2026.09.16

内部統制報告制度J-SOXとは｜評価範囲と改正対応の優先順を確認

経営リスクナビ編集部

内部統制報告制度（J-SOX）は、上場企業・IPO準備企業にとって、制度概要の理解にとどまらず「どこまでを評価対象にし、どの順番で整備・評価・報告するか」を実務として固める局面で重要になります。対応が曖昧なままだと、期末の評価・是正・監査対応が集中し、証跡不足や是正未完了によって内部統制報告書の結論形成や監査人協議が難しくなり得ます。特に、金融商品取引法24条の4の4に基づく内部統制報告書の提出という提出書類の前提を踏まえると、早い段階で全体像と優先順位を揃えておくことが必要です。実務で最初に押さえるべきは評価範囲の決め方です。法的位置づけから見ていきます。

J-SOXの概要と法的位置づけ
- 内部統制報告制度の目的と対象会社
- 金融商品取引法とJ-SOXの法的根拠
内部統制の基本枠組みを押さえる
J-SOXの評価範囲を決める
経営者による評価と内部統制報告書
内部統制監査と不備対応の実務
J-SOX改正とIPO対応の進め方
よくある質問
J-SOXへの対応で次にすべきこと

J-SOXの概要と法的位置づけ

内部統制報告制度の目的と対象会社

内部統制報告制度（いわゆるJ-SOX）は、財務報告に係る内部統制を整備・運用し、その有効性を経営者が評価して外部に報告することで、投資家が依拠する財務情報の適正性を確保することを目的とします。会計不祥事や粉飾は、財務諸表の信頼性を損ね、市場における価格形成や投資判断を歪めます。そのため、誤謬（意図しないミス）と不正（意図的な虚偽）を、個人任せではなく組織的なプロセスで予防・抑止する点に制度の中核があります。

対象は、金融商品取引法上の「上場会社その他政令で定めるもの」で、有価証券報告書提出会社が中心です。制度の射程は親会社単体に限られず、連結財務諸表を作る前提に立って、連結グループの重要な範囲まで含めて評価・統制します。ここでの「グループ管理」の考え方は、会社法上の監査の拡張とも整合します。すなわち、監査役は子会社（会社法2条3号）について法令上当然に調査対象となり（会社法第381条、会社法施行規則105条4項）、実態として重要であれば関連会社（会社計算規則2条3項18号）にも調査の目線を広げるのが自然とされます。J-SOXでも、重要性に応じた範囲決定をしつつ、グループ全体の内部統制を土台として（会社法施行規則100条1項5号）、意思疎通・情報交換（会社法施行規則105条2項2号、4項）を通じて統制を浸透させることが、実務上の前提になります。

金融商品取引法とJ-SOXの法的根拠

J-SOXの直接の根拠は、金融商品取引法24条の4の4第1項で、上場会社等は事業年度ごとに、財務計算に関する書類その他の情報の適正性を確保するために必要な体制を評価した内部統制報告書を内閣総理大臣へ提出しなければならないとされています（金融商品取引法第24条の4の4）。また、その内部統制報告書は、原則として当該企業と特別の利害関係のない公認会計士または監査法人の監査証明を受ける必要があります（金融商品取引法第193条の2）。

一方、会社法でも、取締役会設置会社等における内部統制システム（業務の適正を確保する体制）の構築が問題となり、特に「大会社」では構築義務があることが実務上の前提です。両者は重なりつつも焦点が異なります。

金融商品取引法と会社法の位置づけ（実務上の使い分け）

金融商品取引法のJ-SOXは財務報告の適正性確保に焦点を当て、内部統制報告書の提出（金融商品取引法第24条の4の4）と監査証明（金融商品取引法第193条の2）が制度上の柱です。
会社法の内部統制システムは業務の適正確保（法令遵守・リスク管理等を含む）を広く扱い、監査役の子会社調査権（会社法第381条）などグループ統治にも直結します。

虚偽記載等があれば行政・刑事を含む責任が問題となり得るため、法的根拠と義務を「提出書類」レベルで押さえたうえで、実態に沿った統制に落とす必要があります。

内部統制の基本枠組みを押さえる

内部統制の定義と財務報告での役割

内部統制は、企業目的の達成のために整備され、組織の全構成員により運用されるプロセスです。チェックリストを埋める作業ではなく、権限・職務分掌・承認・記録・照合・アクセス管理などが、日常業務に埋め込まれている状態を指します。J-SOXではこのうち、財務報告に係る内部統制が対象になり、取引から会計処理、決算整理、開示までの一連の流れで、重要な虚偽記載を防ぐことが狙いです。

監査実務では、内部統制の核心は「構築されているか」だけでなく、構築・運用状況に関する監査方法にあります。例えば、監査手続上のアイテムとして「決算整理業務の妥当性の検証」が挙げられており、決算段階での集計・調整・承認が適切に機能しているかが、財務報告の信頼性に直結します。

4つの目的と6つの基本的要素

内部統制の枠組みは、一般に「4つの目的」と「6つの基本的要素」で整理します。これはコーポレートガバナンスとコンプライアンス体制を確立するための共通言語として機能します。

区分	内容	専門語補足（実務での見え方）
4つの目的	業務の有効性と効率性	KPI達成に必要な業務が無駄なく回り、統制が足かせになりにくい状態です。
4つの目的	財務報告の信頼性	重要な虚偽記載が生じないよう、証跡と承認、照合が設計され運用されます。
4つの目的	事業活動に関わる法令等の遵守	コンプライアンス違反が財務リスク（引当・減損・課徴金等）に波及する点も含みます。
4つの目的	資産の保全	現金・在庫・固定資産・無形資産等の毀損や横領を抑止します。
6つの基本的要素	統制環境	経営トップの姿勢、倫理観、人事・職務制度などの基盤整備です。
6つの基本的要素	リスクの評価と対応	リスクを識別・分類し、重要リスクに統制を配分します。
6つの基本的要素	統制活動	承認、職務分掌、照合、例外処理の管理など「命令や指示を適切に実行」する仕組みです。
6つの基本的要素	情報と伝達	正しい情報を必要な人に伝え、理解させる仕組みです。
6つの基本的要素	モニタリング	監視・評価・是正により、有効性を維持します（内部監査、セルフチェック等）。
6つの基本的要素	ITへの対応	ITを適切に利用し、IT統制で財務データの完全性・正確性を支えます。

4つの目的と6つの基本的要素（用語の対応関係）

内部統制の限界と簡素な整備の考え方

内部統制には固有の限界があります。人の判断ミスや不注意をゼロにできないこと、複数者の共謀や、経営者による無効化（マネジメント・オーバーライド）を制度だけで完全に防げないことが典型です。そのため、設計思想としては「重要な虚偽記載を合理的に防止・発見できる」レベルを狙い、万能を求めない整理が必要です。

また、統制は費用対効果を外して過剰に作ると、運用されず形骸化します。実務では、重要性の高い領域へリソースを寄せ、軽微な領域は簡素化します。この「どこを簡素化するか」を説明可能にするためにも、比較（フェアに比べる）という観点で分析軸を設計し、ダブリ・漏れのないリスク評価に落とし込むことが重要です。分析とは単なる分解ではなく、比較により違いや関係を捉える営みであり、統制の優先順位づけにも直結します。

J-SOXの評価範囲を決める

全社的な内部統制の評価項目

全社的な内部統制は、個別プロセス評価の前提となる「グループ共通の土台」です。ここでいう土台には、経営者の姿勢、取締役会・監査役等の監督機能、組織・権限、内部通報、リスク管理、ITガバナンスなどが含まれます。全社的統制が弱い場合、業務プロセス統制を細かく作っても、運用が崩れやすくなります。

会社法側のグループ統治の要請も、全社的統制と接続します。例えば、監査役は子会社について調査対象とすることが法令上前提であり（会社法第381条、会社法施行規則105条4項）、グループ全体の内部統制確保を土台とした上で（会社法施行規則100条1項5号）、意思疎通・情報交換（会社法施行規則105条2項2号、4項）を行い、問題認識があれば子会社等から報告徴求や実地調査に踏み込む、というスタンスが示されています。J-SOXでも、親会社主導の評価が「現場の実態」に届くよう、この土台の設計が重要です。

全社的統制で最低限押さえる観点（例）

経営トップが財務報告の適正性を重視する姿勢を明確にし、倫理観・規程・人事制度などの基盤（統制環境）に落とします。
子会社・関連会社との情報連携ルールを整備し、必要に応じて報告徴求・調査へ進める仕組みを用意します（会社法施行規則105条の意思疎通・情報交換の発想）。
内部監査の結果と改善状況、内部通報の概況、コンプライアンス部の活動状況など、年度ごとに報告すべき統制運用情報を収集・評価できる体制を作ります。

決算・財務報告プロセスと業務プロセス

評価対象は、(1)決算・財務報告プロセスと、(2)業務プロセスに大別して設計すると整理しやすいです。決算・財務報告プロセスは、個別・連結の決算、決算整理、注記・開示を含む最終集計領域であり、監査手続上のポイントとしても「決算整理業務の妥当性の検証」が挙げられるなど、誤りが財務諸表全体に波及し得るため重要です。

一方、業務プロセスは、売上計上、債権回収、購買・支払、棚卸資産管理など、日常取引が会計に連動する領域です。すべてを同じ強度で見るのではなく、重要な拠点・重要な勘定科目に影響するプロセスを選び、取引発生から記帳までの証跡と承認の流れを追跡します。ここでの「重要性」の判断は、財務指標だけでなく、ビジネスモデルやバリューチェーン、許認可・重要契約といった事業基盤も踏まえる必要があります。

重要性判断で参照されることが多い事業理解の観点（例）

市場の潜在的成長性（経済環境・政治動向・社会動向を含むカントリーリスク、規制動向等）
競合の戦略・ポジショニング、強み弱み、主要成功要因（KSF）
バリューチェーン上の価値の源泉（設計開発、調達、製造、品質保証、販売、サービス等）
事業運営体制（権限委譲、リソースの十分性、他部門との連携）
運転資金（売掛・在庫・買掛）のサイト変化や、顧客別・事業別の損益変化

IT統制と評価対象拠点の絞り方

IT統制は、財務報告の多くがシステム処理に依存する現状では不可欠です。実務では、(1)システムの開発・変更・運用・アクセス管理等を扱うIT全般統制と、(2)アプリケーション上の入力チェックや自動計算、例外処理などを扱うIT業務処理統制に分けて整理します。両者が連動して、会計データの完全性・正確性を支えます。

また、評価対象拠点の絞り込みは、合理性を説明できる形で行う必要があります。ここは「一般的に約3分の2」などの慣行値に寄せるのではなく、自社の事業特性に沿った比較軸で、重要拠点・重要業務を選定するのが安全です。参照例として、重要業務選定の表では、業務ごとに必要人員、実行可否、利用システム（例：シンクライアント）などの業務実態を並べて整理し、評価対象を決めています。

さらに、IT領域では障害・インシデントをモニタリング項目に落とす作業も重要です。例えば「システム障害のモニタリング項目の導出例」のように、どの事象をどの頻度で、誰が検知・記録・是正するかを決め、モニタリング（6要素の一つ）として回すことが、IT統制の実効性を高めます。

経営者による評価と内部統制報告書

評価プロセスの流れとリスクベースの進め方

経営者評価は、期末時点の有効性を結論づける作業であるため、年間で逆算した計画が必要です。評価範囲の確定、整備状況評価（設計が妥当か）、運用状況評価（実際に動いているか）を分け、リスクの高い領域に評価手続を集中させます。なお、内部統制報告書の提出義務は金融商品取引法24条の4の4第1項により明確に課されており（金融商品取引法第24条の4の4）、期末の評価結論は「提出書類」として外部に出ることを前提に精度と証跡が必要です。

経営者評価の基本ステップ（リスクベース）

評価計画を策定し、重要拠点・重要業務・重要勘定科目の選定根拠を比較可能な形で整理します。
全社的統制を評価し、子会社・関連会社との情報連携や報告徴求が機能する状態かを確認します（会社法施行規則105条の「意思疎通・情報交換」の発想）。
業務プロセスと決算・財務報告プロセスの整備状況評価を行い、職務分掌、承認、照合、IT統制がリスクに見合う設計かを確認します。
運用状況評価としてサンプルテスト等を行い、証跡の取得可能性（承認記録、ログ、照合結果等）も含めて有効性を確かめます。
不備があれば是正計画と補完統制を設計し、期末までに是正完了または期末評価への影響整理を行います。
期末時点の結論を内部統制報告書に取りまとめ、監査証明の前提となる評価調書を整備します（金融商品取引法第193条の2）。

業務記述書とRCMの文書化の進め方

重要な業務プロセスの評価では、文書化によって「業務の実態」と「統制の配置」を第三者が追跡できる状態にします。一般に、業務記述書（Narrative）、フローチャート、リスクコントロールマトリックス（RCM）の三点を中核に据え、リスクと統制活動の対応関係を明確にします。

文書化の品質は、監査対応にも直結します。監査人は経営者評価のプロセスや評価調書をレビューするため、文書が実態から乖離していると、運用テスト段階で不備が顕在化しやすくなります。したがって、ヒアリングと証跡確認により「実際にどう処理しているか」を押さえ、リスク（誤入力、未承認、権限逸脱、システム変更の未管理等）に対して、統制活動（承認、照合、例外処理、アクセス管理等）をRCM上で対応づけます。

また、現場の運用定着には、モニタリングの仕組みが有効です。例えば「ヒヤリハットシート」のように、When/Who/Where/What/How/Whyを整理し、Plan/Do/Checkで再発防止を回す様式は、統制の運用改善（モニタリングと是正）を具体化する一つの手段になります。

期末3か月前までに誰が何を固めるか｜経営者評価で遅れやすい資料と社内依頼の順番

期末直前に評価・是正・監査対応が集中すると、証跡不足や是正未完了が起きやすくなります。そのため、期末3か月前までに「評価範囲」「主要文書」「運用テストの進捗」「是正計画」を固め、期末時点の結論に必要な材料を揃える運用が重要です。

期末3か月前までに固めるもの（役割分担の例）

J-SOX事務局は評価範囲（重要拠点・重要業務）と根拠資料を確定し、評価基準のブレをなくします。
内部監査部門は全社的統制と重要プロセスの運用テストを中間時点までに進め、期末に残す論点を限定します。
経理・連結担当は決算整理業務の統制（承認、レビュー、照合、注記収集）の観点で証跡の整備状況を点検します。

遅れやすい資料と依頼順（実務で詰まりやすいもの）

海外子会社の承認エビデンス（時差・言語・商習慣の差で取得に時間がかかります）
IT部門が保有するアクセス権限の変更履歴、システム改修のログ情報（抽出・整形に工数がかかります）
重要な子会社を含む内部監査結果と改善状況、内部通報の概況、コンプライアンス部の活動状況（年度報告事項として早期に収集設計が必要です）

依頼順は、収集リードタイムが長い海外拠点・IT部門を先行させ、その後に国内拠点の証跡（受発注・出荷・請求・入金等）を固めると、期末遅延を抑制しやすくなります。

内部統制監査と不備対応の実務

監査人による内部統制監査の目的と手続

内部統制監査は、経営者が作成した内部統制報告書について、独立した第三者が監査意見を表明し、投資家等が評価結果を信頼できる状態を作ることにあります。金融商品取引法上、内部統制報告書は原則として監査証明を受ける必要があり（金融商品取引法第193条の2）、この監査が「経営者の自己評価の外部的担保」になります。

監査人の典型的な手続（経営者評価に対する検証）

経営者の評価範囲決定・評価計画・評価調書のレビューを行い、評価の妥当性を検討します。
監査人独自のサンプリングで、取引証跡や承認記録を閲覧する実証手続を行い、運用状況を直接確かめます。
IT全般統制について、アクセス管理、変更管理、運用管理、ログ等を確認し、IT業務処理統制が信頼できる前提を検証します。
決算整理業務の妥当性（決算整理・連結調整・注記収集等）を検証し、財務報告への波及を評価します。

不備認識に差がある場合、経営者側の評価根拠（リスク評価、補完統制、影響分析）を示し、期末までに是正したか、期末時点の結論にどう反映するかを協議します。

不備の類型と重要な欠陥の判断基準

評価過程で見つかる統制上の問題は不備として整理し、重要性に応じて扱いを変えます。開示すべき「重要な欠陥」に該当するかは、財務諸表に重要な虚偽記載をもたらす合理的可能性の観点で判断します。

量的重要性（影響額の大きさ）と質的重要性（不正関与の可能性、見積りの困難性、経営者関与、全社的統制の欠陥など）の両面で整理し、期末日までに是正することが原則です。数値基準（割合等）は企業の状況により判断枠組みが異なり得るため、本稿では創作せず、社内の重要性判断基準と監査人協議に基づき運用する前提で整理します。

また、会社法上も監査役の調査対象は子会社に当然及び（会社法第381条）、重要な関連会社を含めた調査が自然とされるため、グループ全体の統制運用の不備は、財務報告リスクとしても早期に把握・是正の対象になります。

同じ不備が複数拠点に広がる場合の見方｜共通手順・共通システム起因で重要な欠陥に近づくケース

単一拠点の不備が軽微に見えても、共通手順・共通システムが原因の場合、グループ横断で同種不備が潜在している可能性があります。この場合、拠点別にバラバラに評価するのではなく、原因を特定して水平展開し、影響範囲（どの子会社・どの業務・どの勘定科目まで波及するか）を早期に確定する必要があります。

例えば、共通の会計システムの設定・自動計算ロジックに不具合がある場合、拠点数に比例して影響が累積し得ます。また、購買ガイドラインなど共通ルールが欠陥を含む場合、承認逸脱が広範囲に発生し得ます。会社法施行規則105条が示す「意思疎通・情報交換」の考え方に沿って、親会社が子会社等から報告を求め、必要に応じて調査する運用を回すことで、共通原因の不備を早期に束ねて是正しやすくなります。

J-SOX改正とIPO対応の進め方

2024年改正のポイントと実務影響

2024年4月以降適用の改訂内部統制基準は、形式的運用を抑止し、実効性のある評価・監督に重心を移す方向性が強まっています。実務上は、評価範囲の決定根拠（なぜその範囲にしたのか）を説明できる状態にすること、経営者・監査役等のガバナンスの効き具合を全社的統制として丁寧に評価することが重要になります。

また、IT環境の高度化を踏まえ、ITへの対応（6要素）を「システムを使っているから当然OK」とせず、IT全般統制・IT業務処理統制の両面から、ログや権限変更履歴等の証跡を伴って説明する運用が求められます。制度の建付けとしても、内部統制報告書の提出義務（金融商品取引法第24条の4の4）と、原則としての監査証明（金融商品取引法第193条の2）があるため、改正対応は「社内改善」ではなく、外部説明まで含めたプロジェクトとして扱う必要があります。

IPO準備会社の体制構築と監査免除制度

IPO準備会社は、上場後に内部統制報告書の提出が求められ（金融商品取引法第24条の4の4）、原則として監査証明も必要になります（金融商品取引法第193条の2）。そのため、上場審査・開示実務・監査対応を見据え、規程整備、職務分掌、証跡管理、IT統制を段階的に構築する必要があります。

一方で、新規上場企業のうち一定規模に満たない場合は、上場後3年以内に提出する内部統制報告書について監査証明が不要とされる制度があります。具体的には「新規上場時の資本金が100億円以上または負債総額1,000億円以上」に満たない新規上場企業について、金融商品取引法193条の2第2項4号および「財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令（平成19年内閣府令第62号）10条の2」により、監査証明が不要となり得ます。

ただし、ここで免除されるのは監査証明であって、経営者による評価や内部統制報告書の提出義務そのもの（金融商品取引法第24条の4の4）が消えるわけではありません。免除期間中も、将来の監査証明の開始を見据え、評価調書の品質と証跡管理を落とさず運用することが、実務上のリスク低減になります。

上場直前期にJ-SOXが崩れやすい会社の共通点｜ドライラン不足と兼務体制の見落とし

上場直前期にJ-SOXが崩れやすい会社には、(1)ドライラン（本番想定の評価・監査対応の予行）不足、(2)兼務・自己承認を放置した職務分掌不全、が共通して見られます。ドライランが不足すると、文書上は整っていても、証跡が残っていない、例外処理が統制外で回っている、といった運用不全が期末に顕在化します。

また、兼務体制はIT領域でも典型的に問題化します。例えば、システム開発担当が本番環境の運用権限を持ち続ける状態は、変更管理・アクセス管理の観点で重大なリスクになり得ます。全社的統制（統制環境）として、権限設計と牽制が効く体制へ早期に移行し、意思疎通・情報交換を通じて子会社・関連会社にも運用を浸透させることが重要です（会社法施行規則105条の発想）。

よくある質問

J-SOXの対象会社は子会社や海外拠点も含みますか？

J-SOXは連結財務報告の適正性を狙う制度であるため、親会社単体に限定せず、原則として連結子会社などグループ範囲を前提に評価します。加えて、会社法の観点でも、監査役は子会社（会社法2条3号）について調査対象となることが明確であり（会社法第381条、会社法施行規則105条4項）、グループ経営の実態に合わせて監督・情報収集の範囲を広げることが想定されています。

海外拠点を含む場合、意思疎通や情報交換の仕組み（会社法施行規則105条2項2号、4項）が重要になります。時差・言語・商習慣により承認証跡の取得が遅れがちなため、親会社側で必要資料（承認エビデンス、アクセス権限変更履歴、ログ等）を早期に指定し、期末に間に合うタイムラインで回すことが現実的です。

文書化は業務記述書・フローチャート・RCMまで必要ですか？

重要な業務プロセスについては、業務記述書・フローチャート・RCMの三点セットで「リスクと統制の対応関係」を説明できる形にするのが基本です。監査人は経営者の評価調書をレビューし、必要に応じてサンプルテストで裏取りするため、文書化が薄いと評価根拠を示しにくくなります。

ただし、形式を揃えること自体が目的ではなく、6つの基本的要素（特に統制活動、情報と伝達、モニタリング、ITへの対応）が実態として機能していることを示すのが目的です。業務が単純でリスクが限定的な場合は、既存マニュアル等で代替する設計もあり得ますが、その場合でも「なぜそれで足りるのか」を比較可能な根拠として残すことが重要です。

不備が是正途中でも重要な欠陥を避けられますか？

不備が期中に見つかり、期末日までに是正が完了していない場合でも、直ちに重要な欠陥と結論づけられるとは限りません。リスクの性質と影響範囲を整理し、補完統制が有効に機能して重要な虚偽記載の可能性を合理的に抑えられているかがポイントです。

また、子会社等に起因する不備の場合、親会社が意思疎通・情報交換を通じて状況を把握し（会社法施行規則105条2項2号、4項）、必要に応じて報告徴求や調査を行う（同条の運用スタンス）ことで、是正の実効性を高めやすくなります。重要なのは「期末時点の有効性」を説明できる証跡を揃えることです。

IPO前はいつからJ-SOX対応を始めるべきですか？

IPO準備では、内部統制報告書の提出（金融商品取引法第24条の4の4）を見据え、遅くとも上場直前々期から整備と文書化を進め、直前期にドライランで運用上の不備を洗い出す進め方が実務上整合します。

また、新規上場後に一定規模に満たない場合は、上場後3年以内の内部統制報告書について監査証明が不要となり得ますが（金融商品取引法第193条の2、内閣府令10条の2）、免除は「監査証明」に限られ、経営者評価と報告書提出の準備が不要になるわけではありません。免除の有無にかかわらず、上場後に耐えうる証跡・文書・IT統制の運用品質を、上場前から段階的に作ることが重要です。

J-SOXへの対応で次にすべきこと

J-SOXは、金融商品取引法第24条の4の4に基づく内部統制報告書の提出と、金融商品取引法第193条の2に基づく監査証明を前提に、財務報告の適正性を説明可能にする仕組みとして設計されています。実務の判断軸は、(1)全社的統制を土台にグループ管理をどう効かせるか、(2)決算・財務報告プロセスと業務プロセス、IT統制のどこに評価リソースを寄せるか、(3)不備が出た場合に期末時点の有効性をどう説明するか、に整理できます。運用面では、期末3か月前までに評価範囲・主要文書・運用テスト進捗・是正計画を固め、海外拠点やIT部門などリードタイムが長い依頼を先行させることが、期末の詰まりを減らします。まずは、重要性判断の比較軸と評価範囲の根拠資料を整えたうえで、J-SOX事務局・内部監査・経理・ITの役割分担を具体化し、必要に応じて監査人とも早期に論点をすり合わせることが現実的です。個別事案の重要性判断や不備の評価は企業状況で変わり得るため、最終的な結論は社内基準と専門家の助言に基づいて整理してください。