金融商品取引法の内部統制報告制度（J-SOX）実務｜会社法との違い・改正点を整理

上場企業やIPO準備企業の担当者にとって、金融商品取引法に基づく内部統制報告制度（J-SOX）への対応は、避けて通れない重要実務です。制度の目的や会社法との違いを正確に理解しないままでは、適切な体制構築が難しく、報告プロセスで手戻りが生じる可能性もあります。財務報告の信頼性を確保し、企業の社会的信用を維持するためには、制度の全体像を正しく把握することが第一歩となります。この記事では、J-SOXの目的や対象範囲といった基本から、報告書作成の実務フロー、近年の法改正の要点までを網羅的に解説します。

J-SOXの概要

制度の目的と導入された背景

J-SOX（内部統制報告制度）は、企業の財務報告の信頼性を確保し、投資家を保護することを最大の目的としています。国内外で大規模な粉飾決算が相次ぎ、資本市場への信頼が揺らいだことが導入の契機となりました。特に、米国でのエンロン事件などを受けて米国でSOX法（企業改革法）が制定された流れを汲み、日本でも金融商品取引法の一部として制度化されました。

この制度により、経営者は自らの責任で不正を防止するための内部統制システムを構築し、その有効性を外部に報告することが義務付けられました。これは、ディスクロージャー（情報開示）の適正性を担保し、健全な資本市場の発展を支えるための重要な社会基盤となっています。

報告義務の対象となる企業

J-SOXの報告義務は、原則として金融商品取引所に上場している全ての企業とその企業集団が対象となります。上場企業は多数の投資家から資金を調達しており、その財務情報の正確性が市場全体に与える影響が極めて大きいためです。

評価の範囲は親会社単体にとどまらず、連結ベースでの評価が求められます。したがって、以下の範囲が対象に含まれます。

新規上場（IPO）する企業についても、上場初年度から内部統制報告書の作成・提出が義務付けられます。ただし、特例として上場後最初の事業年度は、監査法人による内部統制監査が免除されます。

会社法の内部統制との違い

目的の違い：財務報告の信頼性か業務の適正性か

J-SOX（金融商品取引法）と会社法が求める内部統制では、その目的に明確な違いがあります。J-SOXが投資家保護の観点から財務報告の正確性に特化しているのに対し、会社法は企業経営全体の健全性を目指しています。

両者は目的が異なりますが、実務上は密接に関連しており、企業は財務と業務の両面から統合的な管理体制を構築することが求められます。

対象範囲の違い：上場企業等か全ての大会社か

適用対象となる企業の範囲も、両制度で大きく異なります。これは、各法律が保護しようとする対象者が異なるためです。

非上場であっても大会社の要件を満たす企業は、会社法上の内部統制システムを構築する義務があります。また、ほとんどの上場企業は大会社の基準を満たすため、結果として両方の法律に基づく義務を負うことになります。

監査主体の違い：会計監査人か監査役等か

内部統制の有効性を誰がチェックするのか、という監査主体にも違いがあります。これは、それぞれの制度が求める監督の性質が異なるためです。

内部統制の枠組み

達成すべき「4つの目的」

内部統制は、企業が健全な事業活動を行うために、以下の4つの目的を達成することを目指しています。これらは相互に関連しており、バランスよく実現することが重要です。

構成要素となる「6つの基本的要素」

上記の4つの目的を達成するため、内部統制は6つの基本的要素から構成されます。これらが有機的に機能することで、実効性のある内部統制が実現します。

内部統制報告書の実務フロー

①評価範囲の決定と整備・運用状況の評価

内部統制報告の実務は、まず評価範囲の決定から始まります。効率的かつ効果的な評価を行うため、リスクアプローチ（リスクの高い領域に重点を置く考え方）に基づき、全社的な内部統制を評価した上で、個別の業務プロセスの評価範囲を決定します。

評価範囲が定まったら、整備状況（ルールが適切に設計されているか）と運用状況（ルールが継続して守られているか）を評価します。評価の過程で発見された不備は、原則として事業年度の期末日までに是正する必要があります。

②内部統制報告書の作成と主な記載事項

評価が完了すると、経営者はその結果を取りまとめて内部統制報告書を作成し、財務報告に係る内部統制が有効であったかを表明します。

③監査法人による内部統制監査の受嘱

経営者が作成した内部統制報告書は、客観性を担保するため、外部の監査法人による監査を受けなければなりません。この内部統制監査は、通常、財務諸表監査と一体で同じ監査法人によって実施されます。

監査法人は、経営者が行った評価の妥当性を検証し、その結果を「内部統制監査報告書」として表明します。もし監査法人が経営者の評価に同意できない場合、監査意見にその旨が記載され、企業の信頼性に大きな影響を与える可能性があります。

④報告書の提出期限と提出先

監査を終えた内部統制報告書は、有価証券報告書とあわせて内閣総理大臣（実務上は金融庁のEDINETシステム）へ提出します。提出期限は、原則として事業年度の末日から3ヶ月以内です。

提出された報告書は公に開示され、投資家が企業の信頼性を判断するための重要な情報源となります。期限内に提出しなかったり、虚偽の記載があったりした場合には、厳しい罰則が科されるため、計画的な進行管理が不可欠です。

評価範囲の決定における経営者の役割と判断基準

評価範囲の決定は、単なる数値基準（例：売上高の一定割合）だけで機械的に行うべきではなく、経営者による主体的な判断が極めて重要です。事業の特性や過去の不正の有無といった質的なリスク要因も総合的に勘案し、なぜその範囲を選定したのかを合理的に説明できる根拠を持つことが求められます。

監査法人との円滑な連携と事前協議のポイント

内部統制の評価を円滑に進めるには、監査法人との早期からの連携が鍵となります。監査の最終段階で評価方針に関する見解の相違が発覚すると、手戻りやスケジュールの遅延を招くため、事前の協議が不可欠です。

2023年実施の制度改正

改正の背景と主要な変更点の概要

内部統制報告制度は導入から十数年が経過し、デジタル化の進展やグローバルな事業展開といった経営環境の変化に対応するため、2023年に重要な改正が行われました。これにより、企業は従来以上に実質的なリスク管理体制の構築が求められています。

「リスクの評価と対応」に関する見直し

今回の改正では、特にリスクの評価と対応プロセスが厳格化されました。特に不正に関するリスクを明確に評価対象と位置づけ、不正のトライアングル（動機・機会・正当化）を考慮した評価が求められます。

中でも、経営者自身が内部統制を意図的に無視・無効化するリスクへの対応が重要視されており、取締役会や監査役等による監督機能の強化が不可欠です。また、事業環境の変化に応じてリスクを再評価する、動的なプロセスも強調されています。

「ITへの対応」に関する見直し

企業の業務がITに大きく依存する現代において、情報技術への対応も重要な見直し対象となりました。クラウドサービスの利用や外部委託が一般化したことを踏まえ、委託先における管理体制も評価対象であることが明確化されています。

サイバー攻撃によるデータ改ざん等のリスクに対し、アクセス管理の強化などが求められます。また、システムの変更が頻繁に行われる実態に合わせ、年1回の静的な評価だけでなく、環境変化に応じた適時適切な評価が重要となります。

改正後のIT統制で特に注意すべき評価項目

改正後のIT統制では、自社内のシステムだけでなく、サプライチェーン全体を視野に入れたリスク管理が求められます。特に以下の項目への注意が必要です。

制度違反に対する罰則

虚偽記載等に対する刑事罰

内部統制報告書の提出義務に違反したり、内容に虚偽があったりした場合には、個人に対して重い刑事罰が科されます。これは、資本市場の信頼を根底から揺るがす重大な行為と見なされるためです。

この罰則は、虚偽記載を指示した経営者だけでなく、不適切な報告書作成に関与した担当者にも及ぶ可能性があります。

課徴金納付命令などの行政上の措置

個人の刑事罰に加え、法人に対しても厳しい行政上の措置が定められています。虚偽記載を行った法人には、両罰規定として罰金が科されるほか、金融庁から課徴金の納付を命じられる場合があります。

これらの処分は、金銭的な負担だけでなく、企業の社会的信用を大きく損ない、事業継続そのものを危うくする可能性があります。

よくある質問

J-SOX法と金融商品取引法との関係は？

「J-SOX法」という名称の独立した法律は存在しません。一般にJ-SOXと呼ばれているのは、金融商品取引法に規定されている内部統制報告制度の通称です。米国のSOX法を参考に日本版として導入された経緯から、このように呼ばれています。

対応実務で使う「3点セット」とは？

内部統制の評価実務において、業務内容を可視化し、リスクと統制を文書化するために用いられる主要な3つの資料を指します。これらは監査法人による監査の基礎資料ともなります。

IPO準備企業はいつから対応が必要？

新規株式公開（IPO）を目指す企業は、上場申請の直前々期（N-2期）には内部統制の整備に着手することが理想的です。上場審査の過程で内部統制が有効に機能している実績を示す必要があり、また上場初年度から内部統制報告書の提出義務が生じるため、早期からの準備が不可欠です。

「重要な不備」とは何を指しますか？

内部統制の不備のうち、財務報告に重要な虚偽記載をもたらす可能性が高いと判断されるものを指します。金額的な影響の大きさ（例：税引前利益の一定割合を超える）や、質的な影響（例：不正や法令違反）の観点から個別に判断されます。期末日時点で是正されていない「重要な不備」がある場合、企業は内部統制報告書で「内部統制は有効ではない」と結論付け、その内容を開示しなければなりません。

非上場企業は対象外と考えてよいですか？

金融商品取引法が定める内部統制報告書の提出義務は、非上場企業には直接ありません。しかし、以下のような場合には、非上場企業でも内部統制への対応が必要または強く推奨されます。

まとめ：J-SOXの要点を押さえ、信頼性の高い内部統制を構築する

本記事では、金融商品取引法に基づく内部統制報告制度（J-SOX）の目的や対象範囲、会社法との違い、具体的な実務フローまでを網羅的に解説しました。この制度は、財務報告の信頼性を確保し投資家を保護するものであり、対象となる上場企業等には厳格な対応が求められます。対応の鍵となるのは、リスクアプローチに基づき自社の実態に合った評価範囲を主体的に決定し、監査法人と早期に連携することです。これから対応を始める場合は、まず財務報告に影響の大きい業務プロセスのリスク評価と文書化（3点セット）から着手すると良いでしょう。なお、本稿で解説した内容は一般的な情報であり、個別の状況に応じた具体的な判断については、監査法人等の専門家へ相談することが重要です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ