金融庁の内部統制報告制度見直し｜改訂点と適用開始後の対応を確認

J-SOX（内部統制報告制度）の見直しが2024年4月1日以後開始する事業年度から適用され、評価範囲の決め方や内部統制報告書の記載、監査人との協議の進め方を実務として再整理したい場面が増えています。従来どおりの数値基準の機械的運用や文書化の不足を放置すると、重要なリスクの取りこぼしや、監査・開示での説明負荷の増大といった不利益につながり得ます。制度趣旨と枠組みの変更点を踏まえて、自社として「どの範囲を、なぜ、どう評価し、どう開示するか」を判断できる状態にしておくことが重要です。以下では、実務での判断材料として評価範囲・報告書記載・監査対応の要点を示します。

内部統制報告制度見直しの全体像

J-SOXの概要と見直しの経緯

内部統制報告制度（いわゆるJ-SOX）は、上場会社等が事業年度ごとに、財務計算に関する書類その他の情報の適正性を確保するために必要な体制について評価した「内部統制報告書」を提出する制度です（金融商品取引法24条の4の4第1項（金融商品取引法）の枠組みに基づく制度として運用されています）。また、内部統制報告書は、原則として当該企業と特別の利害関係のない公認会計士または監査法人の監査証明を受ける必要があります（金融商品取引法193条の2第2項（金融商品取引法））。

制度導入から時間が経つ中で、評価範囲の設定が形式化し、数値基準の機械的運用により重要なリスクが見落とされる、または評価対象外に置かれた領域から不適切な会計処理・虚偽記載が顕在化するといった実務上の懸念が高まりました。こうした状況を踏まえ、金融庁の審議を経て「内部統制の評価及び監査の基準」および「実施基準」が改訂され、2024年4月1日以後開始する事業年度から適用されています。

今回の見直しは、単なる手続の簡素化ではなく、リスク・アプローチの徹底と、経営者が合理的根拠をもって評価範囲・評価手続を組み立てる「評価の適正化」を重視する方向への転換として整理できます。

見直しの背景と制度目的

見直しの背景には、評価範囲の検討が形式化し、特にグループ会社・在外拠点等について、重要な虚偽表示リスク（不正リスクを含む）を十分に識別できていないという問題意識があります。財務報告に影響する不正リスクについては、監査の側でも「監査における不正リスク対応基準」が平成25年（2013年）に制定され、不正の疑いに対する手続の明確化・慎重化が求められてきました（ここでの「不正」は財務諸表に重要な虚偽の表示の原因となるものに限定され、重要な虚偽表示と関係のない不正は対象外とされています）。

また、J-SOXの目的は、チェックリスト中心の形式的対応を推奨することではなく、財務報告の信頼性に直結するリスクを識別し、統制設計・運用・評価・開示を一貫させることにあります。経営者が自らの責任で、評価範囲の決定根拠を説明可能な形で整理し、監査人による検証も受けることで、投資者保護と市場の信頼確保につなげる点が制度の中核です。

内部統制の基本的枠組み

内部統制の目的の再定義

内部統制の目的の一つが「財務報告の信頼性」から「報告の信頼性」へと整理されたことにより、財務情報以外の報告（非財務情報を含む）も含めて、組織として報告の正確性・信頼性を高めるという考え方が示されました。

一方で、金融商品取引法上の内部統制報告制度が直接に対象とするのは、あくまで財務計算に関する書類その他の情報の適正性を確保するために必要な体制の評価・報告です（金融商品取引法24条の4の4第1項（金融商品取引法）の制度趣旨）。したがって、概念上は「報告の信頼性」を意識しつつも、J-SOX実務としては、財務諸表作成・開示プロセスに影響する統制に焦点を当て、評価目的・評価範囲・開示文言の整合を確保することが重要です。

基本的要素の改訂点

改訂では、内部統制の基本的要素のうち、特にリスクの評価と対応、情報と伝達、情報技術への対応に関する考え方が強化され、不正リスクや高度なIT環境、外部委託等を前提とした統制設計・運用がより重要になっています。

「報告の信頼性」へ広がってもJ-SOXの評価対象が直ちに非財務情報まで広がらない線引き

「報告の信頼性」という概念が示されても、J-SOXで評価・表明の対象が直ちに非財務情報全般へ拡張されるわけではありません。実務上の線引きとして重要なのは、公認会計士の監査が及ぶ範囲です。

参照される整理として、有価証券報告書の開示事項のうち、業務情報の部分（財務計算以外の部分）には公認会計士の監査が及ばないとされています（金融商品取引法193条の2（金融商品取引法）の枠組み、ならびに財務諸表等の監査証明に関する内閣府令の考え方）。このため、非財務情報の統制は重要性が高まっていても、J-SOXの評価範囲・監査との関係・内部統制報告書の記載の仕方は、制度上の対象（財務報告に係る内部統制）と混同しない整理が必要です。

実務的には、非財務情報についても社内の内部統制（例：経理部門等による自己点検、監査役等による監視・検証）を設計しつつ、J-SOXの表明対象は財務報告に直結する統制として整理し、内部統制報告書の記載における過不足（過度な拡張・過小な開示）を避けることが重要です。

内部統制評価と評価範囲の見直し

評価範囲の決定基準の考え方

評価範囲の決定では、従来用いられてきた売上高の概ね3分の2、主要3勘定といった数値基準を「使ってはいけない」というより、機械的に適用して説明責任を果たさない運用が許容されないという点が実務の要諦です。改訂後は、金額的重要性に加え、事業の複雑性・新規事業・組織変更・不正リスク等の質的重要性を踏まえたリスク・アプローチで、評価範囲の合理性を示すことが求められます。

また、評価範囲外として整理してきた拠点・業務プロセスについても、固定化せず、リスクの変化に応じて再点検し、必要なら補充評価（再評価）するという運用が重要です。

全社的・業務プロセス・IT統制の評価

内部統制評価は、全社的内部統制を起点に、業務プロセス統制・IT統制へ落とし込むトップダウン型で整理することが基本です。全社的内部統制（ガバナンス、リスク管理、モニタリング等）が有効に機能している場合に限り、業務プロセス評価の範囲・頻度・サンプリングを合理的に調整できます。

IT統制については、IT全般統制（権限管理、変更管理、障害対応、委託先管理等）と、業務処理統制（アプリケーション統制）を区別し、全般統制が崩れていると自動化統制の信頼性が成立しにくい点を前提に評価設計します。

期中の組織再編・子会社売却・為替変動が出たとき、評価範囲を再判定する基準と記録の残し方

期中に組織再編、子会社売却、為替変動などが生じた場合、評価範囲は「期初計画のまま固定」ではなく、リスクと重要性の変化に応じて再判定し、その判断と協議の証跡を残す必要があります。

特に在外子会社を含む場合、円換算売上や財務諸表項目の換算・為替影響額の算定は、複数レートの使い分けにより誤りが生じやすい領域です（期中平均相場・決算時相場等）。為替が大きく動いた局面では、単に「売上高カバー率」だけでなく、換算・測定の誤りリスク（評価の妥当性（測定））が高まっていないかを含めて、追加評価の要否を検討することが実務的です。

内部統制報告書と開示の実務

内部統制報告書の記載事項

内部統制報告書では、評価範囲、評価時点、採用した評価基準、評価手続の概要、評価結果を記載します。改訂後は特に、評価範囲の決定プロセスの透明性が重視され、重要な事業拠点の選定指標・一定割合、主要な業務プロセスとして選定した勘定科目、個別に追加した拠点やプロセスの選定理由など、合理的根拠を具体的に説明する実務が重要になります。

さらに、制度上、内部統制報告書は内閣総理大臣への提出が求められる報告書であり（金融商品取引法24条の4の4第1項（金融商品取引法））、原則として独立の公認会計士または監査法人の監査証明を受ける必要があります（金融商品取引法193条の2第2項（金融商品取引法））。したがって、開示文言は「社内向け説明」では足りず、第三者検証に耐える根拠・証跡と一体で整備する必要があります。

なお、新規上場企業のうち、一定規模に満たない場合には、上場後3年以内に提出する内部統制報告書について監査証明が不要となる例外があります（新規上場時の資本金が100億円以上または負債総額1,000億円以上に満たない場合など：金融商品取引法193条の2第2項4号（金融商品取引法）、および内閣府令（平成19年内閣府令第62号）10条の2の考え方）。ただし、監査証明が不要であっても、内部統制報告書の提出義務自体が消えるわけではないため、上場準備・上場後の体制整備の観点からは、開示と同水準の文書化・証跡管理を前提に運用するのが実務上安全です。

重要な不備の判断枠組み

開示すべき重要な不備（マテリアル・ウィークネス相当）の判断は、財務報告に重要な影響を及ぼす可能性の程度に基づき、金額的重要性と質的重要性を総合して行います。金額的重要性の目安として「連結税引前利益の概ね5%程度」が引用されることがありますが、絶対基準ではなく、質的重要性（不正・法令違反・上場維持要件への影響等）を重視すべき場面があります。

ここでの「不正」については、監査制度上も、財務諸表に重要な虚偽の表示の原因となるものに限定して不正リスク対応を行うという整理がされています（平成25年制定の「監査における不正リスク対応基準」の趣旨）。J-SOXの重要な不備判断でも、財務報告に結びつく虚偽表示リスク（発生確率×影響額）として評価し、補完統制の有無・実効性を確認することが実務上の基本線になります。

評価結果を『有効』『重要な不備あり』『表明できない』で分ける判断場面と開示文面の考え方

評価結果の区分は、内部統制が有効である旨の表明（評価手続の合理性を前提とする）と、開示すべき重要な不備があるため有効でない旨の表明、さらに評価手続が完了せず表明できない場合など、事実関係に応じて整理します。

また、内部統制報告書は原則として監査証明の対象であるため（金融商品取引法193条の2第2項（金融商品取引法））、開示文面は、監査人が追跡可能な形で、範囲・手続・除外・制約・是正状況を矛盾なく記載する必要があります。

内部統制監査と関係者の役割

内部統制監査と財務諸表監査の関係

内部統制監査と財務諸表監査は、それぞれ対象が「内部統制報告書」と「財務諸表」で異なりますが、監査計画・リスク評価・手続の多くが連動します。内部統制報告制度では、内部統制報告書が原則として独立の公認会計士または監査法人の監査証明を受ける必要があるため（金融商品取引法193条の2第2項（金融商品取引法））、財務諸表監査の過程で判明した誤りや虚偽表示リスクは、内部統制の不備評価にも波及します。

ただし、財務諸表の修正が生じたという事実のみで直ちに重要な不備と結論づけるのではなく、

といった観点で、内部統制監査と財務諸表監査の情報を相互に活用するのが実務上の要点です。

監査人・監査役等・内部監査の役割

内部統制の実効性を高めるには、経営者、監査役等（監査役・監査等委員会・監査委員会）、内部監査、会計監査人が、それぞれの立場から牽制と連携を機能させる必要があります。

特に、有価証券報告書の「業務情報」（財務計算以外の開示部分）については、公認会計士の監査が及ばないという整理があるため（金融商品取引法193条の2（金融商品取引法）の枠組み）、監査役等としては、当該記載事項のコンプライアンスについて、経理部門等の内部統制が機能しているかを監視・検証し、必要に応じて監査役監査として個別手続を行うという役割分担が実務上重要になります。

監査人との協議はいつ何を持ち込むか：評価計画前後で用意すべき資料と社内責任者

改訂対応では、評価範囲・評価方法の合理性を担保するため、評価計画の前後で監査人と協議する運用が重要になります。協議は、期首の早い段階（評価計画策定前）に実施し、監査人のリスク評価と整合した評価設計にしておくことが手戻り防止に直結します。

なお、新規上場企業で一定規模に満たない場合、上場後3年以内の内部統制報告書について監査証明が不要となることがあります（新規上場時の資本金100億円以上または負債総額1,000億円以上に満たない場合等）。ただし、監査証明が不要なケースでも、監査人（上場準備監査・財務諸表監査の監査人等）との論点整理は、開示の整合・社内統制の成熟に有益です。

J-SOX対応の進め方

会社法の内部統制との違いと接点

会社法の内部統制（内部統制システム）は、取締役の職務執行の適正確保や損失リスク管理など、事業運営全般を対象とする広い枠組みとして機能します。一方、金融商品取引法に基づく内部統制報告制度は、投資者保護の観点から、財務計算に関する書類その他の情報の適正性確保のための体制を、事業年度ごとに評価し、内部統制報告書として提出する点に特徴があります（金融商品取引法24条の4の4第1項（金融商品取引法））。

両者の接点は、全社的内部統制（ガバナンス、リスク管理、コンプライアンス、内部監査等）です。実務では、会社法側で整備した統制・リスク管理の「器」が機能しているか（形だけでなく運用されているか）を点検しつつ、J-SOXではそのうち財務報告に直結する部分を評価・開示する、という二層構造での統合運用が合理的です。

DX・クラウドを踏まえた見直し

DX・クラウド活用が進むほど、統制の焦点は紙証憑中心から、システム設定・ログ・自動処理の信頼性へ移ります。外部委託・クラウド利用がある場合、委託先統制の評価に加え、受託会社からの報告資料の閲覧と検討を実務プロセスとして組み込み、IT全般統制の一部として整理することが重要です。

また、海外子会社を含む場合、システム上の換算処理や為替影響額算定は、複数レートの適用が絡むため誤りが起きやすいことが知られています。たとえば、在外子会社の財務諸表項目の換算では、資産・負債・純資産・収益・費用を円換算し、換算差額を為替換算調整勘定として計上する枠組みの中で、期中平均相場や決算時相場等の適用誤りリスクが生じ得ます。DXの文脈でも、こうした「計算・換算・自動処理」の誤りを、マニュアル、第三者再計算、承認といった統制で抑止・検知する設計が重要です。

対応体制と優先順位の決め方

改訂対応を実装するには、CFOの統括のもと、経理・内部監査・情報システム・法務／コンプライアンスを含む横断体制で進めることが現実的です。特に不正リスクは、監査制度上も平成25年制定の「監査における不正リスク対応基準」を背景に重要視されており、財務諸表に重要な虚偽の表示の原因となる不正に焦点を当てて、評価範囲と統制設計を見直す優先度が高いといえます。

よくある質問

見直しはいつ開始する事業年度から適用されますか

改訂された「内部統制の評価及び監査の基準」および「実施基準」は、2024年4月1日以後に開始する事業年度から適用されています。3月決算企業であれば、2025年3月期の内部統制評価および内部統制報告書から改訂基準に基づく対応が必要になります。

また、新規上場企業のうち一定規模に満たない場合、上場後3年以内に提出する内部統制報告書について監査証明が不要となる例外があり（新規上場時の資本金100億円以上または負債総額1,000億円以上に満たない場合等）、適用初年度の監査対応計画を立てる際は、自社が例外に該当するかも含めて整理しておくと実務がブレにくくなります。

評価範囲で数値基準はどこまで使えますか

売上高の概ね3分の2等の数値基準は、評価範囲選定の出発点として使うこと自体は否定されませんが、機械的適用は禁止される運用と理解するのが実務的です。数値基準で拾えないリスク（不正リスク、在外子会社の換算誤りリスク、委託・クラウド依存によるITリスク等）を質的要因として織り込み、なぜその範囲が財務報告の信頼性確保の観点で合理的かを、内部統制報告書に説明可能な形で残す必要があります。

特に海外拠点では、期中平均相場・決算時相場など複数レートの適用誤りにより、在外子会社の財務諸表換算や為替影響額算定に誤りが生じ得るため、売上規模が小さくてもリスクに応じて評価範囲へ含めるかを検討することが重要です。

開示すべき重要な不備はどう判断しますか

開示すべき重要な不備は、金額的重要性（連結税引前利益の概ね5%程度という目安が引用されることがあります）だけでなく、質的重要性を含めて判断します。

質的重要性の検討では、監査制度上の整理として「不正」は財務諸表に重要な虚偽の表示の原因となるものに限定して不正リスク対応を行う（平成25年制定の不正リスク対応基準）点も踏まえ、当該不備が財務報告に重要な虚偽表示リスク（発生確率×影響額）としてどの程度か、補完統制が機能しているかを証跡ベースで評価します。

海外子会社の評価範囲はどう見直しますか

海外子会社は言語・商習慣・距離・システム統一度合い等により統制が効きにくく、不正・誤謬リスクが高まりやすいという特性があります。数値基準上は小規模でも、質的リスクが高い場合は評価範囲への組込みを再検討することが必要です。

特に実務上頻出する論点として、在外子会社の外貨建財務諸表の円換算では、期中平均相場や決算時相場等の複数レートを国ごとに使い分けるため、適用誤りリスクが生じ得ます。また、為替変動による影響額の算定も複数レートの使用により計算誤りが起きやすい領域です。これらに対しては、換算処理・影響額算定についてのマニュアル整備、担当者とは別の第三者による再計算、上長承認といった内部統制を構築し、リスクに応じて評価範囲・評価手続へ反映することが重要です。

J-SOXへの対応で次にすべきこと

今回のJ-SOX見直し（2024年4月1日以後開始事業年度から適用）は、数値基準の形式的運用から、質的リスクを織り込んだリスク・アプローチへ評価実務を寄せる点に重心があります。実務の判断軸としては、評価範囲の決定理由を説明可能に文書化できているか、期中変動（組織再編・売却・為替等）に応じて再判定と証跡化ができているか、内部統制報告書の記載が監査人の追跡可能性と整合しているかを揃えて確認することが重要です。次アクションとして、まず評価計画の前後で監査人と協議できる資料（選定指標と一定割合の根拠、質的リスクの整理、IT・委託先管理、在外子会社の換算リスク等）を棚卸しし、合意事項を履歴として残す運用を固めます。新規上場企業で監査証明が不要となり得る例外（資本金100億円以上または負債総額1,000億円以上に満たない場合等）があっても、報告書提出と開示水準の文書化は別問題として整理する必要があります。個別の評価範囲や重要性判断は事実関係に依存するため、最終的には社内の内部統制統括・CFO・法務／内部監査と、必要に応じて監査人と相談しながら進めるのが安全です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ