J-SOX対応で「3点セットを作る」と聞くと、業務記述書、フローチャート、RCMを整備する作業を思い浮かべる方が多いのではないでしょうか。
ただ、J-SOXにおける文書化の目的は、監査法人に提出する資料をそろえることではありません。本来の目的は、会社の業務、リスク、統制、証跡、そして判断の過程を、後から説明できる状態に整えることにあります。
どの業務プロセスで、どのような財務報告リスクが生じるのか。そのリスクに対して誰が、いつ、何を確認し、どの証跡を残しているのか。さらに、その統制が業務の実態に合っており、継続して運用できるものになっているのか。
これらの問いに答えるための共通言語が、3点セットとRCMです。
3点セットが形だけ整っていても、業務実態と噛み合っていなければ、整備評価でも運用評価でも手戻りが生じます。RCMに統制が並んでいても、財務報告リスクとの対応関係が不明確であれば、なぜその統制が必要なのかを説明できません。証跡が残っていなければ、実際には統制を実施していたとしても、その事実を後から確認することができないのです。
このテーマでは、J-SOXの文書化を「資料作成」ではなく、「説明できる統制を設計し、維持するための仕組み」として整理していきます。
このテーマで扱うこと
本テーマ「3点セット・RCM・文書化と証跡管理」では、J-SOX対応の中でも、統制設計と評価実務をつなぐ中核部分を扱います。
評価範囲を決めても、業務プロセスの実態が整理されていなければ、どのリスクに対してどの統制を評価すべきかが見えてきません。統制を設計しても、証跡が残らなければ、運用評価の場面で説明ができません。初年度に文書を作成したとしても、その後の業務変更、システム変更、組織変更に合わせて更新されなければ、文書はあっという間に過去の記録になってしまいます。
このテーマで確認する主な論点は、次のとおりです。
- 業務記述書で、取引の開始から会計処理・証跡までをどこまで説明すべきか
- フローチャートで、部門間の流れ、承認点、システム処理、例外処理、証跡をどう見える化するか
- RCMで、財務報告リスクと統制活動をどのように対応づけるか
- キーコントロールをどのように見極めるか
- 承認、レビュー、差異分析、例外処理の証跡をどのように残すか
- 文書を初年度作成のまま放置せず、継続的に更新する仕組みをどう作るか
ここで大切なのは、すべてを細かく文書化することではありません。財務報告に重要な影響を与えるリスクを見極めたうえで、そのリスクに対して必要な統制を、現場で継続できる水準で設計し、後から説明できる証跡を残すこと。そこに文書化の意味があります。
制度情報の前提
本シリーズでは、現行の内部統制報告制度に関する基準・Q&A・事例集を前提に整理します。
金融庁は、2023年4月7日に企業会計審議会が取りまとめた内部統制基準・実施基準の改訂意見書を公表しました。
出典：金融庁｜「『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』の公表について」
さらに同年8月31日には、内部統制報告制度に関するQ&A等が改訂されています。
出典：金融庁｜「『内部統制報告制度に関するQ＆A』等の改訂について」
したがって、J-SOX対応の文書化や証跡管理を考える際にも、単に過去の実務を踏襲するのではなく、財務報告の信頼性、リスクアプローチ、評価範囲、ITへの対応、監査人との協議といった現行制度の考え方を踏まえる必要があります。
また、内部統制報告制度は、会社の実態に応じた効率的な整備・運用を否定するものではありません。金融庁の事例集でも、中堅・中小上場企業等において、内部統制の有効性を保ちながら企業実態に合った効率的な対応を行う趣旨が示されています。
出典：金融庁｜「内部統制報告制度に関する事例集」
そのため本テーマでも、過剰に細かい文書化や、現場で回らない統制を推奨するものではありません。
大切なのは、会社の規模、業務の複雑性、システム環境、人的制約、監査法人対応、そして将来の成長可能性を踏まえながら、「どこまで整えれば説明できるか」を判断することです。
なぜ3点セットは形骸化しやすいのか
3点セットが形骸化する原因は、文書の作り方が悪いからというだけではありません。多くの場合、文書化が「J-SOX対応の成果物」として扱われ、実際の業務運用や評価手続と切り離されてしまうところに原因があります。
たとえば、次のような状態です。
- 初年度に外部支援を受けて3点セットを作成したものの、現場担当者はその内容を理解していない
- RCMには統制が記載されているが、実際にその統制がどのリスクに効いているのか、社内で説明できない
- フローチャートには承認点があるが、承認証跡がどこに残るのか分からない
- 業務記述書に例外処理が書かれていないため、異常時の対応が担当者任せになる
- 組織変更やシステム変更があっても、3点セットが更新されない
こうした状態になると、3点セットは統制設計の基盤ではなく、過年度の資料になってしまいます。
J-SOX対応では、文書化、統制設計、証跡管理、評価手続、監査法人対応を分断して考えるべきではありません。3点セットは、整備評価・運用評価に進むための土台であり、監査法人や内部監査、経営層、現場部門が同じ前提で議論するための共通言語なのです。
このテーマの読み方
本テーマは、6本の詳細コラムで構成しています。
基本的には、4-1から4-6まで順番に読み進めていただくことで、J-SOX文書化の目的、3点セットの役割、業務記述書、フローチャート、RCM、証跡管理、文書更新までを一連の流れとして理解できる構成にしています。
一方で、すでにJ-SOX対応を進めている会社では、課題がはっきりしていることもあるでしょう。3点セットの目的が曖昧であれば4-1から、業務記述書やフローチャートが実態と合っていない場合は4-2または4-3から、RCMのリスク・統制対応が弱い場合は4-4から、証跡不足に悩んでいる場合は4-5から、文書が更新されていない場合は4-6から読んでいただくこともできます。
ただし、証跡管理や更新管理だけを切り出しても、根本的な改善につながらないことがあります。証跡不足の背景に、そもそも統制活動が曖昧である、RCM上の統制目的が不明確である、業務フローが実態と異なる、といった問題が隠れているためです。
その意味では、どこから読み始める場合でも、最終的には4-1から4-6までを一つの流れとして確認していただくことをおすすめします。
4-1. J-SOX文書化の目的と3点セットの位置づけ
最初に読んでいただきたいコラムです。
3点セットの作成が目的化している、監査法人に提出するためだけに文書を整えている、業務記述書・フローチャート・RCMの役割が社内で整理されていない。そうした会社に向いています。
このコラムでは、J-SOXの文書化を「資料作成」ではなく、「業務・リスク・統制・証跡を説明するための仕組み」として捉え直します。
- 業務記述書は何を文章で説明するのか
- フローチャートは何を可視化するのか
- RCMはどのようにリスクと統制を対応づけるのか
- 規程、マニュアル、証跡、評価手続と3点セットはどう関係するのか
こうした基本的な位置づけを理解することで、以降の詳細コラムを読み進めるための前提が整います。
3点セットをこれから作成する会社だけでなく、すでに作成済みでありながら形骸化している会社にも、まず確認していただきたい入口記事です。
4-2. 業務記述書で何を説明すべきか
業務記述書が長いだけで、統制が見えてこない会社に向けたコラムです。
業務記述書は、業務マニュアルのようにすべての作業手順を細かく記載する文書ではありません。J-SOX上の業務記述書で重要なのは、取引の開始から会計処理、承認、確認、例外処理、証跡までを、財務報告リスクと結びつけて説明できることです。
販売プロセスであれば、受注、出荷、検収、売上計上、請求、入金消込までの流れが、どのように会計記録へつながるのか。購買プロセスであれば、発注、検収、仕入計上、請求書照合、支払承認が、どのように債務計上や支払の正確性を支えているのか。決算プロセスであれば、残高確認、決算整理、レビュー、承認、開示基礎資料が、どのように財務報告の信頼性を支えているのか。
このコラムでは、業務記述書を「長く書く」のではなく、「後から説明できるように書く」ための視点を整理します。
業務記述書が現場の実態と合っていない、担当者が変わると説明できなくなる、例外処理や証跡が抜け落ちている。そうした課題を抱えている場合に読んでいただきたい記事です。
4-3. フローチャートで統制を見える化する考え方
フローチャートが実態と合っていない、あるいは単なる業務の流れ図になっている会社に向けたコラムです。
J-SOX上のフローチャートは、業務の流れをきれいに図示することが目的ではありません。部門間の受け渡し、承認点、システム処理、例外処理、証跡、職務分掌、そして統制の抜けを見える化するために作成します。
文章で業務を説明すると、誰がどこで確認しているのか、どのタイミングで承認が入るのか、どこで会計データが作られるのか、どの部門に責任があるのかが見えにくくなることがあります。フローチャートは、この見えにくい関係を整理するための文書です。
とりわけ、部門をまたぐ業務、システム連携がある業務、承認やレビューが複数存在する業務では、フローチャートの品質がそのまま統制設計の品質に直結します。
このコラムでは、図形ルールの細部ではなく、フローチャートを使って統制点と証跡をどう見える化するかを扱います。
業務フローが現場の説明と合わない、承認点はあるが証跡が見えない、職務分掌上の問題がフロー上で把握できない。そうした会社に適した記事です。
4-4. RCMでリスクと統制を対応づける方法
RCMが形式的で、統制の有効性を説明できない会社に向けたコラムです。
RCMは、J-SOX対応の中でも特に重要な文書だと考えています。財務報告リスクに対して、どの統制が効いているのかを示す文書だからです。
RCMに統制活動が並んでいても、リスクとの対応関係が弱ければ、評価対象として妥当かどうかを判断できません。反対に、重要な財務報告リスクがあるにもかかわらず、それに対応する統制がRCM上に見えていなければ、統制不足の可能性があります。
このコラムでは、アサーション、リスク、統制活動、実施者、頻度、証跡、キーコントロール、評価方法といったRCMの構成要素を、実務判断に使える形で整理します。
重要なのは、RCMを項目入力表として扱わないことです。
- 売上の実在性リスクに対して、どの統制が効いているのか
- 棚卸資産の評価リスクに対して、どのレビューが機能しているのか
- 支払の正確性や不正支払リスクに対して、どの承認・照合が有効なのか
- システム処理に依存する統制について、IT統制との関係は整理されているか
こうした問いに答えるために、RCMを使います。
RCMが前年踏襲になっている、キーコントロールの選定根拠が説明できない、評価手続とRCMがつながっていない。そうした場合に読んでいただきたい記事です。
4-5. 証跡管理の基本｜後から説明できる統制にする
統制は実施しているものの、証跡が残っていない会社に向けたコラムです。
J-SOX対応では、「実施しているつもり」だけでは足りません。統制は、誰が、何を、いつ、どの資料で確認したかを、後から説明できる状態になっている必要があります。
承認証跡、レビュー証跡、差異分析、例外処理、電子証跡、保存ルール、証跡の品質。これらはいずれも、整備評価・運用評価の前提となるものです。
特に注意していただきたいのは、証跡が「ある」ことと、統制の実施内容を説明できることは同じではない、という点です。
承認印があるだけでは、何を確認したのか分からないことがあります。ワークフロー承認が残っていても、承認者がどの資料を見て、どの観点で判断したのかが不明確なことがあります。レビューコメントがなく、単にチェック済みになっているだけでは、差異分析や異常値の確認が行われたかどうかを説明しにくくなります。
このコラムでは、証跡を「監査のために残す資料」としてではなく、「統制が機能したことを後から説明するための記録」として整理します。
証跡不足を監査法人から指摘されている、電子承認やログをどこまで証跡として使えるか不安がある、レビュー統制の実施内容が分かりにくい。そうした会社に向いた記事です。
4-6. 3点セットを更新し続ける仕組み
文書が初年度作成時のまま更新されていない会社に向けたコラムです。
3点セットは、一度作れば終わりというものではありません。業務変更、システム変更、組織変更、規程改訂、担当者変更、子会社追加、不備是正、監査法人コメントなどに応じて、継続的に更新していく必要があります。
初年度に作成した3点セットがそのまま残っていると、実際の業務と文書は次第に乖離していきます。紙承認からワークフロー承認に変わったのに、フローチャートが更新されていない。担当部署が変わったのに、RCM上の実施者が旧組織のままになっている。システム変更により証跡の取得方法が変わったのに、評価手続が更新されていない。こうした状態では、文書化は内部統制の基盤ではなく、むしろ手戻りの原因になってしまいます。
このコラムでは、更新トリガー、改訂履歴、責任者、監査法人協議、年度評価との接続、変更管理の仕組みを扱います。
文書更新を内部監査部門だけで抱えている、業務変更がJ-SOX担当へ共有されない、監査法人から実態と文書の乖離を指摘されている。そうした会社に読んでいただきたい記事です。
どの順番で読むべきか
このテーマは、原則として4-1から順番に読み進めることをおすすめします。
まず、4-1で文書化の目的と3点セットの位置づけを確認します。ここを飛ばしてしまうと、業務記述書、フローチャート、RCM、証跡管理を個別の資料として理解することになり、全体のつながりが見えにくくなります。
次に、4-2と4-3で、業務を文章と図で説明できる状態にします。業務記述書とフローチャートは、業務実態を整理するための両輪です。文章で取引の流れを説明し、図で部門間の流れ、承認点、証跡、システム処理を可視化することで、統制設計の土台ができあがります。
そのうえで、4-4でRCMを確認します。RCMは、業務実態を踏まえて、財務報告リスクと統制活動を対応づける文書です。業務記述書やフローチャートが不十分なままRCMを作ると、リスクと統制の対応はどうしても表面的になりがちです。
続いて、4-5で証跡管理を確認します。統制がRCM上で設計されていても、証跡がなければ運用評価で説明できません。証跡管理は、統制を「実施した」と言える状態にするための重要な論点です。
最後に、4-6で3点セットを更新し続ける仕組みを確認します。業務、組織、システムは変化していきます。3点セットを継続的に更新する仕組みがなければ、初年度に整えた文書もすぐに実態とずれてしまいます。
この流れで読むことで、文書化を単なる成果物ではなく、統制設計・証跡管理・評価・監査法人対応をつなぐ仕組みとして理解できるはずです。
課題別の読み進め方
自社の課題がすでに明確な場合は、次のように読み進めると効率的です。
- 3点セット作成が目的化している、文書化の意味を社内に説明できない場合は、4-1から確認してください
- 業務記述書が長いだけで統制が見えない、担当者が変わると業務の説明ができない場合は、4-2が入口になります
- フローチャートが実態と合っていない、部門間の流れや承認点が見えない場合は、4-3から確認するとよいでしょう
- RCMが形式的で、リスクと統制の対応関係が説明できない場合は、4-4を中心にお読みください
- 統制は実施しているが証跡が残っていない、レビュー内容が後から分からない場合は、4-5が直接関係します
- 初年度に作成した3点セットが更新されていない、業務変更やシステム変更が文書に反映されていない場合は、4-6を確認してください
もっとも、個別の課題だけを見ていても、根本原因にたどり着かないことがあります。証跡不足の原因がRCMの設計不備にあることもありますし、RCMの不備の原因が業務フローの理解不足にあることもあります。必要に応じて前後の記事を行き来しながら確認していくことが重要です。
このテーマと他テーマとのつながり
本テーマは、J-SOX対応全体の中で、評価範囲の判断と評価実務をつなぐ位置にあります。
テーマ3「評価範囲・重要性・リスクアプローチ」では、どの拠点、どの勘定科目、どの業務プロセスを評価対象にするかを判断します。その判断を実務に落とし込むためには、対象プロセスの業務実態、リスク、統制、証跡を文書化する必要があります。ここでテーマ4が関係してきます。
テーマ5「全社的内部統制とガバナンス」では、権限設計、職務分掌、経営者姿勢、統制環境などを扱います。個別業務の3点セットを整備しても、承認権限や職務分掌の前提が曖昧であれば、統制は安定しません。テーマ4の文書化は、テーマ5の全社統制と接続して初めて意味を持ちます。
テーマ6「決算・財務報告・開示プロセス統制」では、単体決算、連結決算、開示基礎資料、会計上の見積りなどを扱います。これらのプロセスでは、判断過程と証跡が特に重要になります。テーマ4で整理する証跡管理やRCMの考え方は、決算・開示統制の品質に直結します。
テーマ7「主要業務プロセス統制」では、販売、購買、在庫、固定資産、人件費、資金などの個別プロセスを扱います。テーマ4は、これらのプロセスを文書化し、リスクと統制を見える化するための基礎になります。
テーマ8「IT統制・システム・データ管理」では、アクセス権限、変更管理、IT業務処理統制、電子証跡、クラウド利用などを扱います。近年は、承認や証跡が紙から電子へ移行しているため、テーマ4の証跡管理はテーマ8と密接に関係します。
テーマ9「整備評価・運用評価・不備判定・是正」では、統制が設計上有効か、一定期間継続して運用されているかを評価します。3点セットやRCMが不十分であれば、整備評価・運用評価の前提そのものが崩れてしまいます。
つまり本テーマは、文書化だけのテーマではありません。評価範囲、全社統制、決算・開示、業務プロセス、IT統制、評価実務、監査法人対応をつなぐ、橋渡しのテーマなのです。
このテーマで深掘りしすぎない論点
テーマトップ記事である本記事では、個別論点の詳細までは扱いません。
業務記述書の具体的な書き方、フローチャートの記載粒度、RCMの具体的な項目設計、証跡の保存ルール、改訂履歴の運用方法などは、各詳細コラムで扱います。
また、IT全般統制、電子証跡、クラウド・外部委託先統制の詳細はテーマ8で扱います。不備判定、運用評価、サンプリング、例外処理の詳細はテーマ9で、監査法人との協議実務はテーマ10で、子会社管理やグループ文書化はテーマ12で扱います。
この切り分けを意識することが重要です。
J-SOX対応では、すべての論点を一つの文書や一つの会議で解決しようとすると、かえって整理が難しくなります。文書化、証跡、評価、不備、監査法人対応、IT、子会社管理をそれぞれの役割に分けながら、必要なところで接続して考える。それが、実務上の手戻りを減らすことにつながります。
自社の現在地を確認するための問い
このテーマを読み進める前に、自社の状況を次の観点で確認してみてください。
- 3点セットは、現在の業務実態と一致しているでしょうか
- 業務記述書は、取引開始から会計処理・証跡までを説明できるでしょうか
- フローチャートは、承認点、責任分担、システム処理、例外処理を見える化しているでしょうか
- RCMでは、財務報告リスクと統制活動の対応関係を説明できるでしょうか
- キーコントロールの選定理由を、監査法人や内部監査に説明できるでしょうか
- 統制証跡は、誰が、何を、いつ、どの資料で確認したかを示しているでしょうか
- 業務変更、組織変更、システム変更があったとき、3点セットは更新されているでしょうか
- 文書更新の責任者、改訂履歴、承認手続は明確でしょうか
- 監査法人からの指摘や不備是正は、RCMや3点セットに反映されているでしょうか
- J-SOX文書化が、決算早期化や業務標準化にもつながっているでしょうか
これらに自信を持って答えられない場合は、文書化そのものではなく、文書化を支える運用設計を見直す必要があります。
文書化の品質は「説明できるか」で決まる
3点セットやRCMの品質は、見た目の整い方だけで判断できるものではありません。
本当に重要なのは、次の説明ができるかどうかです。
- なぜこの業務プロセスが評価対象なのか
- このプロセスには、どの財務報告リスクがあるのか
- そのリスクに対して、どの統制が効いているのか
- 統制は誰が、どの頻度で、どの資料を使って実施しているのか
- 統制実施後、どの証跡が残るのか
- 証跡から、実施内容や判断過程を後から確認できるのか
- 業務変更やシステム変更があった場合、文書と評価手続をどう更新するのか
この説明ができる状態であれば、3点セットは単なる提出資料ではなく、会社の業務と統制を支える実務基盤になります。
反対に、説明できない文書は、たとえ体裁が整っていても、J-SOX対応上の価値は限定的です。
文書化の目的は、会社を文書で縛ることではありません。会社が自らの業務、数字、権限、証跡、判断過程を説明できる状態に整えること。そこにこそ意味があります。
J-SOX文書化・3点セットの見直しをご検討の方へ
3点セットやRCMは、初年度対応で作成して終わりではありません。事業が成長し、業務が変わり、システムが変わり、組織が変わるほど、文書化と証跡管理の重要性は高まっていきます。
犬飼公認会計士・税理士事務所では、J-SOX対応における3点セットの見直し、業務記述書・フローチャート・RCMの整合性確認、証跡管理の改善、文書更新ルールの設計、監査法人協議に向けた論点整理を支援しています。
- 「3点セットはあるが、現場の実態と合っているか不安がある」
- 「RCMのリスクと統制の対応関係を説明できない」
- 「証跡不足を監査法人から指摘されている」
- 「文書更新が毎年後手に回っている」
- 「J-SOX対応を、決算早期化や業務標準化にもつなげたい」
このような課題がある場合は、文書の体裁を直す前に、現在の業務実態、リスク、統制、証跡、評価手続の関係を整理することが有効です。
ご相談をご希望の方は、犬飼公認会計士・税理士事務所HPのお問い合わせページより、現在の状況やお悩みをご連絡ください。
振り返り｜本テーマで押さえるべき重要ポイント
| 項目 | 振り返り |
|---|---|
| テーマの役割 | J-SOX文書化を、資料作成ではなく、説明できる統制を設計・維持する仕組みとして整理する |
| 3点セットの意味 | 業務記述書、フローチャート、RCMは、業務・リスク・統制・証跡を説明するための共通言語である |
| 最初に読む記事 | 3点セットの目的や位置づけが曖昧な場合は、4-1から読む |
| 業務記述書 | 取引の開始から会計処理・証跡までを説明する文書であり、単なる作業手順書ではない |
| フローチャート | 業務の流れ、責任分担、承認点、システム処理、証跡を見える化する文書である |
| RCM | 財務報告リスクと統制活動の対応関係を示す文書であり、評価実務の基礎になる |
| 証跡管理 | 統制が実施されたことを、誰が、何を、いつ、どの資料で確認したか説明できる状態にする |
| 文書更新 | 業務変更、システム変更、組織変更に応じて3点セットを更新し続ける仕組みが必要である |
| 他テーマとの関係 | 評価範囲、全社統制、決算・開示、業務プロセス、IT統制、評価実務と接続するテーマである |
| 最終的な判断軸 | 文書があるかではなく、会社が業務・リスク・統制・証跡・判断過程を説明できるかが重要である |