会社法内部統制監査｜J-SOXとの違いと取締役会の対応範囲

会社法の内部統制システムは、取締役会・監査役の責任整理と、金融商品取引法のJ-SOX対応が同時に論点化しやすく、監査役監査と監査法人監査の要求水準をどう揃えるかで迷いが生じがちです。とくに「大会社」（資本金5億円以上または負債総額200億円以上）の判定を誤ると、取締役会決議や会計監査人設置の要否まで判断がずれて、監査対応の手戻りや説明負荷につながります。放置すると、体制はあるのに運用監督や証跡が不足し、指摘対応が場当たりになって責任論やコスト増に発展しやすくなります。以下では、内部統制の判断材料として会社法の要件・対象範囲・監査の役割分担を示します。

会社法の内部統制とは

会社法上の位置付けを確認

会社法の「内部統制システム」は、取締役が個々の業務執行の適法性を逐一監督することが難しい規模・複雑性の会社に対し、システム（体制）によって業務の適正を確保するという発想で位置付けられています。大会社等では、取締役会が「業務の適正を確保するための体制の整備」について決議することが専決事項とされ（会社法第362条）、代表取締役や特定の業務執行取締役へ丸投げするのではなく、取締役会として方針決定と監督を行うことが前提になります。

また、会社法は、監査等委員会設置会社、指名委員会等設置会社および大会社の監査役設置会社に対し、内部統制システムの構築義務を課していると整理できます（会社法第362条、会社法第399条の13、会社法第416条）。ここでいう構築義務は、取締役（指名委員会等設置会社では執行役）の職務執行が法令・定款に適合すること、そして「会社の業務の適正を確保するための体制」が整備されることを、取締役会が決定し運用を監督する責務です。

内部統制の議論では、COSOの枠組みで整理される6つの基本要素（統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応）を、会社法対応の体制整備にも応用して考えると、要求事項の抜け漏れを点検しやすくなります。

目的と業務の適正確保

会社法が内部統制に求める中心は、会社（および企業集団）の業務の適正の確保です。ここでいう「適正」は、単なる法令・定款遵守に限られず、損失危険（損失リスク）の管理、意思決定・業務執行の効率性、情報の保存・管理など、会社運営を支える基盤全体を含みます。

実務では、会社法施行規則第100条1項で列挙される体制項目を、取締役会決議の「柱」として落とし込みます。特に、取締役の職務執行に関しては次の類型が中核になります。

この「監査役監査の実効性確保体制」までを内部統制の決議事項として含める点は、実務上の見落としが起きやすいポイントです。内部統制は“管理部門の仕組み”に閉じるものではなく、監査の実効性を支える社内体制（監査役の補助使用人、情報提供、協議機会の確保等）も同じ枠内で整備・運用されるべき対象になります。

内部統制システムの対象会社

大会社と取締役会設置会社

会社法上、内部統制システムの基本方針を取締役会で決定することが、明文で問題となりやすいのは、大会社の取締役会設置会社を中心とする類型です（会社法第362条）。加えて、監査等委員会設置会社・指名委員会等設置会社では、会社規模にかかわらず取締役会の決定事項として内部統制が位置付けられます（会社法第399条の13、会社法第416条）。

大会社の定義は、資本金5億円以上または負債総額200億円以上のいずれかを満たす株式会社です（会社法第2条）。

また、参照実務の整理として、大会社では会計職業専門家である会計監査人の設置が強制され、会計監査人の会計監査を受ける必要があります（会社法第328条）。内部統制の議論は「業務監査（監査役等）」と「会計監査（会計監査人）」にまたがるため、内部統制の設計・運用を検討する際には、会計監査人設置義務の有無も同時に確認しておくのが実務的です。

さらに、会社法は規模基準とは別に、株式の全部または一部について譲渡制限がない会社を公開会社と定義しています（会社法第2条）。内部統制義務の直接のトリガーは大会社等の類型ですが、実態としては公開会社に該当するケースが多く、資本市場・取引先対応（説明責任）の観点からも体制整備が求められやすい点は押さえておくべきです。

企業集団と子会社の範囲

会社法の内部統制は、親会社単体に閉じず、親会社および子会社から成る企業集団として業務の適正を確保する体制を求めます。会社法施行規則第100条1項では、子会社の取締役等の職務執行について、親会社への報告体制、子会社の損失危険管理、効率性確保、法令・定款適合体制などを含めて、企業集団としての統制を設計することが予定されています。

ここで重要なのは、親会社が子会社の業務を日常的に細部まで指揮命令することではなく、異常・重要情報が親会社に上がる仕組みと、是正が回る仕組みを用意することです。企業集団統制は、実務上「報告が上がらない」「上がっても止まる」ことが最大の失敗要因になりやすいので、報告ラインと監査（内部監査・監査役等）の接続を意識して設計します。

資本金5億円・負債200億円の判定で迷いやすい境界事例

大会社該当性の判定は、資本金5億円以上または負債総額200億円以上のいずれかで判断します（会社法第2条）。ここを誤ると、内部統制の取締役会決議義務だけでなく、会計監査人の設置義務（会社法第328条）の判断まで誤り得るため、境界付近では特に慎重な検証が必要です。

本文で挙げたように、資本金は「資本金」勘定に着目し、負債総額は貸借対照表の負債合計に着目する整理が基本になりますが、実務では「重要でない」事項の切り分け（どこまでを内部統制の対象として重く扱うか）の基準が社内で曖昧なまま運用され、説明責任の局面で苦しくなることがあります。法はこの区別に特段の画一基準を用意していない一方で、恣意的な区別が許容されるわけでもありません。

そのため、例えば子会社報告基準・重大リスクの定義・例外承認の条件などについて、株主等から基準を問われた際に説明できる程度の社内基準を、取締役会決議や規程体系の中で用意しておく運用が現実的です。

会社法とJ-SOXの違い

金融商品取引法との目的差

会社法と金融商品取引法（いわゆるJ-SOXの領域）の内部統制は、目的と保護法益が異なります。会社法は、取締役の業務運営の適正化を通じて会社運営全体の健全性を確保するのに対し、金融商品取引法は、資本市場・投資者保護の観点から、開示書類、とりわけ財務報告の適正性に焦点を当てます。

参照整理にあるとおり、会社法の内部統制（第1の内部統制）は、情報管理、リスク管理、効率性確保、コンプライアンス、企業グループ全体の業務適正性確保といった会社業務全般を直接カバーします（会社法施行規則100条の項目整理）。他方、金融商品取引法の内部統制（第2の内部統制）は、有価証券報告書など開示書類の財務情報を適正化する目的で、財務報告プロセスを中心に厳格な評価と監査（監査証明）を求める仕組みです。

また、制度史としては、会社法の規制が平成18年から、財務報告に係る内部統制（J-SOX）が平成21年から適用されている、という時間軸の違いも押さえておくと整理しやすいです。

財務報告との重なりと差異

両制度は「財務報告の信頼性」をめぐって重なりますが、重なり方が異なります。金融商品取引法の内部統制は、開示書類が適正かという視点から、前提となる業務プロセス・IT等にまで規律を及ぼすアプローチです。一方、会社法は、業務全体の適正確保を狙うため、財務報告に限らず、損失危険管理、情報保存管理、効率性確保、企業集団統制など、統制領域が横に広いです。

実務上は、会社法施行規則100条のアイテム（法令等遵守、損失危険管理、情報保存管理、効率性確保、企業集団）をベースに全社統制を整えつつ、上場会社等では、そのうち財務報告に直結する部分をJ-SOXとして文書化・評価・監査対応に“深掘り”していく、という二層構造で設計すると重複を減らせます。

会社法対応だけで足りる会社・J-SOXも同時設計すべき会社の分かれ目

分かれ目は、端的には「上場会社等として金融商品取引法の開示規制の対象かどうか」です。上場会社等では、有価証券報告書等による企業情報開示が強制されます（金融商品取引法第24条）。そのため、会社法の内部統制を整備していても、それだけでJ-SOX相当の評価・監査対応まで自動的に満たすとは限りません。

参照整理では、上場会社等には上場会社のほか、店頭取引のある会社や、一定の外形基準（有価証券の所有者数が500人以上かつ資本金額が5億円以上）に該当する会社も含めて整理されています。ここに該当するかの見立ては、将来の資金調達・株主構成の変化も踏まえて、経営計画と合わせて確認する必要があります。

設計方針としては、次のように整理すると実務判断がしやすくなります。

内部統制監査の役割分担

監査役と取締役会の監査責任

内部統制システムは、構築・運用の責任（取締役側）と、監査の責任（監査役側）を分けて理解するのが実務上の起点です。取締役会は、内部統制システムの整備に関する決議を行い（会社法第362条）、整備・運用が有効に機能するよう監督します。

一方で監査役は、会社法施行規則100条1項の内部統制アイテムについて、監査の観点が整理されており、実務上は次の領域を押さえて監査計画に落とし込むことが多いです。

また、監査役監査の実効性確保体制も内部統制の一部として位置付けられており、監査役は監査結果を適宜取締役または取締役会へ報告し、必要があると認めたときは内部統制の改善を助言または勧告すべきと整理されています（会社法施行規則の実務整理）。監査役は「作る人」ではなく、取締役会決議の相当性と運用状況を検証し、改善を促す人として機能させることが要点です。

監査法人監査との接点

大会社では会計監査人設置が強制され（会社法第328条）、会計監査人（監査法人・公認会計士）は計算書類の監査の過程で、財務報告に影響する内部統制の整備・運用状況を評価し、監査計画・監査手続に反映させます。

また、上場会社等では金融商品取引法により、有価証券報告書等の提出（金融商品取引法第24条）とともに、内部統制報告書の作成・提出と監査証明が求められる運用になります（参照整理）。この局面では、監査法人は内部統制報告書に対して監査意見を表明するため、会社側は「財務報告に係る統制」の文書化、評価、是正の証跡整備が不可欠です。

監査役監査・内部監査・監査法人監査がそれぞれ別方向に走ると、現場負荷が上がる一方で重要リスクが抜けることがあります。監査の実効性を上げるには、内部監査部門（監査部・検査部等）からの報告、会計監査人との連携を前提に、監査役が重要論点を絞って監査計画とフォローアップを設計することが現実的です。

監査役設置会社・監査等委員会設置会社・指名委員会等設置会社で何が変わるか

機関設計により、内部統制の決定主体・監査主体・監査の進め方が変わります。

いずれの類型でも、取締役会決議の「条文上の形式」を整えるだけでは足りず、監査が回る前提（報告ライン、協議機会、補助使用人・内部監査等の活用）が実務上の成否を分けます。特に、監査役設置会社では監査役だけで全社をカバーしきれないため、内部監査部門・会計監査人と緊密に連携して監査の実効性を確保する、という整理が重要です。

内部統制システムの整備実務

取締役会決議と規程整備

内部統制システムは、取締役会決議（基本方針）と、それを具体化する規程・手続・権限配分がセットで機能します。取締役会では、会社法施行規則100条1項の項目を踏まえて、少なくとも「法令・定款遵守」「情報保存管理」「損失危険管理」「効率性確保」「企業集団統制」「監査役監査の実効性確保」を、会社の実態に合わせて基本方針として決議することが実務上の出発点になります。

また、事業報告（内部統制システム）での説明可能性を意識し、取締役会決議の履歴（いつ決議し、いつ見直したか）や、変更点の要旨を整理しておくと、監査・株主対応の局面で整合性を取りやすくなります。実務では、「反社会的勢力排除のための体制」や「財務報告の信頼性を確保するための体制」を、法令等遵守体制の一部として明示的に書き込む会社もありますが、これは個別の決議を義務付ける趣旨ではなく、自社のリスクプロファイルに照らした記載方針として検討するのが適切です。

評価とモニタリングの手順

内部統制は、構築よりも運用・是正が難所になりやすいため、モニタリング設計が要です。COSOの6要素のうち、モニタリングは「有効に機能するよう監視・評価・是正する」要素であり、内部統制が形骸化しないための中核です。さらに、ITへの対応（ITを適切に利用する）も、権限管理・ログ・データ品質といった観点から、財務報告・業務統制の双方に影響します。

運用面は、三線モデルで役割を切り分けると、監査役監査・内部監査・監査法人監査との接続が整理しやすくなります。

なお、「重要でない」不備の扱い（どこまでを重要欠陥として扱うか等）について法は画一基準を用意していないため、恣意的にならないよう、社内で区別の基準を用意し、説明できる状態にしておくことが実務上望ましいです。

子会社管理でつまずく会社に多い報告ライン不備と是正の進め方

子会社管理でつまずきやすいのは、子会社の重要情報が親会社へ上がらない、または上がっても止まる、という報告ライン不備です。会社法施行規則100条1項は、子会社の取締役等の職務執行に係る事項の親会社への報告体制を明示的に求める構造になっているため、まず報告基準とエスカレーションを制度として固定することが近道です。

報告ラインは“作れば終わり”ではなく、モニタリングとセットです。子会社側の「重要でない」という自己判断で報告が止まらないよう、重要性判断の基準を親会社側で示し、株主等から問われても説明できる水準で整備しておくことが、グループガバナンスの実効性につながります。

不備時の責任と費用対効果

不備時の会社法上の責任

内部統制の整備・運用を怠り会社に損害を生じさせた場合、取締役は任務懈怠責任を負う可能性があります（会社法第423条）。内部統制は「善管注意義務の具体化」として論じられることが多く、体制の未整備だけでなく、体制があっても運用監督が不十分であれば責任追及の対象になり得ます。

また、第三者に損害を与えた場合には、役員が第三者に対して損害賠償責任を負うリスクもあります（会社法第429条）。内部統制の欠陥が引き金となる不祥事は、結果として損害額が大きくなりやすいため、取締役会としては「構築したこと」ではなく、運用状況の監督と是正を継続することが防衛線になります。

主要裁判例から見る判断軸

裁判例は、内部統制が争点となる場合でも「結果が出たから直ちに責任」という単純な発想ではなく、意思決定時点のリスク認識可能性、当時のリスク管理体制の水準、当時会社が置かれていた状況を基準に、取締役の裁量逸脱（善管注意義務違反）があったかを検討すべきだとしています（東京地判平成21年5月21日・金判1318号14頁）。

この枠組みに照らすと、実務で重要なのは次の2点です。

さらに、金融商品取引法の文脈では、有価証券報告書の虚偽記載等に基づく責任追及事案において、担当外の取締役であっても「単に与えられた情報を基に正確性を判断すれば足りるものではない」とする厳しい判示が示されています（参照整理）。開示・財務報告に関わる内部統制は、担当部門だけの問題として切り離さず、取締役会として統制状況と是正状況の報告を受け、合理的な範囲で検証する設計が必要です。

整備のメリットと負担の整理

内部統制はコストがかかる一方、企業価値の毀損要因（不正・不祥事・重大事故）を抑え、業務標準化や説明可能性を高める効果があります。設計のポイントは、統制を無制限に強化することではなく、会社の裁量が及ぶ領域（例：重要性の区別）について、恣意性を避ける基準を持ち、必要な統制に資源を集中することです。

参照整理のとおり、法は「重要でない」かどうかの区別について特段の基準を用意しておらず、判断を会社の裁量に委ねている面があります。だからこそ、株主等から基準を問われた際に回答できる程度の基準を用意し、過剰統制による意思決定遅延と、統制不足による損害拡大の双方を避けるバランスが実務上の要になります。

よくある質問

会社法上の内部統制システム整備義務は、中小企業や非公開会社にも及びますか？

取締役会で内部統制システムの整備を決議する義務が明文で問題となるのは、監査等委員会設置会社、指名委員会等設置会社および大会社の監査役設置会社と整理されます（会社法第362条、会社法第399条の13、会社法第416条）。

一方で、大会社の定義自体は、資本金5億円以上または負債総額200億円以上という規模基準で決まります（会社法第2条）。したがって非公開会社・中小企業であっても、規模がこの基準に達すれば「大会社」として扱われ得る点に注意が必要です。

また、明文義務の射程外であっても、取締役は善管注意義務の下で、事業規模やリスクに応じた体制整備を求められます。実務的には、会社法施行規則100条1項の項目を“そのままフル実装”するのではなく、重要性の基準を定めて、最低限必要なルールと報告ラインから整備するのが現実的です。

会社法の内部統制とJ-SOXの内部統制監査は、両方対応しなければならないのですか？

非上場で金融商品取引法の開示規制の対象でなければ、基本的には会社法の内部統制（会社法施行規則100条の項目を中心とする体制整備）への対応が主になります。

一方、上場会社等は、有価証券報告書等の提出が強制され（金融商品取引法第24条）、内部統制報告書の作成・提出と監査証明が必要になります（参照整理）。この場合、会社法の内部統制だけでは足りず、財務報告プロセスの文書化・評価・是正というJ-SOX実務を同時に回す必要があります。

ただし、二重に別物を作るのではなく、会社法の枠組み（情報管理、リスク管理、効率性確保、コンプライアンス、企業集団統制）に、財務報告に直結する領域を“深掘り”して、監査証明に耐える証跡を揃える設計にすると、実務の重複を抑えやすいです。

監査役は内部統制システムの詳細な設計・構築まで責任を負うのでしょうか？

監査役は、内部統制を自ら詳細設計して現場実装する立場ではなく、取締役会が決定した内部統制システムの相当性と、整備・運用状況を独立の立場から監視・検証する立場です。

監査役監査の実効性確保体制も内部統制の決議事項に位置付けられているため、監査役は、内部統制に関する監査結果を適宜取締役または取締役会に報告し、必要があると認めたときは内部統制の改善を助言または勧告すべきと整理されています（会社法施行規則100条の実務整理）。そのため、監査役としては、内部監査部門や会計監査人と連携しながら、会社法施行規則100条1項の各アイテム（法令等遵守、損失危険管理、情報保存管理、効率性確保、企業集団）を軸に監査計画を組み立てることが実務的です。

内部統制監査で指摘を受けた場合、取締役会として優先的に対応すべきポイントは何ですか？

指摘対応は、重要性評価→原因分析→是正→フォローアップの順で、取締役会が監督責任を果たす設計にします。特に上場会社等では、財務報告に係る内部統制の不備が開示の信頼性に直結するため、有価証券報告書等の提出義務（金融商品取引法第24条）との関係で、期限管理が実務上の最重要論点になりやすいです。

会社法の内部統制システムへの対応で次にすべきこと

会社法の内部統制システムは、会社法施行規則100条1項の体制項目を取締役会決議に落とし込み、運用監督と是正まで回すことが中核になります。まずは自社が「大会社」（資本金5億円以上または負債総額200億円以上）に該当するか、また会計監査人設置（会社法第328条）や開示規制（金融商品取引法第24条）の射程に入るかを起点に、必要な対応水準を切り分けます。次に、会社法対応（業務全般の適正確保）とJ-SOX対応（財務報告に係る統制の文書化・評価・証跡）を二層で整理し、監査役監査・内部監査・監査法人監査の役割分担と情報連携（報告ライン、フォローアップ）を設計します。運用では「重要でない」不備の区別が恣意的にならないよう、説明可能な社内基準を整備しておくことが実務上の防波堤になります。個別の会社の規模・機関設計・上場区分により最適解は変わるため、判断に迷う場合は監査役、会計監査人、法務・リスク管理の関係者と論点を揃えたうえで検討するのが適切です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ