J-SOXは、上場会社が財務報告に係る内部統制の有効性を自ら評価し、内部統制報告書として外部に出す制度です。上場した年度から始まるため、上場準備の後半で必ず立ち上げることになります。
作業量が読みにくいのが特徴です。評価範囲の決め方ひとつで文書化する業務プロセスの数が変わり、そこから3点セットの作成量も、テストの件数も決まります。範囲を決める順番を間違えると、期末になって範囲が広がります。
この記事は、制度の全体像から評価範囲の決め方、3点セット、IT統制、不備の判定までを1本にまとめ、それぞれのくわしい解説への入口にしたものです。
- 制度の対象と、参照すべき文書の関係
- 評価範囲を上から絞る手順
- 3点セットと、整備状況・運用状況の評価
- IT統制の4分類と、表計算という落とし穴
- 不備と開示すべき重要な不備の分かれ目
この記事の見出し
📌 制度の対象は財務報告の信頼性
内部統制には4つの目的があります。業務の有効性と効率性、財務報告の信頼性、法令等の遵守、資産の保全です。制度が対象とするのは、このうち財務報告の信頼性だけです。ほかの3つが無関係というわけではなく、統制環境などを通じて影響します。
基本的要素は6つです。統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応。統制環境が土台で、ここが弱いと個別の統制をいくら作っても評価が持ち上がりません。内部監査はモニタリングの一部として位置づけられます。
📌 参照する文書を整理する
制度の根拠は複数の文書に分かれていて、どれを見るべきか迷います。
| 文書 | 役割 |
|---|---|
| 内部統制の基準 | 制度の骨格。何を評価し、何を報告するか |
| 実施基準 | 実務の手引き。例示が豊富だが、例示をそのまま使うと自社に合わないことがある |
| 内閣府令 | 内部統制報告書の様式と記載事項 |
| 監査の基準報告書 | 監査人が何を見るか。会社側も読んでおくと協議が早い |
基準と実施基準は2023年4月に改訂されました。評価範囲の決定で数値だけに依拠しないこと、長期間評価の対象外になっている拠点の扱い、経営者による内部統制の無効化への対応などが論点です。改訂があった年度は、監査法人との協議を早めに始めてください。
📌 評価範囲は上から絞る
J-SOXの作業量は、ほぼ評価範囲で決まります。順番は上から下へです。
- 全社的な内部統制を評価する。ここが良好なら、下位の評価を簡素化できる場面が出てきます
- 重要な事業拠点を選ぶ。数値は出発点であって、それだけで決めるものではありません。質的な観点で追加を検討すべき拠点があります
- 重要な勘定科目を決める。業種によって変わります
- 勘定科目から業務プロセスへたどる。プロセスの始点と終点をどこで切るかで、文書化の量が変わります
- 決算・財務報告プロセスを評価する。拠点にかかわらず対象になります
- 期末に見直す。期首の決定は暫定で、期末に確定します
よくある失敗が期末に範囲が広がることです。期中に拠点や事業が増えたのに、範囲の見直しをしていないと起こります。決定の根拠は文書に残し、期の途中で点検する日を決めておいてください。評価範囲外から不備が見つかったときの扱いも、あらかじめ決めておくと慌てません。
📌 3点セットと2つの評価
業務プロセスの評価は、文書化から始まります。業務記述書、業務フローチャート、リスクとコントロールの対応表（RCM）の3つを3点セットと呼びます。
文書化の目的は、財務報告リスクを識別し、それを止めるコントロールを特定することです。網羅的に書くことではありません。すべてのコントロールをテストする必要はなく、キーコントロールを選びます。
| 評価 | 見るもの |
|---|---|
| 整備状況の評価 | コントロールが設計としてリスクを止められるか。ウォークスルーで1件を追う |
| 運用状況の評価 | コントロールが期間を通じて実際に機能していたか。サンプルを抽出してテストする |
期末に全部やろうとすると終わりません。期中に評価し、期末までの残り期間を確かめる（ロールフォワード）のが実務です。期中評価の時期は、監査人の日程と合わせて決めます。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら
📌 IT統制は4つに分けて考える
IT統制は4つに分類されます。全社的なIT統制、IT全般統制、IT業務処理統制、そしてITに関する全社的な方針の運用です。
IT全般統制はアクセス管理、変更管理、運用管理の3領域です。ここに不備があると、業務処理統制に依拠できなくなり、手作業での検証が必要になります。逆にIT全般統制が有効なら、業務処理統制の評価を簡素化できる場面があります。
見落とされやすいのが表計算による処理です。基幹システムから出力したデータを表計算で加工して集計している場合、その加工がコントロールの一部になっていることがあります。システムの一覧を作るときは、表計算のファイルも棚卸ししてください。
量的な指標と質的な観点を組み合わせた選定の根拠づくりをご支援します。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の導入、内部監査対応を行っている公認会計士・税理士が直接対応します。初回のご相談は無料です。オンライン面談にも対応しており、お問い合わせから2営業日以内にご返信します。支援の内容と進め方はIPO支援業務のページにまとめています。
公認会計士としての実務歴は13年以上、独立後は20社を超える支援に関与しています。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の整備支援を行っています。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンスと企業価値評価に携わりました。プロフィールを見る
📌 不備が見つかったとき
不備には段階があります。単なる不備と、内部統制報告書に書かなければならない開示すべき重要な不備です。分かれ目は、その不備によって生じ得る誤りの金額と、質的な重要性です。
- 金額は、その統制が止めるはずだった誤りの最大の大きさで見積もります
- ほかに補完する統制があれば、結論が変わることがあります
- 金額が小さくても、経営者が関与する場面や不正に関わる場面は質的に重要とされます
- 期末までに是正できるかが結論を左右します。期末日時点で有効であればよいためです
だからこそ、不備は早く見つけるほど有利です。期中評価を早く回す理由はここにあります。
📌 規模が小さい会社の簡素化
実施基準は、事業規模が小さく、比較的簡素な組織構造を有する会社について、簡素化した評価手続を認めています。拠点や統制を絞れる場面、文書化を簡略にできる場面があります。
ただし簡素化してはいけない領域があります。決算・財務報告プロセス、経営者による無効化への対応、不正リスクに関わる統制などです。どこに時間がかかっているのかを、文書化、証憑の入手、現場との調整に分けて見ると、打つ手が変わります。
🔗 論点別のくわしい解説
制度を知る
評価範囲を決める
- 内部統制の評価範囲の決め方
- 内部統制の評価範囲はどう決めるか
- 全社的な内部統制の評価
- 重要な事業拠点の選定
- 重要な勘定科目と業務プロセスの識別
- 決算・財務報告プロセスの評価
- 評価範囲外から不備が見つかったとき
文書化と評価
- 内部統制の3点セット
- 業務記述書の作り方
- 業務フローチャートの作り方
- 財務報告リスクの識別
- コントロールの記載方法
- キーコントロールの選び方
- 承認はどこまで必要か
- 整備状況の評価と運用状況の評価
- 期中評価とロールフォワード評価
IT統制
不備と、外部に任せる場合
負荷を下げる
❓ よくある質問
A. 内部統制報告書の提出義務は上場した事業年度から生じます。ただし文書化と評価の作業は1年では終わらないため、上場準備の段階から着手します。N-1期に一度通しで回しておくのが実務です。
A. 全社的な内部統制の評価から始めて、重要な事業拠点、重要な勘定科目、業務プロセスへと上から絞ります。数値は出発点にすぎず、質的な観点で追加を検討する拠点があります。決定の根拠を文書に残してください。
A. 形式が決まっているわけではありません。リスクとコントロールの対応が示せていれば、記述書とフローチャートを1つにまとめる形もあります。大切なのは、財務報告リスクとそれを止めるコントロールが特定できていることです。
A. すべての不備を書くわけではありません。開示すべき重要な不備に当たるかを、生じ得る誤りの金額と質的な重要性で判定します。期末までに是正できれば、期末日時点で有効と評価できます。
A. 実務では同じ担当者が担うことがあります。ただし目的も報告先も違うため、調書と報告は分けて作ります。J-SOXの評価者としての独立性は別途問われます。
📄 まとめ
J-SOXは財務報告の信頼性に絞った制度です。4つの目的のうち1つ、6つの基本的要素のうち統制環境を土台として、評価の範囲を上から絞っていきます。
作業量を決めるのは評価範囲です。全社的な内部統制、重要な事業拠点、重要な勘定科目、業務プロセスの順に決め、期首の決定は暫定、期末に確定という2段階で扱います。
文書化は網羅ではなく、リスクとコントロールの対応を示すためのものです。整備状況と運用状況は別の評価で、期中に評価してロールフォワードするのが現実的です。
いちばん効くのは、範囲の決定を早く固めて、監査法人と合意しておくことです。ここがずれたまま進むと、期末に文書化とテストをやり直すことになります。
本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。内部統制の基準および実施基準は改訂されます。評価範囲や不備の判定は監査人との協議事項でもありますので、実際の適用にあたっては監査法人にご確認ください。
