
|---|---|
| 同じ売上データを営業、経理、管理部が別々に照合している | どの統制がキーコントロールかを整理する |
| 金額的重要性が低い取引まで詳細承認している | 閾値、例外基準、モニタリング方法を見直す |
| システムで自動制御されている内容を紙でも再確認している | IT統制の前提を確認したうえで重複確認を削減する |
| 月次レビューと四半期レビューの内容が重複している | 目的と粒度を分ける |
| すべての統制を運用評価対象にしている | キーコントロールを再選定する |
J-SOX対応では、統制が多いほどよいわけではありません。
重要なリスクに対して、必要十分な統制が、現場で継続できる形で設計されていること。それが重要です。
金融庁の事例集でも、内部統制の有効性を保ちつつ、企業の実態に合った効率的な内部統制が整備・運用されることが目指されています。
出典：金融庁｜内部統制報告制度に関する事例集
RCMのミニ例｜販売・売上債権プロセス
RCMのイメージを具体化するため、販売・売上債権プロセスを簡略化して示します。
実際のRCMでは、会社の業種、収益認識基準、システム構成、承認権限、証跡保存方法に応じた調整が必要です。
| サブプロセス | 勘定科目 | アサーション | 財務報告リスク | 統制活動 | 頻度 | 実施者 | 証跡 | キー |
|---|---|---|---|---|---|---|---|---|
| 取引先登録 | 売掛金 | 権利と義務、評価 | 不適切な取引先登録により、回収不能債権または架空取引が発生する | 新規取引先登録時に、営業申請、与信調査結果、反社チェック、承認権限を確認し、経理または管理部門が登録する | 都度 | 管理部門 | 取引先登録申請、承認履歴 | 会社により判断 |
| 受注 | 売上高 | 実在性、期間帰属 | 未承認または契約条件と異なる取引が売上計上される | 受注入力後、注文書または契約書と受注データを照合し、価格・数量・納期・承認権限を確認する | 取引ごと | 営業責任者 | 受注承認履歴 | 会社により判断 |
| 出荷・検収 | 売上高、売掛金 | 実在性、期間帰属 | 出荷または検収の事実がない売上が計上される | 売上計上前に、出荷実績または検収情報と売上データを照合する | 日次または月次 | 経理担当者 | 出荷・売上照合表 | 〇となることが多い |
| 請求 | 売上高、売掛金 | 網羅性、正確性 | 出荷済み取引の請求・売上計上が漏れる | 出荷済未請求リストを出力し、未請求・未計上取引の有無を確認する | 月次 | 経理担当者 | 未請求リスト、差異対応記録 | 会社により判断 |
| 入金消込 | 売掛金 | 評価、実在性 | 入金消込誤りにより売掛金残高が誤る | 入金データと売掛金明細を照合し、不明入金・差額を一覧化して責任者がレビューする | 月次 | 経理担当者・責任者 | 入金消込表、差異一覧 | 会社により判断 |
| 滞留債権管理 | 売掛金、貸倒引当金 | 評価 | 回収不能見込額が適切に反映されず、売掛金が過大計上される | 債権年齢表を作成し、一定期間超過債権について回収状況と貸倒引当の要否をレビューする | 月次または四半期 | 経理責任者 | 債権年齢表、レビュー記録 | 〇となることが多い |
このようにRCMでは、業務手順ではなく、リスクと統制の対応関係を軸に整理します。
同じ販売プロセスであっても、会社によってキーコントロールは異なります。BtoBかBtoCか、検収基準か出荷基準か、システム連携の有無、返品・値引の頻度、取引先集中度、与信リスク、子会社管理の状況によって、重点を置く統制は変わってきます。
RCMを見直すときの実務チェックポイント
既存のRCMを見直す場合は、次の順番で確認すると論点を整理しやすくなります。
1. 評価範囲と一致しているか
評価対象となる会社、拠点、業務プロセス、勘定科目、システムが変わっている場合、RCMも更新が必要です。
新規事業、M&A、システム導入、組織変更、子会社追加、取引形態変更があったにもかかわらず、RCMが前年踏襲のままであれば、評価範囲とのズレが生じます。
2. リスクがアサーションと結びついているか
「売上計上誤り」「仕入計上誤り」だけでは不十分です。
どの勘定科目に、どのアサーション上の虚偽表示が発生するのかを確認します。
3. 統制活動が具体的か
「承認」「確認」「レビュー」という言葉だけで終わっていないかを確認します。
何を、何と照合し、どの基準で判断し、差異があればどう処理するのか。そこまで記載されているかが重要です。
4. 頻度・実施者・証跡が明確か
運用評価で何を確認するかが分からないRCMは、実務に使えません。
証跡の名称、保存場所、レビュー記録、電子承認履歴、ログの有無を確認します。
5. キーコントロールが広すぎないか、狭すぎないか
すべてをキーコントロールにすると、評価負荷が過大になります。一方で、重要なリスクに対応する統制がキーから漏れると、評価の説明力が低下します。
リスクの重要性、統制の直接性、証跡の品質、運用可能性を踏まえて選定します。
6. IT依存が整理されているか
システム出力帳票、自動計算、自動仕訳、ワークフロー承認、マスタ制御、アクセス権限に依存している場合は、その前提がRCMに反映されているかを確認します。
7. 業務記述書・フローチャートと整合しているか
RCMだけが更新されていて、業務記述書やフローチャートが古いままでは、監査法人や内部監査に説明しにくくなります。
反対に、フローチャートに統制点があるのにRCMに反映されていない場合も、評価対象漏れの可能性があります。
RCMは監査法人対応だけでなく、経営管理にも効く
RCMは、監査法人に提出するためだけの資料ではありません。
RCMを整備すると、会社は次のことを説明しやすくなります。
どの業務が財務報告に影響するのか。
どのリスクが重要なのか。
どの統制が本当に効いているのか。
誰が責任を持って確認しているのか。
どの証跡で後から説明できるのか。
どの統制が過剰で、どの統制が不足しているのか。
これは、J-SOX対応にとどまりません。決算早期化、開示品質、業務標準化、権限移譲、内部監査の高度化にもつながっていきます。
決算早期化を実現している会社では、経理担当者が有価証券報告書や決算短信などの最終成果物を把握し、最終成果物から逆算して決算・開示業務を組み立てています。一方で、単体決算、連結決算、開示業務が分断されると、手待ち、手戻り、重複が生じやすくなります。
RCMも同じです。
勘定科目、業務プロセス、システム、証跡、評価手続が分断されていると、J-SOX対応は重くなります。
逆に、RCMを使ってリスクと統制の関係を整理できれば、重要な統制に集中し、不要な統制を見直し、監査法人・内部監査・経営層・現場に説明できる状態を作りやすくなります。
まとめ｜RCMは「統制が効いている理由」を説明する文書である
RCMは、財務報告リスクと統制活動を対応づける文書です。
ただし、表を埋めることが目的ではありません。
重要なのは、次の問いに答えられることです。
どの勘定科目・開示項目に重要なリスクがあるのか。
そのリスクは、どのアサーションに関係するのか。
そのリスクを、どの統制が低減しているのか。
その統制は、誰が、どの頻度で、どの証跡に基づいて実施しているのか。
その統制は、キーコントロールとして評価すべきものか。
その統制を、どのように整備評価・運用評価するのか。
現場で継続運用できる統制なのか。
過剰統制や統制不足はないか。
RCMは、J-SOX対応の中で、会社のリスク認識と統制設計の考え方が最も明確に表れる文書です。
RCMが形式的であれば、業務記述書やフローチャートが整っていても、統制の有効性を説明することは難しくなります。
一方で、RCMが実態に即して設計されていれば、J-SOX対応は単なる文書化にとどまりません。財務報告の信頼性、決算・開示品質、業務標準化、証跡管理、内部監査、経営管理体制を支える基盤になります。
RCM・3点セットの見直しをご検討の方へ
RCMの見直しでは、単に表の項目を整えるだけでは不十分です。
評価範囲、重要な勘定科目、業務プロセス、アサーション、財務報告リスク、統制活動、証跡、キーコントロール、IT依存、そして業務記述書・フローチャートとの整合性まで、一体で確認する必要があります。
犬飼公認会計士・税理士事務所では、J-SOX対応におけるRCM、業務記述書、フローチャート、証跡設計、キーコントロール選定、整備評価・運用評価に向けた論点整理を支援しています。
「RCMはあるが、リスクと統制の対応関係を説明できない」
「キーコントロールが多すぎる、または選定根拠が曖昧」
「証跡が残らず、運用評価で手戻りが起きている」
「システム変更や業務変更後にRCMを更新できていない」
「J-SOX対応を、決算・開示・業務標準化・経営管理体制の改善につなげたい」
このような課題がある場合は、現在のRCMが、財務報告リスクに対してどの統制が効いているかを説明できる状態になっているかを確認することが有効です。
ご相談をご希望の方は、犬飼公認会計士・税理士事務所HPのお問い合わせページより、現在の状況やお悩みをご連絡ください。
振り返り｜本記事の重要ポイント
| 論点 | 重要ポイント |
|---|---|
| RCMの役割 | 財務報告リスクに対して、どの統制が効いているかを示す |
| 3点セットとの関係 | 業務記述書・フローチャートで把握した業務を、リスク別に再整理する |
| アサーション | 実在性、網羅性、評価、期間帰属、表示などを使ってリスクを具体化する |
| リスク記載 | 業務上のミスではなく、財務報告上の虚偽表示として記載する |
| 統制活動 | 「承認」「確認」ではなく、何をどの基準で確認しているかを書く |
| 頻度・実施者 | 運用評価、職務分掌、責任所在を判断する前提になる |
| 証跡 | 統制実施の事実と判断内容を後から説明する根拠になる |
| キーコントロール | 重要なリスクを最もよく低減する統制を選定する |
| IT依存 | 自動処理、システム連携、ワークフロー、ログ、マスタ管理をRCMに反映する |
| 例外処理 | 返品、差異、手修正、期末調整、非定型取引の統制を見落とさない |
| 過剰統制 | RCMは不足統制だけでなく、重複・過剰統制の見直しにも使える |
| 更新管理 | 業務変更、システム変更、組織変更、評価範囲変更に応じて更新する |
| 経営管理への接続 | RCMは監査対応だけでなく、決算早期化、業務標準化、権限移譲にもつながる |
