コトラ（広報チーム） 
J-SOXは、上場企業などに対して、財務報告に関わる内部統制を経営者自ら評価し、その結果を報告するよう求める制度です。上場企業の経理・内部監査担当者だけでなく、IPOを目指す会社の経営者や管理部門にとっても、早期に理解しておくべき重要な仕組みです。
J-SOX対応は、単なる書類作成ではありません。業務の流れ、権限、承認、情報管理を見直し、不正やミスが起こりにくい組織をつくる取り組みでもあります。本記事では、対象範囲、内部統制の考え方、実務の進め方、近年の改訂における注意点を解説します。
J-SOX（内部統制報告制度）の概要
J-SOXの意味と制度の目的
J-SOXとは、金融商品取引法に基づく財務報告に係る内部統制報告制度の通称です。上場会社などは、毎事業年度末における財務報告に関する内部統制の有効性を経営者が評価し、内部統制報告書として提出します。
制度の中心的な目的は、財務報告の信頼性を確保し、投資家を保護することです。決算書や有価証券報告書に重要な誤りや虚偽記載が生じないよう、会社が自ら業務の仕組みを整え、運用し、その結果を説明できる状態を目指します。
J-SOXへの対応を通じて、業務の属人化、承認漏れ、証憑の保管不足、権限の集中といった課題が明らかになることもあります。そのため、法令対応にとどまらず、業務の標準化や経営基盤の強化にもつながります。
制度が導入された背景
J-SOXは、国内外で発生した粉飾決算や不適切な開示を背景として導入されました。2000年代初頭には、米国で大規模な会計不正が発生し、財務報告や監査への信頼が大きく揺らぎました。
米国ではこうした問題を受けてSOX法が制定され、日本でも投資家保護と資本市場の信頼性向上を目的に、金融商品取引法上の内部統制報告制度が整備されました。J-SOXは、2008年4月1日以後に開始する事業年度から適用されています。
制度導入後も、子会社や海外拠点における不正、評価対象外とした業務からの重要な問題の発見、IT環境の変化などを受け、基準や実務は継続的に見直されています。
財務報告に関わる内部統制とは
内部統制とは、会社が事業活動を健全かつ効率的に進めるための仕組みです。J-SOXで直接の対象となるのは、その中でも財務報告の信頼性に関わる内部統制です。
たとえば、売上を適切な時期に計上するために、受注内容、出荷記録、請求書、入金情報を確認する手続は、財務報告に関わる内部統制に該当します。また、経費精算時に上長承認を受ける仕組み、会計システムの利用権限を管理する仕組み、決算数値を確認する仕組みも重要です。
重要なのは、ルールを作るだけでは十分ではない点です。定めた手続が実際に運用され、証拠が残り、不備が見つかった場合には改善されることが求められます。
J-SOXが「日本版SOX法」と呼ばれる理由
J-SOXは、米国のSOX法を参考に導入されたことから、日本版SOX法と呼ばれています。Jの文字はJapanを意味します。
ただし、日本のJ-SOXは米国制度をそのまま導入したものではありません。企業負担を考慮し、全社的な内部統制の評価結果を踏まえて重要な業務に対象を絞る、トップダウン型のリスクアプローチを採用しています。
また、J-SOXでは監査人が内部統制そのものについて直接意見を示す方式ではなく、経営者が行った評価と報告が適切に表示されているかを監査します。この点も米国制度との違いの一つです。
J-SOXの対象となる会社と適用範囲
内部統制報告書の提出が必要な会社
内部統制報告書の提出義務は、原則として有価証券報告書を提出する上場会社などに課されます。経営者は事業年度ごとに財務報告に係る内部統制を評価し、有価証券報告書とあわせて内部統制報告書を提出します。
新規上場会社についても、上場後最初に到来する事業年度末を基準日として、内部統制報告書の作成と提出が必要です。一定の要件を満たす新規上場会社には、上場後3年間、内部統制報告書に対する監査証明を免除できる特例があります。
ただし、免除されるのは監査証明であり、内部統制報告書の提出そのものではありません。IPO準備会社は、上場後に慌てないよう、上場前から内部統制の整備と運用を進める必要があります。
親会社・連結子会社に求められる対応
J-SOXの評価は、原則として連結ベースで行います。そのため、上場している親会社だけでなく、連結子会社や重要な関連会社、海外子会社なども評価範囲の検討対象となります。
すべての子会社について、同じ深さで業務プロセスを評価するとは限りません。財務報告への金額的な影響や、不正リスク、事業内容、過去の不備などを踏まえ、重要性に応じて評価範囲を決めます。
外部委託先についても注意が必要です。たとえば、売上計算、給与計算、会計処理、システム運用など、財務報告に重要な影響を与える業務を外部に委託している場合は、委託先の統制をどのように確認するかを検討しなければなりません。
評価の対象となる業務・拠点・システム
J-SOXで評価対象となる内部統制は、主に次の4つに分類されます。
- 全社的な内部統制
- 決算・財務報告プロセスに関わる内部統制
- 業務プロセスに関わる内部統制
- ITに関わる内部統制
全社的な内部統制は、経営方針、職務分掌、社内規程、内部通報制度、内部監査、取締役会による監督など、企業集団全体に関わる仕組みです。原則として、連結子会社を含む全事業拠点を対象に評価します。
業務プロセスでは、重要な事業拠点における売上、売掛金、棚卸資産など、事業目的に大きく関わる勘定科目に至る流れが主な対象です。また、見積りを伴う取引、非定型の取引、不正リスクが高い取引などは、重要拠点以外であっても個別に評価対象となる可能性があります。
ITについては、利用者の権限管理、システム変更の承認、データのバックアップ、障害対応などのIT全般統制と、業務システム上でデータが正確に処理されるためのIT業務処理統制を確認します。
IPO準備会社が取り組み始める時期
IPO準備会社は、上場審査への対応と並行してJ-SOXを意識した体制づくりを進めることが重要です。一般に、上場申請期のさらに前の期から、全社的な統制環境、規程、組織体制、決算体制を整える必要があります。
実務上は、上場直前々期までに内部統制の構築や文書化を進め、直前期には本番に近い形で評価を行うドライランを実施する進め方が考えられます。直前期は上場準備業務が集中するため、文書化や体制整備を後回しにすると負担が大きくなります。
まずはコーポレートガバナンス、取締役会運営、規程整備、職務分掌、決算早期化といった全社的な課題から着手し、その後に業務プロセスやIT統制を具体化すると、効率的に進めやすくなります。
内部統制の目的と仕組み
内部統制の4つの目的
内部統制には、次の4つの目的があります。
- 業務の有効性および効率性
- 報告の信頼性
- 事業活動に関わる法令などの遵守
- 資産の保全
業務の有効性および効率性とは、時間、人員、資金、設備などの経営資源を適切に使い、事業目標の達成につなげることです。不要な二重作業や属人的な処理を減らすことも含まれます。
報告の信頼性とは、社内外に提供する情報の正確性を確保することです。J-SOXでは特に財務報告が中心ですが、2024年4月適用の改訂では、内部統制の基本的枠組みにおける目的が「財務報告の信頼性」から「報告の信頼性」へ見直されました。
法令などの遵守は、会計基準、金融商品取引法、税法、業法、社内規程などに沿って業務を行うことです。資産の保全は、現預金、在庫、固定資産、知的財産、顧客情報などが、正当な手続と承認のもとで取得、使用、処分される状態を確保することを指します。
組織の土台となる統制環境
統制環境は、内部統制を支える土台です。経営者の姿勢、企業倫理、経営方針、組織構造、権限と責任の分担、人材育成、取締役会や監査役等の監督機能などが含まれます。
たとえば、経営者自身がルールを軽視して例外処理を繰り返せば、どれほど詳細な規程や承認手続を整備しても、統制は形だけになりやすいです。経営者が適正な報告と法令遵守を重視し、組織全体にその考え方を示すことが重要です。
また、財務報告を担う経理部門に、必要な知識、経験、人員が確保されているかも統制環境の重要な要素です。少人数であっても、外部専門家の活用、役割分担、レビュー体制の整備により、リスクを抑えることができます。
リスクを洗い出して対応する仕組み
リスクの評価と対応とは、会社の目標達成を妨げる要因を特定し、その影響や発生可能性を検討したうえで、適切な対策を選ぶ仕組みです。
対応方法としては、取引を行わないことで回避する、承認手続や照合を加えて低減する、保険や委託などにより移転する、影響を把握したうえで受容するといった考え方があります。
J-SOXでは、財務報告に重要な虚偽記載が生じるリスクに着目します。売上の前倒し計上、架空売上、在庫の過大計上、見積り誤り、不適切な経費計上、権限外の送金などが代表例です。
近年は、不正に関するリスクを明確に意識することも重視されています。特に、目標達成への過度なプレッシャー、不正を行う機会、不正を正当化する組織風土といった要因を踏まえ、リスクの変化に応じて統制を見直すことが必要です。
業務を確認・けん制する統制活動
統制活動とは、経営者の指示や方針が適切に実行されるようにするための具体的な手続です。承認、照合、検証、記録、職務分掌、権限設定、実地棚卸などが該当します。
たとえば、受注担当者が単独で売上計上まで行える状態では、架空売上や誤計上のリスクが高まります。受注、出荷、売上計上、請求、入金消込を複数の担当者や部署で分担し、相互に確認することで、不正や誤りを起こしにくくできます。
ただし、承認者を増やすだけでは有効な統制とはいえません。承認者が何を確認し、どの証拠を残し、問題があった場合にどう対応するのかを明確にする必要があります。業務の重要性とリスクに見合った、実行可能な手続にすることが重要です。
情報共有・点検・ITへの対応
情報と伝達は、必要な情報が適時かつ正確に組織内外の関係者へ伝わる仕組みです。規程改定、会計基準の変更、内部統制上の不備、内部通報、重大なシステム障害などが、必要な担当者や経営層に届く体制を整えます。
モニタリングは、内部統制が実際に機能しているかを継続的に確認する活動です。日常業務に組み込まれた上長レビューなどの日常的モニタリングと、内部監査など独立した立場から行う評価を組み合わせます。
ITへの対応では、システムの利用権限、アカウントの付与・削除、パスワード管理、プログラム変更、バックアップ、障害対応、外部委託先の管理などを確認します。業務の多くがシステムに依存する現代では、IT統制が機能しなければ、財務報告の信頼性を確保することは困難です。
J-SOXと会社法の内部統制・内部監査との違い
J-SOXと会社法の内部統制の違い
J-SOXは金融商品取引法に基づく制度であり、主に財務報告の信頼性確保を目的とします。対象は上場会社などで、経営者による評価、内部統制報告書の提出、監査人による監査が求められます。
一方、会社法における内部統制は、会社と企業集団の業務の適正を確保するための体制を対象とします。財務報告だけでなく、法令遵守、リスク管理、職務執行の効率性、子会社管理、監査役等への報告体制など、より広い範囲を含みます。
会社法上、取締役会設置会社である大会社は、内部統制システムの整備について取締役会で決議する必要があります。大会社とは、最終事業年度の貸借対照表で資本金が5億円以上、または負債総額が200億円以上の株式会社です。
J-SOXと内部監査の役割の違い
J-SOXは、財務報告に関わる内部統制を評価、報告、監査する法定制度です。経営者が評価責任を負い、監査法人または公認会計士が内部統制報告書を監査します。
内部監査は、会社内部の独立した立場から、業務の適正性、効率性、法令遵守、リスク管理などを確認し、改善を促す活動です。対象は財務報告に限られず、営業、購買、人事、情報セキュリティ、子会社管理など、会社の業務全般に及びます。
内部監査は、J-SOXにおけるモニタリングの重要な役割を担います。ただし、内部監査を実施しているだけでJ-SOX対応が完了するわけではありません。J-SOXでは、評価範囲の決定、文書化、整備状況と運用状況の評価、報告書作成などが別途必要です。
経営者・取締役会・監査役等の役割
経営者は、内部統制を整備・運用し、その有効性を評価する最終責任者です。内部統制報告書の作成と提出も経営者の責任で行われます。
取締役会は、内部統制に関する基本方針を決定し、経営者による整備・運用を監督します。経営者による統制の無効化を防ぐためにも、取締役会が実効性ある監督機能を果たすことが重要です。
監査役、監査役会、監査等委員会、監査委員会は、独立した立場から取締役や執行役の職務執行を監査します。内部統制についても、その整備・運用状況を監視し、必要に応じて意見を述べます。
内部監査部門は、通常業務から独立した視点で統制の有効性を検証し、発見した不備や改善点を経営者、取締役会、監査役等へ報告します。経営者から不当に影響を受けない報告経路を確保することが望まれます。
監査法人による内部統制監査の位置付け
監査法人などの外部監査人は、経営者が作成した内部統制報告書を監査します。監査人は、経営者による評価範囲や評価手続、評価結果が基準に照らして適切に表示されているかを確認します。
J-SOXでは、原則として財務諸表監査と同一の監査人が内部統制監査を行います。財務諸表監査と内部統制監査を一体的に実施することで、監査で得た情報を相互に活用し、監査の効率性と実効性を高める考え方です。
監査人は、内部統制報告書の記載だけを確認するのではありません。必要に応じて、業務プロセス、統制の整備状況、運用状況、評価証拠を確認し、経営者との協議を行います。
J-SOX対応の進め方
評価範囲をリスクに応じて決める
J-SOX対応では、まず評価範囲を決めます。対象となる会社、拠点、業務プロセス、ITシステムを洗い出し、財務報告への影響とリスクを踏まえて評価対象を選定します。
評価は原則として連結ベースで行います。全社的な内部統制と決算・財務報告プロセスは、原則としてすべての事業拠点を対象に考える必要があります。一方、個別の業務プロセスは、重要な事業拠点や重要なリスクのある業務に重点を置きます。
重要拠点の選定では、売上高などの定量的な指標が参考になります。ただし、数値だけで機械的に決めるのではなく、不正リスク、見積りの不確実性、新規事業、海外拠点、M&A後の会社、非定型取引などの質的な要因も考慮します。
業務の流れとリスク・対策を文書化する
評価対象を決めた後は、業務の流れ、想定されるリスク、リスクへの対策を文書化します。実務では、業務記述書、フローチャート、リスクコントロールマトリクスの3点セットを作成することが一般的です。
文書化では、規程やマニュアルの内容をそのまま転記するのではなく、実際の業務がどのように行われているかを確認することが重要です。現場担当者へのヒアリング、使用システムの確認、帳票や証憑の確認を通じて、業務の実態を把握します。
文書と実態が一致していない場合は、単に文書を修正するのではなく、実態の業務が適切かを検討します。必要な承認が省略されている、担当者に権限が集中している、証跡が残らないといった問題があれば、統制の改善が必要です。
整備状況と運用状況を評価する
内部統制の評価では、整備状況と運用状況を分けて確認します。
整備状況の評価では、リスクに対応する統制が設計され、必要なルールや手続が定められているかを確認します。たとえば、一定金額以上の支出には部門長承認が必要というルールがあり、権限規程や申請フローに反映されているかを見ます。
運用状況の評価では、整備された統制が実際に継続して実行されているかを確認します。承認記録、照合記録、レビュー証跡、システムログ、会議議事録などを確認し、必要に応じてサンプルテストを行います。
整備されていても運用されていなければ、統制は有効とはいえません。反対に、担当者の経験や注意力だけで問題なく処理できていたとしても、統制として仕組み化されていなければ、異動や退職で機能しなくなるおそれがあります。
不備を見つけて原因を確認・是正する
評価の結果、不備が見つかった場合は、事実関係、原因、影響範囲を確認します。不備には、必要な統制が存在しない整備上の問題と、統制はあるものの実行されていない運用上の問題があります。
たとえば、承認ルールはあるものの承認記録が残されていない場合、証跡の保管方法やシステム設定に問題があるかもしれません。月次照合が行われていない場合は、人員不足、担当者の理解不足、締め日設定の不備など、原因を掘り下げる必要があります。
不備を発見したら、可能な限り期末までに是正し、是正後に統制が有効に機能したことを確認します。期末時点で未是正の不備は、金額的・質的な重要性を踏まえ、開示すべき重要な不備に該当するかを判断します。
監査法人と早期に連携する
監査法人との連携は、評価範囲の検討段階から始めることが重要です。評価対象の拠点、業務、システムについて、早期に考え方を共有しておくと、期末近くで大きな認識差が生じるリスクを抑えられます。
ただし、内部統制の整備や評価の責任は経営者にあります。監査法人に判断を委ねるのではなく、自社としての評価方針、リスク認識、対応策を整理したうえで協議する姿勢が必要です。
組織変更、新規事業、M&A、基幹システムの入替、海外展開などがあった場合は、評価範囲や統制に影響する可能性があります。重要な変化が生じた時点で監査法人に共有し、対応の方向性を確認することが有効です。
J-SOXで必要となる書類と報告・監査の流れ
業務記述書・フローチャート・リスクコントロールマトリクスの3点セット
J-SOX対応では、業務プロセスを可視化するために3点セットを作成することが一般的です。基準上、常に特定の様式での作成が義務付けられているわけではありませんが、評価と監査を円滑に進めるための重要な資料です。
業務記述書は、誰が、いつ、どの部署で、どのシステムや帳票を使い、どのような手続を行うかを文章で整理するものです。業務の詳細や担当者、承認者、証憑の保管場所などを明確にします。
フローチャートは、業務の流れを図で表すものです。部署間のやり取り、承認の流れ、システム処理、書類やデータの移動を視覚的に確認できます。業務の重複、承認漏れ、担当者への権限集中を見つける際にも役立ちます。
リスクコントロールマトリクスは、業務上のリスクと、それに対応する統制活動を一覧化する資料です。どのリスクに対して、誰が、何を確認し、どの証跡を残すのかを整理します。リスクと統制の対応関係に漏れがないかを確認するために重要です。
経営者による内部統制の評価と内部統制報告書の作成
経営者は、事業年度末を基準日として、財務報告に係る内部統制が有効かを評価します。評価の結果は内部統制報告書にまとめます。
内部統制報告書には、内部統制の基本的枠組み、評価の範囲、評価基準日、評価手続、評価結果、付記事項、特記事項などを記載します。評価範囲については、重要な事業拠点を選定した指標や割合、重要な勘定科目、個別に追加した業務プロセスなどを具体的に示すことが求められます。
評価の結果、財務報告に係る内部統制が有効でないと判断した場合は、その理由となる開示すべき重要な不備を適切に記載します。不備を隠すことではなく、適切に把握・評価・開示し、改善に取り組むことが重要です。
監査法人から監査証明を受ける流れ
内部統制報告書を作成した後、原則として監査法人または公認会計士による内部統制監査を受けます。監査人は、経営者の評価手続と評価結果を検討し、必要な監査手続を実施します。
監査人は、評価範囲の妥当性、全社的な内部統制の評価、業務プロセスの統制設計、運用の証跡、不備の評価、是正状況などを確認します。財務諸表監査で得た情報も活用しながら、内部統制報告書が適正に表示されているかについて意見を表明します。
内部統制監査と財務諸表監査は、原則として同一の監査人が一体的に実施します。そのため、決算監査で指摘された事項がJ-SOXの評価にも影響する場合があります。経理、内部監査、情報システム、事業部門が連携し、早めに対応することが重要です。
有価証券報告書とあわせた提出・公表
内部統制報告書は、有価証券報告書とあわせて提出します。提出された書類は、電子開示システムを通じて公表され、投資家などが閲覧できます。
内部統制報告書は、企業が財務報告の信頼性をどのように確保しているかを示す開示書類です。評価範囲や不備の内容が投資家の判断材料となるため、形式的な記載ではなく、自社の実態に基づく説明が求められます。
提出期限の管理も重要です。有価証券報告書と関連する書類の提出遅延は、法令上の問題だけでなく、上場会社としての信頼を損なうおそれがあります。
重要な不備がある場合の報告内容
開示すべき重要な不備とは、財務報告に重要な虚偽記載が発生する可能性が高い内部統制上の不備です。単なる軽微な手続漏れではなく、財務報告全体への影響を踏まえて判断します。
開示すべき重要な不備があった場合、内部統制報告書には、不備の内容、財務報告に与える影響、是正できなかった理由、今後の改善方針などを記載します。
重要な不備があること自体が直ちに虚偽記載や法令違反を意味するわけではありません。しかし、重要な不備があるにもかかわらず内部統制は有効であると評価したり、不備を報告書に記載しなかったりした場合は、大きな問題となります。
J-SOX対応で押さえたい改訂点と実務上の注意点
リスクに応じて評価範囲を決める考え方
2024年4月1日以後に開始する事業年度から、改訂された内部統制基準と実施基準が適用されています。改訂では、評価範囲を定量的な基準だけで機械的に決めず、リスクに応じて判断する考え方がより明確になりました。
従来から、重要な事業拠点の選定において連結売上高の概ね3分の2を一つの目安とする実務がありました。しかし、売上規模が小さくても、不正リスクが高い事業、新規取引、見積りの不確実性が高い勘定、非定型取引を扱う拠点などは、評価対象に追加する必要があります。
評価範囲を決める際は、選定に用いた指標、定量基準、質的な判断要素、対象外とした理由を記録しておくことが重要です。翌年度以降の見直しや監査人との協議にも役立ちます。
不正リスクへの対応強化
改訂では、不正リスクへの対応が明確に重視されています。不正は、単なるミスとは異なり、意図的に行われる可能性があります。そのため、通常の誤りを防ぐ統制だけでは十分でない場合があります。
特に注意すべきなのは、経営者や責任者が正規の承認手続を無効化するリスクです。経営者の指示で承認を省略する、売上計上時期を変更する、見積りを恣意的に操作するといった行為は、内部統制の実効性を大きく損ないます。
取締役会や監査役等による監督、内部監査の独立性、内部通報制度、経営者から独立した報告経路、職務分掌の明確化などを通じて、特定の人物に権限が集中しすぎない仕組みを整えることが重要です。
ITシステムや外部委託先の管理
クラウドサービス、外部委託、リモートワーク、システム連携の拡大により、ITに関する統制の重要性が高まっています。会計システムだけでなく、販売管理、購買管理、勤怠管理、経費精算、給与計算、データ連携基盤なども確認対象となり得ます。
IT全般統制では、利用者IDの発行・変更・削除、権限設定、特権IDの管理、プログラム変更時の承認、障害対応、バックアップ、ログ管理などを確認します。退職者のアカウントが残っている、必要以上の権限が付与されている、システム変更が承認なしに行われるといった状態は、重要なリスクになり得ます。
外部委託先を利用する場合は、委託業務の内容、責任分担、委託先の統制状況、障害時の対応、再委託の有無などを確認します。必要に応じて、委託先が提供する統制に関する報告書を活用しつつ、自社で行うべき確認手続を明確にします。
少人数の管理部門で体制を整えるポイント
IPO準備会社や成長企業では、経理、総務、法務、情報システムを少人数で担うことも少なくありません。少人数であっても、統制を諦めるのではなく、リスクに応じて役割分担とけん制を工夫することが重要です。
たとえば、経理担当者が支払申請、振込データ作成、会計記帳をすべて単独で完結させる状態は避ける必要があります。承認者を設ける、振込実行者を分ける、経営者または別担当者が定期的に銀行明細と帳簿を確認するなど、実行可能な代替統制を検討します。
また、すべてを新しい専門部署で担う必要はありません。既存の経理部門、内部監査部門、情報システム担当などを活用し、責任者とスケジュールを明確にする方法もあります。外部専門家を活用する場合でも、内部統制の整備・評価責任は経営者にある点を踏まえ、自社で判断できる体制を育てることが必要です。
虚偽記載や報告漏れが招くリスク
内部統制報告書を提出しない場合や、重要な事項について虚偽の記載をした場合には、金融商品取引法上の罰則の対象となる可能性があります。個人には5年以下の懲役または500万円以下の罰金、法人には5億円以下の罰金が科される可能性があります。
また、法的な制裁だけでなく、訂正報告書の提出、監査意見への影響、株価下落、金融機関や取引先からの信用低下、上場維持への懸念、採用や取引への悪影響など、事業上のリスクも大きくなります。
J-SOX対応で重要なのは、不備をゼロに見せることではありません。不備を適切に発見し、原因を分析し、必要な是正を行い、期末時点で未解消の重要な問題があれば正確に報告することです。経営者、取締役会、監査役等、内部監査、各事業部門、監査法人が連携し、継続的に改善する体制を整えることが、実効性あるJ-SOX対応につながります。
