内部統制報告制度を金融庁資料で整理｜基準・評価・提出先の確認

内部統制報告制度（J-SOX）は、上場企業・上場準備企業にとって、有価証券報告書とあわせた開示実務と監査対応を同時に組み立てる必要がある制度です。法令・内閣府令・基準・実施基準・Q&Aのどれを根拠に社内判断を置くかが曖昧なままだと、評価範囲や証跡の設計が後追いになり、監査法人との協議でも説明負荷が高くなります。特に新規上場会社の「上場後3年以内」の監査証明特例の有無を含め、何が義務で何が運用指針かを切り分けることが前提整理の起点になります。実務で最初に押さえるべきは規範の階層です。制度の全体像から見ていきます。

内部統制報告制度の全体像

金融庁とJ-SOXの位置づけ

J-SOX（内部統制報告制度）は、金融商品取引法に基づき、有価証券報告書に含まれる財務報告の信頼性を確保するための開示インフラです。制度の中核は、経営者が「財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制」を評価し、その結果を内部統制報告書として内閣総理大臣に提出する義務にあります（金融商品取引法第24条の4の4第1項）。

この制度は、米国のサーベンス・オクスリー法（いわゆるSOX法）の考え方も踏まえつつ、日本では金融庁の所管のもと、企業会計審議会が公表する「内部統制の評価及び監査の基準」等が実務運用の土台となっています。企業側の実務としては、単なる文書整備ではなく、計算書類プロセス（財務報告プロセス）の適正性を担保する仕組みとして、経営者・取締役会・監査役等・内部監査・現場が連動して運用することが前提になります。

また、内部統制報告制度では「内部統制そのもの」を監査するというより、監査人が検証する対象は、基本的に経営者による『評価』の適正性である点が実務上の重要ポイントです（金融商品取引法第193条の2第2項）。

法的根拠と対象会社の範囲

内部統制報告制度の根拠条文は、金融商品取引法24条の4の4第1項であり、上場会社その他政令で定めるものは、事業年度ごとに内部統制報告書を内閣総理大臣へ提出しなければなりません（金融商品取引法第24条の4の4第1項）。この提出は、実務上、有価証券報告書とあわせて提出する前提で運用されます。

また、提出される内部統制報告書は、原則として、当該企業と特別の利害関係のない公認会計士または監査法人による監査証明（内部統制監査）を受ける必要があります（金融商品取引法第193条の2第2項）。

ただし、新規上場会社については例外があり、新規上場時の資本金が100億円以上または負債総額1,000億円以上の規模に満たない場合、上場後3年以内に提出する内部統制報告書は監査証明が不要とされています（金融商品取引法第193条の2第2項4号、財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令（平成19年内閣府令第62号）10条の2）。なお、この特例は「監査証明」に関するものであり、経営者側の評価・報告まで不要になる趣旨ではない点に注意が必要です。

基準と実施基準の読み方

基準と実施基準の関係

企業会計審議会が公表する「内部統制の評価及び監査の基準」は、内部統制報告制度における基本概念（定義・目的・構成要素）と、経営者評価および監査の考え方を示す土台です。これに対して実施基準は、評価範囲の決め方、文書化の考え方、評価手続などを、企業の現場が実装できるレベルに落とし込むための実務指針として位置づけられます。

参照すべきポイントは、基準が「何を達成する制度か（財務報告の信頼性確保）」と「内部統制をどう捉えるか（プロセス）」を示し、実施基準が「どう進めるか（範囲決定・文書化・テスト）」を示す、という役割分担です。金融商品取引法上、経営者が提出するのは「内閣府令で定める体制」を評価した報告書であるため（金融商品取引法第24条の4の4第1項）、基準・実施基準の読み方は『府令で定める体制』をどう具体化するかという観点で整理すると実務に接続しやすくなります。

Q&Aと府令資料の使い分け

内部統制報告制度では、法令（金融商品取引法）と内閣府令が、提出義務や様式・手続といった法的要求事項を形作ります。一方で、Q&Aは、制度運用上の論点について、企業の実務担当が判断の拠り所を得るための解釈・運用上の補助として利用されます。

実務での使い分けは、まず「提出義務・提出先・監査証明の要否」といった結論に直結する事項は、条文・府令で確定させることが基本です。例えば、内部統制報告書の提出義務は金融商品取引法第24条の4の4第1項、監査証明の原則は金融商品取引法第193条の2第2項、新規上場会社の監査証明不要の特例は金融商品取引法第193条の2第2項4号および平成19年内閣府令第62号10条の2が根拠になります。

基準・実施基準・Q&Aで結論が分かれたときの確認順序

結論が割れる場面では、規範性の強いものから順に確認し、実務判断の説明可能性を確保することが重要です。

特に、Q&Aで示される簡素化の考え方を採用する場合でも、上位の法令・府令に反しないこと、また基準が要請する「財務報告の信頼性に対する合理的な保証」という目的を満たすことを、監査法人との協議で説明できる形にしておく必要があります。

財務報告の内部統制の基本

定義と4つの目的を押さえる

内部統制は、企業会計審議会が公表する基準において、4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内のすべての者によって遂行されるプロセスと整理されています。4つの目的は、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令等の遵守、資産の保全です。

内部統制報告制度（J-SOX）で主として評価対象となるのは、このうち「財務報告の信頼性」を達成するための内部統制です。一方で、基準の考え方としては、経営者には財務報告の信頼性に限らず、4目的すべてを達成するための内部統制の構築・運用が求められる点が注意点になります（制度対応としての評価は財務報告中心でも、経営の統制は4目的が射程に入る、という整理です）。

6つの基本的要素とIT対応

企業会計審議会の基準では、内部統制は次の6つの基本的要素から構成されるとされています。

この整理はCOSOフレームワークも踏まえつつ、日本の内部統制では、目的に「資産の保全」、構成要素に「IT（情報技術）への対応」が追加されている点が特徴です。実務上も、財務報告プロセスが基幹システムや周辺SaaS、データ連携に依存する以上、IT全般統制（アクセス管理、変更管理等）とIT業務処理統制（自動計算、入力チェック等）を、評価範囲に応じて整理する必要があります。

内部統制の限界と関係者の責任

内部統制には固有の限界があり、内部統制監査制度が導入されても企業不祥事が生じ得るのは、構築された統制を逸脱する形で不正・誤謬が発生する場合があるためです。基準の実務上、特に意識すべき限界は次のとおりです。

このため、経営者が内部統制報告書を提出する制度設計（金融商品取引法第24条の4の4第1項）と、外部の独立した監査人がその報告書について監査証明を行う制度設計（金融商品取引法第193条の2第2項）を踏まえ、取締役会・監査役等・内部監査・現場が多層的に牽制する体制を前提として整備することが重要です。

内部統制の評価と整備

評価範囲と全社的統制の考え方

評価範囲の設計は、形式的に「売上高の大きい拠点から選ぶ」だけではなく、財務報告の信頼性に影響するリスクを基点に、企業集団全体を見渡して組み立てる必要があります。金融商品取引法上、内部統制報告書は「当該会社の属する企業集団」も含めて、内閣府令で定める体制を評価した報告書として位置づけられるため（金融商品取引法第24条の4の4第1項）、連結グループを前提に、全社的統制と業務プロセス統制を接続させることが実務の起点になります。

加えて、重要業務の選定は金額基準だけで完結せず、株価・格付けへの影響、CSR、企業理念・行動指針、人命に関わる局面（人命優先）、従業員モチベーション等も含めて総合勘案するという観点が実務上示されています。評価範囲の説明責任（なぜそこを重要と判断したか）を担保するため、定量・定性の両面から選定理由を記録化しておくことが重要です。

リスク評価と統制テストの流れ

業務プロセス評価は、虚偽記載リスクの識別と統制設計の妥当性、運用の有効性を、証拠に基づいて説明できる形に落とし込む必要があります。内部統制報告制度は、計算書類等の作成の適正性を担保する制度であり、監査の対象は内部統制そのものというより経営者による評価であるため（金融商品取引法第193条の2第2項）、企業側としては「評価のプロセスが合理的か」「記録が整っているか」が監査対応の成否を左右します。

小規模組織で3点文書を簡素化できる範囲と省略できない記録

小規模組織や簡素な業務プロセスでは、業務記述書・フローチャート・リスクコントロールマトリクス（いわゆる3点文書）を、既存の業務マニュアル等で代替する発想自体は実務上あり得ます。ただし、内部統制報告制度の要請は、内閣府令で定める体制の評価結果を報告書として提出することであり（金融商品取引法第24条の4の4第1項）、監査人はその「評価」の合理性を検証します（金融商品取引法第193条の2第2項）。したがって、評価を行った事実と根拠が残らない簡素化は許容されません。

内部統制報告書と監査対応

内部統制報告書の記載事項

内部統制報告書は、経営者が、事業年度ごとに、内閣府令で定める体制について評価した結果を報告する法定書類であり、提出先は内閣総理大臣です（金融商品取引法第24条の4の4第1項）。実務上は、有価証券報告書にあわせて提出する運用となります。

内部統制報告制度は「計算書類等の作成の適正性を担保する制度」であるため、報告書の記載も、評価範囲・評価手続・結論が、財務報告の信頼性にどう接続するかが読み手（投資者・監査人）に伝わることが重要です。また、原則として監査証明を受ける必要があるため（金融商品取引法第193条の2第2項）、後追いで説明が破綻しないよう、選定理由・判断根拠は社内資料としても整合させておく必要があります。

内部統制監査と財務諸表監査の関係

内部統制監査は、経営者が作成した内部統制報告書について、独立の公認会計士または監査法人が監査証明を付す仕組みです（金融商品取引法第193条の2第2項）。ここでの監査対象は、内部統制の構築・運用そのものというより、制度上は経営者による「評価」が主たる対象である点が重要です。

一方、財務諸表監査は財務諸表の適正性に関する意見表明であり、両者は目的と直接の対象は異なります。ただし、財務諸表監査で発見された虚偽記載・重要な修正が、内部統制の不備（特に決算・財務報告プロセス統制）の評価に影響し得るため、企業側は「決算の作成手続」と「内部統制の評価手続」を切り離さず、同一の証跡・同一のリスク認識のもとで整合的に管理することが求められます。

決算直前に評価手続が未了となった場合の開示判断と社内報告ライン

評価手続が未了のまま期末・開示に至るリスクは、経営者が内部統制報告書を提出する制度構造（金融商品取引法第24条の4の4第1項）と、原則として監査証明を受ける制度構造（金融商品取引法第193条の2第2項）の両面から、虚偽記載リスク・監査対応リスクに直結します。したがって、未了が判明した時点で、開示判断と社内報告ラインを即時に作動させる必要があります。

新規上場会社で監査証明が不要となる3年特例が適用される場合でも（新規上場時の資本金100億円以上または負債総額1,000億円以上に満たない場合：金融商品取引法第193条の2第2項4号、平成19年内閣府令第62号10条の2）、経営者による評価・報告が軽くなるわけではないため、未了の放置は避けるべきです。

会社法との違いと実務対応

会社法の内部統制との比較

会社法上の内部統制（内部統制システム）と、金融商品取引法上の内部統制報告制度は、目的と射程が異なります。参照資料の整理では、会社法は「取締役の業務運営の適正化」を目的に会社業務全般（情報管理、リスク管理、効率性確保、コンプライアンス、企業グループの業務適正性確保）に及ぶ一方、金融商品取引法は「企業情報開示書類のうち財務報告の内容の適正化」を目的に、開示書類の財務情報に対する内部統制を対象とします。

また、会社法上は「大会社」は内部統制システムの構築が義務とされる一方、J-SOXは上場会社等に対し、事業年度ごとの内部統制報告書提出（金融商品取引法第24条の4の4第1項）と、原則として監査証明（金融商品取引法第193条の2第2項）まで要求する点で、財務報告目的に関してより厳格な運用が求められます。

改訂影響と上場準備の留意点

内部統制の基準はCOSOフレームワークも踏まえた体系であり、日本の基準では、目的に「資産の保全」、構成要素に「ITへの対応」が加わっている点が特徴です。この前提に立つと、上場準備企業の実務対応では、財務報告の信頼性（J-SOXの主対象）に閉じるのではなく、4目的全体の統制設計を経営者としてどう整合させているか、説明可能性を持たせる必要があります。

また、新規上場会社であっても、一定規模に満たない場合は上場後3年以内に提出する内部統制報告書について監査証明が不要となる特例がありますが（新規上場時の資本金100億円以上または負債総額1,000億円以上に満たない場合：金融商品取引法第193条の2第2項4号、平成19年内閣府令第62号10条の2）、これは「監査がないから簡易でよい」という制度趣旨ではありません。むしろ、将来の監査証明を見据え、評価記録・証跡の積み上げを早期から進めることが、上場後の安定運用に直結します。

上場準備で監査法人に確認されやすい資料と準備時期の目安

上場準備では、監査法人は「財務報告に係る内部統制の評価が合理的に実施され、証拠が残っているか」を中心に確認します。内部統制報告制度は、経営者が内部統制報告書を提出し（金融商品取引法第24条の4の4第1項）、原則として監査証明を受ける制度であるため（金融商品取引法第193条の2第2項）、準備段階でも「評価の説明可能性」を軸に資料を揃える必要があります。

準備時期については、制度上の監査証明の要否（特例の有無）にかかわらず、上場後の提出義務が発生する制度であるため（金融商品取引法第24条の4の4第1項）、遅くとも上場申請期に評価・運用実績が説明できる状態を目指して逆算し、監査法人と資料粒度・スケジュールを早期に合意しておくことが重要です。

よくある質問

重要な不備があると何を開示しますか？

期末時点で開示すべき重要な不備がある場合、内部統制報告制度の枠組み上は、経営者が提出する内部統制報告書において、財務報告に係る内部統制の評価結果を適切に示す必要があります（金融商品取引法第24条の4の4第1項）。また、原則として監査証明の対象となるため（金融商品取引法第193条の2第2項）、不備の内容や影響、是正状況が合理的に説明できない開示は、監査対応上もリスクが高くなります。

上場準備企業はいつ整備を始めるべきですか？

上場準備企業は、上場後に内部統制報告書の提出義務が課される制度であること（金融商品取引法第24条の4の4第1項）と、原則として監査証明が求められる制度であること（金融商品取引法第193条の2第2項）を踏まえ、監査法人と協議可能な粒度で評価記録・証跡を残せる状態を早期に作る必要があります。

また、新規上場時の資本金が100億円以上または負債総額1,000億円以上に満たない場合、上場後3年以内に提出する内部統制報告書について監査証明が不要となる特例がありますが（金融商品取引法第193条の2第2項4号、平成19年内閣府令第62号10条の2）、この特例は監査証明に限られるため、準備段階から評価プロセスと証跡の整備を進めておく方が、特例終了後の移行がスムーズです。

IT統制はどこまで求められますか？

IT統制は、内部統制の6つの基本的要素の一つとして、企業会計審議会の基準で明示的に位置づけられています。日本の基準では構成要素に「IT（情報技術）への対応」が追加されているため、財務報告がITに依存する度合いに応じて、IT統制の設計・運用・証跡化が求められます。

金融庁の相談窓口は利用できますか？

内部統制報告制度は金融商品取引法に基づく制度であり（金融商品取引法第24条の4の4第1項）、制度解釈や運用上の論点については、公表資料（基準・実施基準・Q&A等）を踏まえて整理することが基本になります。そのうえで、制度の一般的な解釈に迷う場合に、金融庁や関係機関が設ける照会窓口を活用するという選択肢は実務上あり得ます。

ただし、照会で得られるのは一般的な制度運用の考え方であり、個社の評価結論や監査判断を代行するものではありません。監査証明が問題となる場面では（金融商品取引法第193条の2第2項）、最終的には監査法人との協議で、事実関係・根拠資料・評価の合理性を揃えていくことが必要です。

まとめ：内部統制報告制度（J-SOX）で押さえるべき5つの要点

内部統制報告制度（J-SOX）は、金融商品取引法に基づく提出義務（金融商品取引法第24条の4の4第1項）と、原則としての監査証明（金融商品取引法第193条の2第2項）を前提に、経営者の「評価」を中心に制度が設計されている点が実務の起点になります。根拠の優先順位（法令→府令→基準→実施基準→Q&A）を踏まえることで、結論が割れた場面でも説明可能な判断軸を持ちやすくなります。運用面では、評価範囲の設計、キーコントロールの特定、整備・運用評価、是正と再評価までを証跡と一体で管理し、決算・開示プロセスと切り離さないことが重要です。新規上場会社の「上場後3年以内」の監査証明特例があっても、評価・報告そのものが不要になるわけではないため、早期から評価記録を積み上げる必要があります。個別の評価結論や開示の記載方針は事実関係に依存するため、社内の責任者ライン（CFO、取締役会・監査役等）と監査法人に相談し、根拠資料と判断過程を揃えたうえで対応方針を固めてください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ