J-SOX対応を数年運用してきた会社ほど、次のような悩みを抱えているように感じます。
「毎年、監査法人から同じようなコメントを受ける」
「3点セットはあるものの、業務実態と合っているか自信がない」
「RCMは更新しているつもりだが、統制の有効性を説明しきれない」
「統制は実施しているのに、証跡が足りないと指摘される」
「評価範囲を前年どおりにしてよいのか不安が残る」
「IT統制や子会社管理の論点が後から出てきて、期末に慌てる」
「監査法人との認識合わせが遅れ、追加対応が発生する」
こうした状況は、担当者の作業ミスによるものではありません。
多くの場合、手戻りの原因は、J-SOX対応が「前年資料の更新作業」として運用されており、事業・組織・業務・システム・決算・開示の変化を反映する仕組みになっていない点にあります。
J-SOX対応は、一度整備した文書を毎年少しずつ直せば足りるものではありません。会社の実態が変われば、評価範囲、リスク、統制、証跡、評価手続、監査法人との協議事項も変わっていきます。
本稿では、既存のJ-SOX対応を見直す際に起こりやすい手戻りを、評価範囲の未更新、RCMの形骸化、統制と業務実態の乖離、証跡不足、監査法人協議不足を中心に整理し、再発を防ぐための実務上の考え方を解説します。
J-SOX見直しの手戻りは「資料不足」ではなく「判断過程の不足」から生じる
J-SOX見直しで問題が起こると、会社側では「資料が足りなかった」「チェックが漏れた」「担当者が忙しかった」と受け止められがちです。
もちろん、それらも直接的な原因ではあります。ただ、より本質的なところでは、次のような判断過程が不足していることが多いように思います。
- なぜ今年も同じ評価範囲でよいのか
- なぜこの統制をキーコントロールとしているのか
- なぜこの証跡で統制の実施を説明できるのか
- なぜこの不備は重要な不備に該当しないと判断したのか
- なぜこの子会社やシステムを評価対象外としたのか
- なぜこの業務変更は3点セットの更新対象ではないと判断したのか
J-SOX対応では、資料そのものよりも、資料の背後にある判断根拠が重要になります。
監査法人は、文書が存在するかどうかだけを見ているわけではありません。財務報告リスクに対して、会社がどの統制を設計し、誰が実施し、どの証跡で説明し、どのように評価したのかを確認しています。
したがって、見直し時の手戻りを防ぐには、「資料を最新化する」だけでは足りません。評価範囲、リスク、統制、証跡、評価、不備、是正、監査法人協議までを一つの流れとして更新していく必要があります。
現行制度を前提にした見直しが必要になる
J-SOXを見直す際には、制度改訂の影響も前提に置いておく必要があります。
金融庁は2023年4月7日に、企業会計審議会が取りまとめた「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」を公表しました。
出典：金融庁｜「『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』の公表について」
また、2023年8月31日には「内部統制報告制度に関するQ&A」等の改訂も公表されています。
出典：金融庁｜「『内部統制報告制度に関するＱ＆Ａ』等の改訂について」
さらに、内部統制府令等の改正により、内部統制報告書、訂正内部統制報告書、内部統制監査報告書の記載事項が見直されています。前年度に開示すべき重要な不備を報告した場合の是正状況の記載や、内部統制の有効性評価が事後的に訂正される場合の訂正の経緯・理由等の記載が、その代表的なものです。
出典：金融庁｜「『財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令の一部を改正する内閣府令（案）』等に対するパブリックコメントの結果等について」
日本公認会計士協会も、2025年2月14日に財務報告内部統制監査基準報告書第1号の改正を公表し、2025年4月1日以後開始する連結会計年度および事業年度に係る内部統制監査から適用することとしています。監査法人との協議や内部評価体制の見直しにあたっては、こうした監査実務側の改正動向も確認しておきたいところです。
出典：日本公認会計士協会｜「『財務報告内部統制監査基準報告書第１号「財務報告に係る内部統制の監査」の改正』及び『公開草案に対するコメントの概要及び対応』の公表について」
制度改訂の背景には、経営者による評価範囲の外で開示すべき重要な不備が明らかになる事例や、内部統制の有効性評価が訂正される際に十分な理由が開示されない事例への問題意識があります。実務上も、評価範囲を前年どおりに引き継ぐのではなく、財務報告への影響の重要性を踏まえて見直すことが求められていると理解しておくべきでしょう。
手戻り1｜評価範囲が前年踏襲になっている
J-SOX見直しで最も大きな手戻りにつながりやすいのが、評価範囲の未更新です。
評価範囲は、前年の評価対象をコピーして終わり、というものではありません。事業、組織、取引、システム、子会社、決算体制が変われば、評価範囲もあわせて見直す必要があります。
たとえば、次のような変化があった場合には注意が必要です。
| 変化 | 見直すべき論点 |
|---|---|
| 新規事業の開始 | 売上認識、契約管理、マスタ管理、会計処理、開示影響 |
| M&A・子会社化 | 評価対象拠点、連結パッケージ、子会社統制、IT環境 |
| 組織再編 | 承認権限、職務分掌、業務責任者、証跡の所在 |
| システム導入・変更 | IT全般統制、データ連携、電子承認、ログ、マスタ管理 |
| 取引形態の変更 | 契約条件、収益認識、返品・値引、代理人取引、非定型取引 |
| 決算体制の変更 | レビュー者、リードシート、開示基礎資料、監査対応 |
| 海外・子会社取引の増加 | 会計方針、為替、連結修正、子会社証跡、親会社レビュー |
評価範囲の未更新が問題になるのは、単に対象漏れが起こるからではありません。
より重要なのは、会社が「なぜ今年もこの範囲で足りるのか」を説明できなくなってしまう点です。評価範囲外とした拠点やプロセスについても、なぜ対象外でよいのか、どのようなリスク検討を経たのかを説明できなければ、監査法人との協議で手戻りが生じます。
防止策｜評価範囲は「年次の変化点レビュー」から始める
評価範囲の手戻りを防ぐには、年度初めまたは期中の早い段階で、次のような変化点レビューを実施します。
- 事業別・拠点別の売上高、総資産、利益、重要勘定の変化
- 新規事業、撤退事業、M&A、子会社化、組織再編の有無
- 重要な契約、非定型取引、関連当事者取引、会計上の見積りの変化
- 基幹システム、会計システム、販売管理システム、ワークフローの変更
- 決算・開示担当者、レビュー者、承認権限者の変更
- 監査法人からの前年指摘、内部監査指摘、不備・例外の発生状況
そのうえで、評価範囲メモには、対象とした理由だけでなく、対象外とした理由も残しておきます。
「前年と同じだから対象外」ではなく、「財務的重要性、質的重要性、取引リスク、IT依存度、子会社管理状況を確認した結果、今年度は対象外と判断した」と説明できる状態にしておくことが重要です。
手戻り2｜RCMが形骸化している
RCMは、J-SOX対応の中核となる資料の一つです。
しかし、見直しが十分でない会社では、RCMが単なる一覧表になってしまっていることがあります。
よく見かけるのは、次のような状態です。
- リスク欄が抽象的で、どの虚偽表示リスクを指しているのか分からない
- 統制活動欄が「上長が確認する」「経理がレビューする」といった記載にとどまっている
- 統制の実施者、頻度、証跡、評価方法が実態と合っていない
- キーコントロールが多すぎて、評価負荷だけが増えている
- 逆に、重要リスクに対するキーコントロールが不足している
- システム自動処理に依存しているのに、IT統制との関係が整理されていない
- 前年のRCMを更新してはいるが、業務変更やシステム変更が反映されていない
RCMは、監査法人に提出するための表ではありません。財務報告リスクに対して、どの統制がどのように効いているかを説明するための文書です。
J-SOX対応では、業務記述書やフローチャートがRCMを作成するための基礎資料となり、RCMは財務報告リスクとコントロールの関係を理解・評価するための調書として機能します。RCMが形だけ残っていても、リスクと統制の対応関係を説明できなければ、評価や監査対応の段階で手戻りが生じます。
防止策｜RCMは「リスクから統制へ」の順に見直す
RCMを見直すときは、統制活動から入るのではなく、リスクから入ります。
まず、重要な勘定科目と業務プロセスを結びつけます。次に、そのプロセスで財務報告に重要な虚偽表示が発生し得るポイントを整理します。そのうえで、そのリスクに対してどの統制が効いているかを確認していきます。
たとえば売上プロセスであれば、次のように考えます。
- 売上が実在しないリスク
- 売上の期間帰属を誤るリスク
- 検収前に売上計上するリスク
- 返品・値引を適切に反映しないリスク
- 請求漏れや請求誤りのリスク
- 売掛金の回収可能性を誤るリスク
- マスタ登録誤りにより請求先・単価・税区分を誤るリスク
このようにリスクを具体化したうえで、受注承認、出荷・検収確認、売上計上レビュー、請求書発行前確認、入金消込、滞留債権レビュー、マスタ登録承認といった統制を対応させます。
RCMの見直しでは、次の問いに答えられる状態になっているかが重要です。
- この統制は、どのリスクに効いているのか
- この統制をキーコントロールとする理由は何か
- 実施者は、確認に必要な能力と権限を持っているか
- レビューは形式的な押印ではなく、実質的な検討を伴っているか
- 証跡から、確認内容と判断過程を追跡できるか
- ITに依存する場合、関連するIT全般統制は整理されているか
- 統制頻度と評価手続は整合しているか
RCMを「前年からの差分更新」で済ませていると、業務実態との乖離が少しずつ蓄積していきます。少なくとも重要プロセスについては、定期的にリスク起点で再点検することが必要です。
手戻り3｜統制と業務実態が乖離している
3点セット上は統制が存在しているのに、現場では違う運用になっている。これは、J-SOX見直しで非常に多く見られる手戻りです。
たとえば、次のような状態です。
- 業務記述書上の承認者と、実際の承認者が違う
- フローチャート上は紙の承認だが、実際はワークフロー承認になっている
- RCM上は経理部長レビューだが、実際は担当者間の確認で終わっている
- 差異分析を行うことになっているが、差異があってもコメントが残っていない
- システムから出力した帳票を使う前提だが、実際はExcel加工後の資料を使っている
- 子会社からの報告資料を親会社がレビューする前提だが、実際は提出確認のみになっている
- 例外処理や差戻し処理が文書化されていない
業務フローを理解することは、適切な内部統制の整備に直結します。業務フローには、共通する業務上の課題やリスク、それを低減する内部統制が反映されています。典型的な業務フローと自社の実態を照らし合わせることで、不足している統制や過剰な統制を見つけやすくなります。
防止策｜ウォークスルーを「資料確認」ではなく「実態確認」として行う
統制と業務実態の乖離を防ぐには、ウォークスルーを丁寧に行う必要があります。
ここでいうウォークスルーは、業務記述書を担当者に読んでもらう作業ではありません。実際の取引を一件選び、取引開始から会計記録、決算・開示資料への反映までを追跡していく作業です。
確認すべきことは、次のとおりです。
- 誰が取引を開始したのか
- 誰が承認したのか
- 承認者は何を確認したのか
- システム入力は誰が行ったのか
- 入力内容は誰がレビューしたのか
- エラーや差異はどのように処理されたのか
- 会計処理への連携はどのように行われたのか
- 証跡はどこに保存されているのか
- 3点セットの記載と実際の運用は一致しているか
業務変更、組織変更、システム変更があった場合には、ウォークスルーを再実施するタイミングをあらかじめ決めておくべきです。
「毎年1回、J-SOX担当者が文書を確認する」だけでは十分とはいえません。現場部門、経理部門、IT部門、内部監査部門が、変更点を共有できる仕組みが必要です。
手戻り4｜証跡が統制の実施内容を説明できない
J-SOX対応では、統制を実施しているだけでは足りません。
誰が、いつ、何を、どの資料で確認し、どのような判断をしたのかを、後から証跡で説明できる状態にしておく必要があります。
ところが実務では、証跡不足による手戻りが頻繁に発生します。
典型的なものを挙げてみます。
- 承認印はあるが、何を確認したのかが分からない
- レビュー済みの記録はあるが、差異や例外への対応が残っていない
- Excel資料が更新されているが、作成者・レビュー者・更新履歴が分からない
- 電子承認の履歴はあるが、承認対象資料と紐づいていない
- システムログは取得できるが、監査時に閲覧・抽出できない
- 差異分析を実施したものの、差異理由や対応結果が記録されていない
- 子会社から資料は受領しているが、親会社レビューの証跡がない
書類・証跡管理は、必要な資料をすぐに取り出せるよう整理・保存し、情報漏洩、改ざん、紛失を防ぐための基本的な内部統制です。電子取引や重要文書の保存も含め、会社自身が必要資料を管理できる状態にしておくことが重要になります。
防止策｜証跡は「残す」だけでなく「評価に使える」品質にする
証跡整備では、証跡の有無だけでなく、証跡の品質を確認します。
| 証跡の観点 | 確認すべきこと |
|---|---|
| 実施者 | 誰が統制を実施したか分かるか |
| 実施日 | いつ実施したか分かるか |
| 対象資料 | 何を確認したか分かるか |
| 確認内容 | どの観点でレビューしたか分かるか |
| 判断結果 | 問題なし、差異あり、要修正などの結論が分かるか |
| 例外処理 | 差異・例外・差戻しの対応が追跡できるか |
| 保存場所 | 後から評価者・監査法人が確認できるか |
| 改ざん防止 | 電子証跡の場合、承認後の変更管理ができているか |
証跡が不十分な場合、監査法人から追加説明や代替手続を求められます。期末を過ぎてから証跡を作り直すことはできません。証跡は、統制設計の段階で決めておく必要があります。
手戻り5｜監査法人との協議が遅い
J-SOX見直しで手戻りが大きくなる原因の一つが、監査法人との協議不足です。
特に、次の論点は期末近くに協議すると手戻りになりやすい領域です。
- 評価範囲の変更
- 対象外拠点・対象外プロセスの判断
- 重要な勘定科目と業務プロセスの対応
- キーコントロールの選定
- IT統制の対象システム
- 電子承認・ログの証跡性
- 子会社統制の評価方法
- 補完統制の有効性
- 不備の重要性判断
- 是正完了の判断時期
監査法人との協議は、会社の判断を監査法人に委ねる場ではありません。会社側が論点、事実、リスク、判断根拠、対応方針を整理したうえで、監査法人と認識を合わせる場です。
協議が遅れると、追加サンプル、証跡再収集、評価範囲の拡大、RCM修正、統制再設計といった対応が期末に集中します。その結果、経理、現場、IT、内部監査、子会社に過度な負荷がかかることになります。
防止策｜監査法人協議を年間計画に組み込む
監査法人との協議は、年度末のイベントではなく、年間計画に組み込んでおくべきものです。
| 時期 | 協議すべき論点 |
|---|---|
| 年度初め | 評価範囲、重要な変更点、監査法人の重点領域 |
| 第1四半期 | 3点セット更新方針、RCM見直し、IT統制範囲 |
| 第2四半期 | 整備評価結果、証跡方針、子会社対応 |
| 第3四半期 | 運用評価の進捗、例外・不備の暫定評価 |
| 期末前 | 是正状況、残課題、追加手続の要否 |
| 期末後 | 不備判定、翌期改善、文書更新方針 |
協議記録には、論点、会社の見解、監査法人コメント、追加対応、期限、責任者を残します。
口頭で「大丈夫そう」と確認しただけでは、後から認識違いが生じることがあります。J-SOX対応では、協議そのものを証跡として残しておくことが重要です。
手戻り6｜評価計画が場当たり的になっている
J-SOX見直しでは、評価計画そのものが場当たり的になっているケースもあります。
- 整備評価の時期が遅い
- 運用評価の対象期間が不足している
- サンプル対象の母集団が整理されていない
- 評価者の独立性や能力が曖昧である
- 評価調書の品質がばらついている
- 例外処理の判断基準が統一されていない
- 不備の集計と是正状況管理が遅い
- 翌期改善に接続していない
J-SOX評価は、年度末にまとめて行う作業ではありません。統制の整備状況を早期に確認し、運用評価に必要な証跡を期中から残し、不備があれば是正して、再評価できる時間を確保しておく必要があります。
内部監査の実務でも、年次計画は監査対象をリスクベースで優先順位づけし、監査時間・監査人員・監査費用といった監査資源を配分するためのロードマップとして位置づけられます。J-SOX評価においても、評価範囲、評価時期、評価担当者、調書レビュー、不備フォローを年次計画として管理することが重要です。
防止策｜「評価完了」の定義を明確にする
評価計画の手戻りを防ぐには、評価完了の定義を明確にしておきます。
- 統制を設計したら完了なのか
- 運用を開始したら完了なのか
- 証跡が1件残れば完了なのか
- 運用評価を実施したら完了なのか
- 例外がないことを確認したら完了なのか
- 不備を是正し、再評価で有効性を確認したら完了なのか
- 監査法人との認識合わせまで終えたら完了なのか
改善項目ごとに完了条件を明確にしておかなければ、進捗管理上は完了していても、監査上は未了という状態が生まれてしまいます。
手戻り7｜決算・開示プロセスとJ-SOX対応が分断されている
J-SOX対応が監査対応部門だけの作業になっている会社では、決算・開示プロセスとの接続不足から手戻りが生じます。
たとえば、次のような状態です。
- J-SOX上の統制はあるが、決算資料の作成プロセスとつながっていない
- 開示基礎資料の根拠資料が、RCMや証跡管理と連動していない
- 単体決算、連結決算、開示業務の担当者が別々に資料を作成している
- 監査法人提出資料と社内レビュー資料が重複している
- 開示数値と月次管理資料の整合確認が後手になる
- 決算遅延の原因が、証跡不足や差戻し対応にある
決算早期化を実現できない会社では、単体担当者、連結担当者、開示担当者がそれぞれ自分の業務だけを見ており、最終成果物から逆算する「森を見る視点」が欠けています。そのため、手待ち、手戻り、重複が生じやすくなります。J-SOX対応においても、統制・証跡・決算・開示を分断せず、最終的な財務報告から逆算して設計することが重要です。
防止策｜J-SOX証跡を決算・開示基礎資料とつなげる
J-SOX対応の証跡は、監査法人のためだけに残すものではありません。決算・開示を正確かつ効率的に行うための基礎資料でもあります。
- 売上プロセスの統制証跡は、売上計上、債権管理、収益認識、開示基礎資料につながります
- 棚卸資産プロセスの証跡は、棚卸差異、評価減、原価計算、注記情報につながります
- 固定資産プロセスの証跡は、取得、除売却、減価償却、減損兆候、設備投資管理につながります
- 子会社パッケージのレビュー証跡は、連結修正、開示基礎資料、監査法人対応につながります
- IT統制の証跡は、システム出力帳票や電子承認の信頼性につながります
J-SOX対応を決算・開示と接続できれば、統制は負荷ではなく、手戻りを減らす仕組みになります。
手戻り8｜IT統制を後回しにしている
IT統制は、J-SOX見直しで後回しにされやすい領域です。
しかし実務上は、後回しにすると大きな手戻りにつながります。
- 販売管理システムから会計システムへデータ連携している
- ワークフローで承認している
- マスタ登録をシステムで管理している
- アクセス権限により入力・承認・修正権限を制御している
- システム出力帳票を決算資料として利用している
- クラウドサービスや外部委託先を利用している
こうした場合には、業務プロセス統制だけでなく、IT統制の前提が重要になります。
システム出力帳票を証跡として使うのであれば、その帳票が正しく出力される前提を確認する必要があります。電子承認を証跡として使うのであれば、承認者、承認対象、承認後の変更可否、ログの保存状況を確認しなければなりません。アクセス権限で職務分掌を担保しているのであれば、ID管理や権限の定期レビューが重要になります。
防止策｜システム変更を3点セット更新のトリガーにする
IT統制の手戻りを防ぐには、システム変更を3点セット更新のトリガーとして明確に位置づけておきます。
- 新システム導入
- 会計システムとのデータ連携開始
- ワークフロー承認への移行
- 権限設計の変更
- マスタ管理方法の変更
- クラウドサービスの導入・変更
- 外部委託先の変更
- システム障害や重大なエラーの発生
これらが発生した場合には、業務記述書、フローチャート、RCM、証跡設計、評価手続を見直します。
IT部門任せにせず、経理部門、現場部門、内部監査部門が共通認識を持っておくことが重要です。
手戻り9｜子会社管理を親会社目線で説明できない
グループ会社がある場合、J-SOX見直しでは子会社管理も重要な論点になります。
問われるのは、子会社が評価対象に含まれるかどうかだけではありません。親会社として、子会社の財務報告リスクと統制状況をどこまで把握し、どの証跡で説明できるかが問われます。
よく見られる手戻りは、次のとおりです。
- 子会社の連結パッケージ提出遅延が毎期発生する
- 子会社の会計方針や勘定科目の使い方が親会社と異なる
- 親会社レビューが形式的で、差戻しや修正履歴が残っていない
- 子会社の業務プロセスやIT統制の実態が見えない
- 海外子会社の証跡や承認記録が不十分である
- 子会社の不備・改善状況を親会社が管理していない
- 買収後の子会社について、評価範囲・統制整備が追いついていない
防止策｜子会社への依頼事項を「提出物」ではなく「説明責任」から設計する
子会社管理で重要なのは、親会社が説明すべき事項を明確にすることです。
子会社に何を提出してもらうかではなく、親会社が何を説明する必要があるかから逆算します。
- 子会社の決算数値は正確か
- 親会社の会計方針に従っているか
- 重要勘定に関する証跡はあるか
- 親会社レビューは実質的に行われているか
- 差戻し・修正・再提出の履歴は残っているか
- 子会社側の統制不備を親会社が把握しているか
- 改善期限と責任者は明確か
親会社が説明できない子会社資料は、単なる提出物にすぎません。J-SOX上は、親会社がグループ全体の財務報告責任を果たせる状態にしておく必要があります。
手戻り10｜不備対応が「修正」で終わり、原因分析になっていない
監査法人や内部監査から不備を指摘されたとき、対象資料を修正して終わりにしてしまう会社があります。
しかし、J-SOX見直しの観点からは、不備の修正だけでは不十分です。
- なぜ不備が起きたのか
- 同じ不備が他のプロセスでも起きていないか
- 統制設計の問題か、運用の問題か
- 担当者の理解不足か、権限設計の問題か
- 証跡設計の問題か、システム制約の問題か
- レビュー者が実質的に確認できる体制だったか
- 是正後に再評価できる証跡が残るか
会計不正や粉飾決算の実務では、不正実行者が取引スキームを熟知し、内部統制の欠陥を突くことがあります。長期間同一業務を担当している、モニタリングが行われていないといった内部統制上の弱点も、問題になりやすい要素です。J-SOX上の不備対応でも、表面的な修正にとどめず、統制環境・業務プロセス・証跡・モニタリングのどこに弱さがあるかを見ていく必要があります。
防止策｜不備管理表には「原因」と「再評価」を入れる
不備管理表には、少なくとも次の項目を入れておきます。
| 項目 | 内容 |
|---|---|
| 不備内容 | 何が問題だったか |
| 発見経路 | 内部評価、内部監査、監査法人、現場報告など |
| 影響範囲 | どのプロセス・拠点・勘定科目に影響するか |
| 原因 | 設計不備、運用不備、証跡不備、IT不備、教育不足など |
| 是正策 | 何を変更するか |
| 責任者 | 誰が対応責任を持つか |
| 期限 | いつまでに是正するか |
| 再評価方法 | 是正後にどの証跡で有効性を確認するか |
| 監査法人協議 | 協議要否、協議結果、残課題 |
| 翌期対応 | 翌期の評価計画・文書更新への反映 |
「対応済み」とする条件を明確にしておかなければ、翌期に同じ指摘が再発します。
手戻りを防ぐための年次見直しサイクル
J-SOX見直しは、期末前にまとめて行うものではありません。
次のような年次サイクルとして運用することが重要です。
| 時期 | 実施事項 | 手戻り防止のポイント |
|---|---|---|
| 年度初め | 前年指摘・不備・事業変化の整理 | 評価範囲と重点論点を早期に決める |
| 第1四半期 | 評価範囲案、3点セット更新方針の作成 | 監査法人と初期協議を行う |
| 第2四半期 | 整備評価、ウォークスルー、証跡設計 | 業務実態と文書の乖離を修正する |
| 第3四半期 | 運用評価、例外・不備の暫定評価 | 是正期間を確保する |
| 期末前 | 是正状況、残課題、追加手続の確認 | 期末直前の手戻りを抑える |
| 期末後 | 不備判定、内部統制報告、翌期計画 | 同じ指摘を翌期に残さない |
このサイクルがない会社では、J-SOX対応が毎年「期末前の資料集め」になってしまいます。
期末前の資料集めでは、統制の運用実績を増やすことも、証跡を過去に遡って作ることもできません。だからこそ、年度初めから見直しを始める必要があります。
手戻りを防ぐために社内で決めておくべきこと
J-SOX見直しを継続的に運用していくには、社内ルールが必要です。
特に、次の事項を決めておくと、手戻りを減らしやすくなります。
| 決めるべき事項 | 内容 |
|---|---|
| 変更情報の共有ルール | 事業変更、組織変更、システム変更を誰がJ-SOX担当へ共有するか |
| 3点セット更新責任者 | 業務記述書、フローチャート、RCMの更新責任者 |
| 証跡保存ルール | 保存場所、保存形式、ファイル名、保存期限、閲覧権限 |
| 評価計画 | 整備評価、運用評価、調書レビュー、不備集計の時期 |
| 監査法人協議ルール | 協議が必要な論点、協議時期、記録方法 |
| 不備管理ルール | 原因分析、是正責任者、期限、再評価、経営層報告 |
| 子会社管理ルール | 提出資料、レビュー手続、差戻し、改善フォロー |
| IT変更管理 | システム導入・変更時のJ-SOX影響確認 |
これらは、過度に複雑なルールである必要はありません。
重要なのは、誰が、どのタイミングで、何を判断し、どの証跡を残すのかが決まっていることです。
過剰統制による手戻りにも注意する
J-SOX見直しでは、統制不足だけでなく、過剰統制にも注意が必要です。
統制を増やせば安全になるとは限りません。むしろ、統制が多すぎると、現場が形式的に対応するようになり、実効性が下がっていきます。
次のような状態は、見直しの対象です。
- 同じリスクに対して複数の承認が重複している
- 重要性の低い統制までキーコントロールとして評価している
- 実質的に確認していない承認が残っている
- 証跡作成のためだけのExcel資料が増えている
- 現場が統制の目的を理解せず、チェックリストだけを埋めている
- 監査法人から求められた過去資料を、そのまま恒久業務にしている
内部統制は、制度や文書を整備しただけでは実現しません。コンプライアンス体制においても、規程やマニュアル、委員会、研修があっても企業不祥事がなくならないことが示すように、実際に情報が共有され、問題が認識され、継続的に改善される仕組みこそが重要です。
J-SOX対応でも、形式的な統制を増やすのではなく、重要なリスクに効く統制を、現場で継続できる形に絞り込んでいくことが必要です。
まとめ｜手戻り防止の本質は「前年資料の更新」ではなく「変化を反映する仕組み」にある
J-SOX見直しで起こる手戻りは、多くの場合、前年資料の更新不足ではなく、会社の変化をJ-SOX対応へ反映する仕組みの不足から生じます。
- 評価範囲が前年踏襲になる
- RCMが形骸化する
- 統制と業務実態が乖離する
- 証跡が統制実施を説明できない
- 監査法人協議が遅れる
- 評価計画が場当たり的になる
- 決算・開示との接続が弱い
- IT統制や子会社管理が後回しになる
- 不備対応が原因分析に至らない
これらはいずれも、J-SOX対応を「年次作業」として捉えている限り、繰り返されます。
手戻りを防ぐには、J-SOX対応を、会社の数字・業務・権限・証跡・IT・子会社・決算・開示を説明できる状態に整える、継続的な仕組みとして運用していく必要があります。
前年資料を更新するのではなく、今年の会社を説明できる状態に更新する。
この発想に切り替えることが、J-SOX見直しの出発点になります。
J-SOX見直し・手戻り防止に関するご相談について
J-SOX対応で毎年同じ指摘が出ている場合、必要なのは単なる資料修正ではありません。
評価範囲の判断、RCMの設計、業務実態との整合、証跡の品質、IT統制、子会社管理、監査法人協議、決算・開示との接続を整理し、どこで手戻りが起きているのかを構造的に確認していく必要があります。
犬飼公認会計士・税理士事務所では、J-SOX対応の見直し、3点セット・RCM・証跡設計の改善、評価範囲資料の整理、監査法人協議に向けた論点整理、不備管理・是正計画、決算・開示体制との接続まで、会社の実態に応じた支援を行っています。
「前年踏襲でよいか不安がある」「監査法人指摘への対応が後手になっている」「証跡不足が繰り返されている」「IT統制や子会社管理まで含めて見直したい」とお感じの場合は、現在の3点セット、RCM、監査法人コメント、不備一覧、評価計画をもとに、まずは手戻りの原因整理からご相談ください。
お問い合わせページより、現在の状況とご相談内容をお知らせください。
本記事の振り返り
| 手戻りの原因 | 起こりやすい問題 | 防止策 |
|---|---|---|
| 評価範囲の未更新 | 事業・組織・システム変化が反映されない | 年度初めに変化点レビューを実施し、対象外理由も記録する |
| RCMの形骸化 | リスクと統制の対応関係が説明できない | 財務報告リスクから統制を見直し、キーコントロールを再整理する |
| 業務実態との乖離 | 3点セットと現場運用が合わない | ウォークスルーで実取引を追跡し、変更時に更新する |
| 証跡不足 | 統制実施を後から説明できない | 実施者、日付、確認内容、判断結果、例外処理を残す |
| 監査法人協議不足 | 期末に追加対応・評価範囲見直しが発生する | 評価範囲、IT統制、不備判断等を期中に協議する |
| 評価計画の遅れ | 運用実績不足、是正期間不足が生じる | 年次評価計画を作成し、整備評価・運用評価・再評価を管理する |
| 決算・開示との分断 | 監査対応資料と決算資料が重複・不整合になる | 最終開示物から逆算し、証跡と開示基礎資料をつなげる |
| IT統制の後回し | システム出力や電子承認の信頼性を説明できない | システム変更を3点セット更新のトリガーにする |
| 子会社管理不足 | 親会社が子会社の統制状況を説明できない | 子会社提出物ではなく、親会社の説明責任から設計する |
| 不備対応の浅さ | 同じ指摘が翌期も繰り返される | 原因分析、是正策、責任者、期限、再評価を管理する |
参考出典
- 出典：金融庁｜「『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』の公表について」
- 出典：金融庁｜「『内部統制報告制度に関するＱ＆Ａ』等の改訂について」
- 出典：金融庁｜「『財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令の一部を改正する内閣府令（案）』等に対するパブリックコメントの結果等について」
- 出典：e-Gov法令検索｜「財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令」
- 出典：日本公認会計士協会｜「『財務報告内部統制監査基準報告書第１号「財務報告に係る内部統制の監査」の改正』及び『公開草案に対するコメントの概要及び対応』の公表について」
