内部統制監査制度とは｜対象企業と評価手順を経営者向けに整理

内部統制監査制度（J-SOX）は、上場企業・IPO準備企業の経営者側が「財務報告に係る内部統制」をどう整備・評価し、監査対応までつなげるかを前提に組み立てる必要があります。制度趣旨や要件の理解が曖昧なまま進めると、評価範囲の過不足や3点セットの形骸化により、期末に差戻し・是正負荷が増えるなど実務上の不利益が生じやすくなります。特に、上場後3年以内の特例の有無も含め、提出義務と監査証明の要否を分けて整理できると、当期計画や体制整備の優先順位が定めやすくなります。以下では、J-SOX対応の判断材料として制度の全体像・対象範囲・評価手続の要点を示します。

内部統制監査制度の全体像

J-SOXの目的と制度の位置付け

内部統制報告制度（いわゆるJ-SOX）は、投資家保護と資本市場の信頼性確保の観点から、上場企業に対し財務報告に係る内部統制（財務諸表・開示書類の作成プロセスを支える統制）の整備・運用と、その評価結果の開示を求める制度です。背景として、米国では2002年にサーベンス・オスクリー法（SOX法）が成立し、投資家保護のために財務報告プロセスの厳格化が進み、日本でも金融商品取引法（いわゆる「日本版SOX」）の枠組みで制度化されました。

本制度の中核は、経営者が自ら評価し、自ら報告する点にあります。すなわち、外部監査人が最初から会社の内部統制を作り込むのではなく、経営者が「財務計算に関する書類その他の情報の適正性を確保するために必要な体制」を評価し、内部統制報告書として開示する仕組みです（金融商品取引法第24条の4の4）。

内部統制は「財務報告の信頼性」だけでなく、一般に内部統制の目的として「業務の有効性・効率性」なども含めて整理されますが、J-SOXで直接の焦点となるのは財務報告の信頼性です。したがって、単なる文書整備ではなく、売上計上、購買・支払、在庫、決算・連結といった日々の業務プロセスが、最終的な開示数値の裏付けとして一貫して管理されているかが問われます。

金融商品取引法上の根拠と対象企業

内部統制報告制度の提出義務は、金融商品取引法において明確に規定されています。上場会社その他政令で定める会社は、事業年度ごとに、内部統制報告書を内閣総理大臣へ提出しなければなりません（金融商品取引法第24条の4の4）。

また、内部統制報告書は、原則として、当該企業と特別の利害関係のない公認会計士または監査法人の監査証明（内部統制監査）を受ける必要があります（金融商品取引法第193条の2）。この「利害関係のない」という要件は、監査の独立性（独立した第三者としての意見表明）に直結するため、監査人の選任・関係管理の前提として押さえる必要があります。

制度上の実務対応では、会社法上の「内部統制システム」（会社業務全体を射程）と、金商法上の「財務報告に係る内部統制」（開示書類の適正性確保を射程）を混同しないことが重要です。金商法上の枠組みは、開示書類が適正かという観点から、前提となる業務プロセスまで規律するアプローチであり、平成21年から適用されてきた制度です（会社法側の内部統制システムは平成18年から始まっています）。

内部統制の枠組みと対象範囲

財務報告に係る内部統制の範囲

J-SOXでいう財務報告に係る内部統制は、「財務計算に関する書類その他の情報」の適正性確保に必要な体制を対象とします（金融商品取引法第24条の4の4）。ここでいう財務報告は、財務諸表の数値だけではなく、有価証券報告書に含まれる開示情報までを含む前提で、業務プロセスを統制の射程に取り込みます。

評価範囲（どの拠点・どの業務を評価するか）は、連結財務諸表に重要な影響を及ぼす勘定・取引と、それに至るプロセスから合理的に決めます。形式的に「経理部だけ」「親会社だけ」に閉じる考え方は制度趣旨に反します。特に、売上計上や期末日前後の処理は虚偽記載リスクと結びつきやすく、監査手続上も、期末日前後の売上取引の妥当性検証や、期末日後の回収状況の検証がポイントとして挙げられています。

全社統制・決算財務報告プロセス・業務プロセスのどこまで評価するかを分ける基準

評価範囲の切り分けは、統制の影響が「グループ全体に波及するか」「決算・連結の集計に関わるか」「特定の取引処理に限定されるか」という観点で整理します。実務では、全社統制、決算・財務報告プロセス統制、業務プロセス統制を区別して設計・評価し、過不足を避けます。

参照される統制上の観点として、会計全般に関する基本チェック項目（職務分掌の明確化、執務手続の明確化、特定部門・特定担当者への権限集中の回避、会計部門の職務分離、承認・実施責任を明確にする書式整備など）が挙げられます。これらは全社統制・決算統制の両方で「設計の考え方」として有用です。

連結子会社・海外拠点を評価対象から外せるかを判断する重要性の見方

連結子会社・海外拠点を評価対象から外す（評価範囲に含めない）判断は、単に規模だけで機械的に行うべきではなく、金額的重要性に加えて質的重要性・発生可能性を踏まえた合理的な説明が必要です。特に、グループ管理の観点から「小さいから外す」とした場合でも、財務報告の信頼性に対するリスクが高い要素があるなら、範囲外とする判断は難しくなります。

質的重要性の考慮要素として、参照される例には「株価に与える影響」「格付けに与える影響」「CSRの観点」「企業理念・行動指針の観点」「社内外・地域における人命に関わる場合（人命最優先の道義的問題）」「従業員のモチベーション」などが挙げられています。これらは直接の財務数値に表れにくくても、結果として開示リスクや不正リスクの高まりにつながり得るため、除外の可否判断に際して「なぜリスクが限定的と言えるのか」を調書化しておくことが重要です。

内部統制監査との違いを整理

内部監査・会計監査との違い

J-SOXの文脈では、「内部監査」「会計監査」「内部統制監査」は似た言葉でも目的・主体・法的性格が異なります。特に上場企業・IPO準備企業では、監査役（または監査委員会等）による監査、会計監査人の監査、内部監査部門によるモニタリングが並走するため、役割分担を誤ると設計過剰や空白が起きやすいです。

内部監査部門は法定機関ではなく、経営目標の達成に資するように経営諸活動の問題点や改善方法を把握・実行する機能を持つと整理されています（日本内部監査協会「内部監査基準」（2014年6月改訂）参照）。他方、監査役は会社法上の機関であり、取締役・取締役会から独立した独任制の機関として、意思決定や業務執行の状況等を監査します。

内部統制監査（J-SOX監査）は、経営者が作成する内部統制報告書に対し、独立した公認会計士または監査法人が監査意見を表明する点に制度的特徴があります（金融商品取引法第193条の2）。

内部統制報告書と監査報告書の違い

内部統制報告書は、経営者が、財務報告に係る内部統制を評価した結果を取りまとめ、内閣総理大臣へ提出する報告書です（金融商品取引法第24条の4の4）。一方、内部統制監査報告書は、その内部統制報告書について、利害関係のない公認会計士または監査法人が監査証明を行うことで成立する「意見表明」の文書です（金融商品取引法第193条の2）。

両者の違いは、単に作成者が異なるというだけでなく、責任の所在が異なります。経営者は「体制を整備・運用し、評価し、開示する」責任を負い、監査人は「その評価と表示が適正か」を独立した立場で検証します。

内部統制監査の評価と手続

評価計画と評価範囲の決め方

評価計画・評価範囲は、経営者評価の実効性を左右するため、期首に「当期のリスク前提」を明確化して設計します。制度上、経営者は事業年度ごとに内部統制報告書を提出する義務があるため（金融商品取引法第24条の4の4）、前年踏襲ではなく、当期の組織・業務・システム・M&A等の変化を踏まえた見直しが必要です。

リスクベースで進める評価方法

リスクベース評価は、財務報告に重要な虚偽記載が生じる可能性が高い領域に評価資源を振り向ける考え方です。重要なのは、リスクの特定が抽象論に終わらず、実際の監査・評価で検証可能な統制（キーコントロール）へ落ちることです。

実務上、監査手続のポイントとして「期末日前後の売上取引の妥当性の検証」や「期末日後の回収状況の検証」が挙げられているとおり、売上・売掛金の領域はリスクベース評価で優先度が高くなりやすい領域です。こうした領域では、整備状況（設計）だけでなく、運用状況（運用証跡の確認）まで一貫して検証できるように、承認書式・証憑・システムログ等の証跡設計も含めて統制を組み立てます。

経営者評価から開示までの流れ

経営者評価から開示までの流れは、期中の評価・是正と期末の最終判断、そして提出期限に向けた書類化が連動します。法令上、内部統制報告書は事業年度ごとに提出することが求められ（金融商品取引法第24条の4の4）、原則として監査証明も必要です（金融商品取引法第193条の2）。

3点セットがあっても差戻しになる会社の共通点と記述・運用のずれの見抜き方

業務記述書・フローチャート・リスクコントロールマトリクス（RCM）の「3点セット」が揃っていても差戻しになりやすいのは、文書が統制の実態を表していない場合です。例えば、職務分掌や権限・責任が規程・図表で明確化されていない、承認・実施責任を明確にする書式が運用されていない、といった状態では、3点セットが整っていても裏付けが不足します。

ずれの見抜き方として有効なのは、代表取引を1件選び、発生から会計処理・開示に至るまで証跡を追うウォークスルーです。ウォークスルーでは、会計部門が他部門（販売・購買・金銭出納など）から分離されているか、特定担当者に作業が集中していないか、承認書式が実在するか、といった基本統制の有無も同時に確認できます。

内部統制監査で見る要点

主なアサーションと確認ポイント

アサーション（監査要点）は、財務諸表・開示の各項目について、企業が暗黙に主張している「適正であることの前提」を整理したものです。実務では、実在性、網羅性、権利と義務、評価、期間配分、表示などの観点でリスクと統制の対応関係を確認します。

特に監査手続上のポイントとして挙げられる「期末日前後の売上取引の妥当性の検証」は、売上の期間配分（カットオフ）や実在性に直結します。また「期末日後の回収状況の検証」は、売掛金の実在性や評価（貸倒見積り等）の合理性に関係します。アサーションを、実際の業務・証跡・照合プロセスまで落とし込むことが、統制設計・評価の精度を上げます。

不備と重要な不備の判断基準

不備は、財務報告に係る内部統制が虚偽記載を防止または発見できない設計上・運用上の欠陥です。重要な不備（開示すべき重要な不備を含む）に当たるかは、金額的影響だけでなく、質的重要性や発生可能性を併せて評価します。

なお、重要性判断で「連結税引前利益の概ね5%」等の数値基準が語られることがありますが、これは参照情報上の一般的目安であり、制度上は、各社の状況に即した総合判断が前提です。実務では、株価・格付け・CSR・企業理念・人命影響・従業員モチベーション等の質的要素も勘案し、投資家判断に影響し得るかという観点で説明可能な結論を作ることが求められます。

是正プロセスと監査対応の進め方

不備が見つかった場合は、原因分析と再発防止策の実装、そして「是正したといえる証跡」を残すことが要点です。統制は、規程や書式が存在するだけでは足りず、運用されて初めて有効性が認められます。

監査対応では、監査証明を行う主体が「特別の利害関係のない公認会計士または監査法人」であるという前提（金融商品取引法第193条の2）を踏まえ、改善計画・再評価方法・証跡の揃え方について早期に認識合わせを行うことが重要です。特に、会計部門の職務分離や承認責任の明確化など基本統制の是正は、設計変更だけでなく運用定着（運用証跡）が必要になるため、監査人とのすり合わせが遅れるほど期末対応が難しくなります。

期末直前に不備が見つかったときに当期是正で扱えるか翌期課題になるかの分かれ目

期末直前の不備は、「期末日までに是正が完了したか」だけでなく、「是正後の統制が有効に運用されている証跡が期末日までに取れるか」が分かれ目になります。承認書式の新設や職務分離の見直しなどは、設計変更の実施自体は短期間でできても、運用証跡が十分でないと運用状況評価に耐えません。

この点、監査手続上のポイントとして挙げられているとおり、期末日前後の売上取引の妥当性検証や期末日後回収の検証など、期末を跨いで証跡が形成される領域もあります。期末直前に統制を変えた場合、期末日までに必要な証跡が揃うかを具体的に見積もり、当期での是正完了とするのか、未是正として重要性判断・開示判断に回すのかを、調書で説明できる形に整理しておくことが不可欠です。

内部統制監査制度の例外と改訂

IPO直後の特例と提出義務の整理

新規上場企業には、一定の要件のもとで、内部統制報告書に対する監査証明（内部統制監査報告書の添付）が不要となる特例があります。具体的には、新規上場時の資本金が100億円以上または負債総額が1,000億円以上に満たない新規上場企業が、上場後3年以内に提出する内部統制報告書については、監査証明が不要とされています（金融商品取引法第193条の2、財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令（平成19年内閣府令第62号）第10条の2）。

ただし、この特例は「監査証明が不要」という範囲の緩和にとどまり、内部統制報告書そのものの提出義務がなくなるわけではありません。上場会社その他政令で定める会社は、事業年度ごとに内部統制報告書を提出する義務があります（金融商品取引法第24条の4の4）。IPO準備企業は、上場後の短期的な負荷軽減の有無にかかわらず、上場初年度から提出できるように、評価体制・証跡設計・文書化を前倒しで整備しておく必要があります。

近年の改訂ポイントと実務対応

制度運用が長期化する中で、形骸化防止や環境変化への対応（IT化・委託先活用・グループ化等）を踏まえ、内部統制の運用は「自社の身の丈に合った内部統制」として設計・運用する必要性が指摘されています。公表資料が中堅会社の実状に合わない面もあるため、単なる雛形適用ではなく、事業特性・組織規模・監査資源に応じた最適化が重要です。

また、会社法上の内部統制システムの記載（事業報告における内部統制システム）と、金商法上の内部統制報告制度は、対象範囲と監査の付き方が異なります。金商法上は財務報告に限定され、監査証明の要否も制度上規定されています（金融商品取引法第193条の2）。この差を踏まえ、実務では次の観点での再点検が有効です。

よくある質問

内部統制監査の対象企業かどうかは何を見ればよいですか？

内部統制報告制度の対象かどうかは、「有価証券報告書の提出義務があるか」を起点に確認します。制度上、上場会社その他政令で定める会社は、事業年度ごとに内部統制報告書を内閣総理大臣へ提出する義務があります（金融商品取引法第24条の4の4）。

また、原則として内部統制報告書は、公認会計士または監査法人による監査証明を受ける必要があります（金融商品取引法第193条の2）。したがって「対象企業か」「監査証明が必要か」は分けて確認し、IPO直後の特例などに該当するかまで含めて整理すると、実務判断がぶれにくくなります。

IPO直後でも内部統制報告書の提出は必要ですか？

IPO直後であっても、内部統制報告書の作成・提出は必要です（金融商品取引法第24条の4の4）。

一方で、新規上場時の資本金が100億円以上または負債総額が1,000億円以上に満たない新規上場企業が、上場後3年以内に提出する内部統制報告書については、監査証明が不要とされる特例があります（金融商品取引法第193条の2、内閣府令第10条の2）。このため、「提出は必要だが、一定の場合に監査証明は不要」という整理で理解しておくと誤解が起きにくいです。

内部統制の不備は必ず開示しなければなりませんか？

内部統制の不備が見つかったからといって、すべてが直ちに対外開示の対象になるとは限りません。重要性（投資家判断に影響し得るか）と、評価基準日時点で是正されているかを踏まえて整理します。

また、重要性判断では金額面だけでなく、株価・格付け・CSR・人命影響といった質的要素も考慮要素として挙げられています。したがって、軽微に見える不備でも、質的重要性が高い事情があれば、開示要否の判断に影響し得る点に留意が必要です。

制度改訂はいつから適用され過年度に遡りますか？

制度運用の見直し局面でも、内部統制報告制度の根幹は「事業年度ごとに内部統制報告書を提出する」という枠組みであり（金融商品取引法第24条の4の4）、必要に応じて監査証明を受ける点も同様です（金融商品取引法第193条の2）。

過年度への遡及の要否は、改訂内容の性質と企業の状況に左右されるため、実務では「当期の評価計画・評価範囲の見直し」と「前年から継続する不備の是正状況の説明」の双方が求められる前提で、監査人と早期に協議し、調書の整合を取ることが重要です。

内部統制監査制度（J-SOX）への対応で次にすべきこと

J-SOXは、金融商品取引法第24条の4の4に基づき経営者が事業年度ごとに内部統制報告書を提出し、原則として金融商品取引法第193条の2に基づく監査証明を受ける、という役割分担が出発点になります。対応の判断軸は、財務報告に影響する評価範囲の合理性（拠点・プロセスの選定理由）と、3点セットを含む文書が運用実態と一致しているか（証跡で追えるか）に置くのが実務的です。IPO直後の特例が検討対象となる場合でも、上場後3年以内に「監査証明が不要」となるにとどまり、提出義務や体制整備の必要性は別問題として切り分けて整理します。次アクションとしては、期首の評価計画で当期の変化要因（組織・システム・M&A等）を織り込み、監査人（利害関係のない公認会計士または監査法人）と評価範囲・手続の認識合わせを早めに行うことが有効です。個別事案の重要性判断や開示要否は事実関係に依存するため、監査人や社内の法務・内部監査等と連携し、調書で説明可能な形に落とし込むことが重要です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ