「内部統制の担当に着任したものの、J-SOX対応を何から手を付ければよいのか分からない」——これは、初年度の対応担当者や、前任者から急に引き継いだ方から最も多く寄せられる悩みです。J-SOX（金融商品取引法に基づく内部統制報告制度）は、関連する文書の量が多く、専門用語も独特で、全体像をつかむまでに時間がかかります。さらに、評価には決められたサイクルがあるため、「気づいたときには時間が足りない」という状況にも陥りがちです。
この記事では、着任直後・初年度対応の担当者が、不安を最小限にしながら確実に着手するための手順を、チェックリスト形式で整理します。具体的には、(1)まず把握すべき自社の現状、(2)評価範囲とリスクの棚卸し、(3)全社的な内部統制と業務プロセス統制の整理、(4)前任者・監査法人からの引き継ぎポイント、(5)つまずきやすい論点と初年度の優先順位、(6)自社対応か専門家活用かの見極め——という流れで解説します。読み終えるころには、「今週、自分が最初に何をすべきか」が具体的に見えるはずです。
※本記事はJ-SOX（内部統制報告制度）の一般的な仕組みと進め方を整理したものです。評価範囲の決定基準や開示の細かな要件は改正や運用見直しが行われることがあります。最新の要件は、「財務報告に係る内部統制の評価及び監査の基準・実施基準」および自社の監査法人にご確認ください。
まず把握すべき自社の現状（既存文書・前年度評価結果）
J-SOX対応で最初にやるべきことは、新しい作業に着手することではありません。「自社が今、どこまでやっているのか」を正確に把握することです。J-SOXは多くの企業で複数年にわたって運用されており、前任者が積み上げてきた成果物が必ず存在します。それを無視してゼロから作り直すのは、時間の浪費であり、監査法人との認識のズレも生みます。
既存文書の所在と最新版を確認する
まず、過去の対応で作成された文書がどこに、どのバージョンで保管されているかを洗い出します。最低限、次の文書群の有無と最終更新日を確認しましょう。
- 3点セット：業務記述書、フローチャート（業務の流れ図）、リスク・コントロール・マトリクス（RCM）。業務プロセス統制を評価する際の基礎資料です。
- 全社的な内部統制の評価資料：チェックリストや評価調書、その根拠資料。
- 評価範囲の決定資料：どの拠点・どの勘定科目・どのプロセスを評価対象にしたかを示す資料。
- 不備管理の記録：過年度に検出された不備（開示すべき重要な不備を含む）とその是正状況の一覧。
- 内部統制報告書：実際に提出した報告書のデータファイル。
ここで重要なのは、「最新版がどれか」を確定させることです。フォルダに複数の版が混在していたり、個人のPCにしか最新版がなかったりするケースは珍しくありません。バージョン管理が曖昧なまま作業を進めると、古い記述に基づいて評価してしまう事故につながります。
前年度の評価結果から「弱点」を読み取る
過年度の評価結果は、自社の内部統制の「健康診断結果」です。特に次の点に注目してください。
- 検出された不備の内容と原因：同じ不備が複数年続いていないか。是正が「対応済み」とされていても、実際に運用が定着しているかは別問題です。
- 評価範囲の前提条件：前年度に「重要な事業拠点」「重要な勘定科目」をどう判断したか。事業の構成が変わっていれば、範囲も見直す必要があります。
- 監査法人からの指摘・コメント：監査の過程で受けた指摘事項や改善提案は、今年度の優先課題を示す貴重なヒントです。
チェックリスト：現状把握
- 3点セット（業務記述書・フローチャート・RCM）の最新版を特定した
- 全社的な内部統制の評価調書を確認した
- 前年度の評価範囲決定資料を入手した
- 過年度の不備一覧と是正状況を確認した
- 監査法人からの指摘事項リストを確認した
- 各文書の保管場所とアクセス権限を整理した
年間の作業全体がどう流れるのかをまだつかめていない場合は、評価プロセスを時系列で整理した記事もあわせてご覧ください(J-SOX対応の進め方｜年間スケジュールと評価プロセスを5ステップで整理)。
評価範囲とリスクの棚卸し
現状を把握できたら、次は「今年度、どこを評価するのか」を確定させる作業です。J-SOXでは、すべての業務を一律に評価するわけではなく、財務報告に重要な影響を及ぼす範囲に絞り込んで評価を行うのが基本的な考え方です。この絞り込みを「評価範囲の決定」と呼びます。
評価範囲は「重要性」で絞り込む
評価範囲は、財務報告に与える影響の大きさ（重要性）を基準に決めていきます。一般的には、次のような観点で対象を選びます。
- 重要な事業拠点の選定：連結ベースで売上高などの一定割合を占める拠点を対象にする考え方が用いられます。
- 重要な勘定科目に関連するプロセス：売上、売掛金、棚卸資産など、財務報告への影響が大きい勘定科目に関わる業務プロセスを選びます。
- 重要な虚偽記載のリスクが高い項目：見積りや経営者の関与度が高い項目、不正が起きやすい領域など、定量基準だけでは拾えないリスクも加味します。
※評価範囲の決定に用いる「一定割合」などの具体的な基準値は、制度の運用見直しによって変わることがあります。自社にあてはめる際は、必ず「財務報告に係る内部統制の評価及び監査の基準・実施基準」および自社の監査法人にご確認ください。
「前年度のまま」を疑う視点を持つ
着任直後の担当者がやりがちなのが、前年度の評価範囲をそのまま踏襲してしまうことです。しかし、次のような変化があった場合は、範囲の見直しが必要になります。
- M&Aや新規事業による拠点・取引の増加
- 事業撤退や子会社の整理による構成の変化
- 業務システムの入れ替えや業務プロセスの大幅な変更
- 組織再編による職務分掌・業務プロセスの変更
これらの変化を見落とすと、「評価すべき範囲を評価していなかった」という重大な漏れにつながります。前年度との差分を意識して棚卸しすることが、初年度担当者にとっての肝です。
チェックリスト：評価範囲とリスク
- 前年度の評価範囲と今年度の事業構成の差分を確認した
- 重要な事業拠点の選定根拠を整理した
- 重要な勘定科目とそれに関連するプロセスを洗い出した
- 見積り・不正リスクの高い領域を特定した
- 評価範囲の妥当性について監査法人と認識をすり合わせる予定を立てた
全社的な内部統制と業務プロセス統制の整理
J-SOXの評価対象は、大きく「全社的な内部統制」と「業務プロセスに係る内部統制」に分けられます。この2つの違いと関係を理解することが、評価作業を効率的に進める前提になります。
全社的な内部統制（全社統制）とは
全社的な内部統制は、企業全体に影響を及ぼす統制で、経営者の姿勢、組織体制、方針・規程、リスク評価の仕組み、モニタリング、IT統制の方針などが含まれます。いわば、会社全体の「土台」となる統制です。
全社統制の評価結果は、業務プロセス統制の評価範囲や深さにも影響します。全社統制が有効に機能していれば、業務プロセス統制の評価を一定程度簡素化できる場合があります。逆に、全社統制に弱点があると、より広く・より深い評価が求められることになります。だからこそ、全社統制の整理は早めに着手する価値があります。
業務プロセスに係る内部統制（業務処理統制）とは
業務プロセス統制は、個々の業務の流れの中に組み込まれた統制です。たとえば、受注から売上計上、請求、入金までの一連の流れの中で、「承認なしに出荷されない」「二重計上が防止される」といったコントロールが該当します。これを可視化したものが、前述の3点セット（業務記述書・フローチャート・RCM）です。
IT統制も忘れずに整理する
業務がシステムに依存している現在、IT全般統制（ITGC）とIT業務処理統制（ITAC）の整理も欠かせません。アクセス管理、変更管理、運用管理といったIT全般統制が機能していないと、システムに組み込まれた自動化された統制（自動コントロール）の信頼性が揺らぎます。クラウドサービスやSaaSの利用が増えている企業では、委託先の統制をどう確認するかも論点になります。
チェックリスト：統制の整理
- 全社的な内部統制の評価項目を一覧化した
- 全社統制の評価結果が業務プロセス評価に与える影響を理解した
- 主要な業務プロセスの3点セットを最新の業務実態と照合した
- IT全般統制（アクセス・変更・運用管理）の対象システムを把握した
- 委託先（クラウド・外部サービス）の統制確認方法を確認した
全社統制・業務プロセス統制と内部監査の役割の違いについては、体制づくりの観点から整理した記事もあわせて参考になります(J-SOXと内部監査の違い・関係｜役割分担と体制構築のポイント)。
前任者・監査法人からの引き継ぎポイント
J-SOX対応は「文書を読めば全部分かる」というものではありません。実際には、文書には残っていない判断の背景や、監査法人とのやり取りの経緯といった暗黙知が、対応の質を大きく左右します。着任時には、この暗黙知のキャッチアップも欠かせません。
前任者からヒアリングすべきこと
前任者がまだ社内にいるうちに、次の点を必ず確認しておきましょう。内部統制担当部署で引継ぎフォーマットが整備されているとも限りませんので、主体的に、漏れの無いよう確認することが重要です。
- 各統制の「なぜそうしているか」：その統制を設定した背景、過去のトラブルとの関係。
- 評価範囲を決めた際の判断の根拠：なぜその拠点・科目を選び、何を除外したのか。
- 不備是正の途中経過：是正中の項目はどこまで進んでいて、誰がボールを持っているか。
- 現場との関係性：どの部署の協力が得やすく、どこに調整の難しさがあるか。プロセスオーナーとの調整・合意した内容。
- スケジュール上の「効かせどころ」：いつまでに何を終えないと後工程が詰まるか。
前任者が既に退職しているなど、ヒアリングが難しいケースもあります。その場合は、過年度の調書のコメント欄やメールのやり取りから経緯を読み解く、あるいは監査法人に確認するという代替手段を取ります。
監査法人との関係を引き継ぐ
J-SOXでは、自社（経営者）が内部統制を評価する一方で、監査法人がその評価について監査（内部統制監査）を行います。両者は独立した立場ですが、円滑なコミュニケーションが対応の効率を大きく左右します。着任時には次の点を確認しましょう。
- 窓口担当者と連絡体制：監査法人側の主担当は誰か、定例的なミーティングの有無。
- 過年度の論点と合意事項：評価範囲や評価方法について、過去にどのような合意があったか。
- 今年度の監査スケジュール：監査法人がいつ、どの資料を必要とするか。
なお、当社（RSM汐留パートナーズ）は大手監査法人対応の実務知見を活かし、監査法人とのやり取りで論点になりやすいポイントを踏まえた整備・評価の支援が可能です。
チェックリスト：引き継ぎ
- 前任者から各統制の設定背景をヒアリングした
- 評価範囲決定の判断根拠を確認した
- 是正中の不備の進捗と担当者を把握した
- 監査法人の窓口担当と連絡体制を確認した
- 過年度の監査での合意事項・論点を確認した
- 今年度の監査スケジュールと必要資料を把握した
つまずきやすい論点と初年度の優先順位
ここまでの準備が整ったら、実際の評価作業に入ります。初年度担当者がつまずきやすいポイントをあらかじめ知っておくことで、手戻りを大きく減らせます。
よくあるつまずき(1)：文書と実態の乖離
3点セットが過去に作られたまま更新されておらず、現在の業務実態と食い違っているケースは非常に多く見られます。担当者が変わったり、システムが入れ替わったりしても文書が更新されていないと、評価のときに「文書どおりに業務が回っていない」という状況が発覚します。評価に入る前に、文書と現場の実態を突き合わせる「ウォークスルー」を行うことが有効です。
よくあるつまずき(2)：サンプリングと証憑収集の遅れ
運用状況の評価では、一定件数のサンプルを抽出して証憑（証拠書類）を確認します。ここで、対象の証憑が現場に散在していたり、電子化されておらず探すのに時間がかかったりして、スケジュールが圧迫されがちです。どの統制でどんな証憑が必要かを早めにリスト化し、現場に依頼をかけておくことが重要です。あわせて、前年度に母集団（評価対象の取引・事象の全体）をどう定義し、どんな方法でサンプルを抽出したかも引き継いでおくと、毎年の手戻りを防げます。
よくあるつまずき(3)：不備評価の判断に迷う
検出した事象が「不備」に当たるのか、当たるとして「開示すべき重要な不備」なのか、その評価判断は経験を要します。判断を誤ると、開示の妥当性そのものに影響します。判断に迷う場合は、自己流で結論を出さず、監査法人や外部専門家の見解を早期に求めるべき領域です。
よくあるつまずき(4)：スケジュールの後ろ倒し
期末日近くにまとめて評価しようとすると、不備が見つかったときに是正と再評価をする時間が残りません。整備状況の評価は早めに、運用状況の評価は期中から計画的に進めることで、是正の余地を確保できます。
初年度の優先順位の付け方
すべてを完璧にこなそうとすると、初年度担当者は時間切れになりがちです。優先順位は次のように考えると整理しやすくなります。
- 評価範囲の確定と監査法人との合意：これがずれると、後の作業がすべて無駄になり得るため最優先。
- 過年度の不備の是正状況の確認：未是正の不備は今年度の評価結果に直結します。
- 全社的な内部統制の評価：業務プロセス評価の範囲・深さに影響するため早めに。
- 重要度の高い業務プロセスのウォークスルーと整備評価：文書と実態の乖離を先に潰す。
- 運用状況の評価（証憑収集・サンプリング）：期中から計画的に着手。
チェックリスト：初年度の進め方
- 主要プロセスのウォークスルーを計画した
- 統制ごとに必要な証憑をリスト化し現場に依頼した
- 不備評価の判断に迷う領域を洗い出した
- 整備評価を早期に、運用評価を期中から行う計画を立てた
- 評価範囲の合意を最優先タスクに設定した
自社対応か専門家活用かの見極め
ここまでの手順を見て、「自社のリソースだけで回せるだろうか」と不安を感じた方も多いはずです。J-SOX対応は、専門知識・経験・工数のすべてを要するため、すべてを自社で抱え込むことが最善とは限りません。最後に、自社対応と専門家活用をどう見極めるかを整理します。
自社対応が向いているケース
- 過年度の対応が安定して運用されており、文書・体制が整っている
- 社内に内部統制の知見を持つ人材が複数おり、属人化していない
- 事業構成の変化が小さく、評価範囲の見直しが限定的
このような場合は、自社で運用しつつ、必要なときだけスポットで外部に相談する形が合理的です。
専門家の活用を検討すべきケース
- 着任したばかりで知見がなく、前任者からの引き継ぎも不十分
- 過年度に不備が検出されており、是正と再構築が必要
- M&AやIPO準備など、事業環境が大きく変化している
- 評価工数が逼迫し、本来の業務に支障が出ている
- 評価作業がExcel中心で属人化し、毎年の負荷が下がらない
専門家活用の3つの形
専門家の関与には、関与の深さに応じて主に次の形があります。
- アウトソース：評価作業の大部分を外部に委託する。社内リソースが限られる場合に有効です。
- コソース（共同対応）：自社担当者と専門家が役割分担しながら共同で進める。ノウハウを社内に残しながら負荷を下げられます。
- 構築・改善支援（スポット）：文書整備、評価範囲の見直し、不備是正など、特定の課題に絞って支援を受ける。
どの形が適しているかは、自社の体制や課題によって変わります。委託範囲やメリットの詳細は、別記事で整理しています(内部統制のアウトソース・コソースとは？委託範囲とメリット・選び方)。
費用は「何で決まるか」で考える
専門家の活用を検討する際、費用が気になるのは当然です。ただし、J-SOX対応の費用は、評価範囲の広さ、拠点数、プロセスの複雑さ、文書の整備状況、関与の深さ（アウトソース／コソース／スポット）など、複数の要因で変動します。一律の金額で語れるものではありません。「いくらかかるか」を先に決めるのではなく、「何が費用を構成しているか」を理解したうえで、自社に必要な範囲を見極めることが大切です。費用の構成要素と内製・アウトソースのコストの考え方は、別記事で詳しく解説しています(J-SOX対応の費用の考え方｜内製・アウトソースのコストを構成する要素)。
具体的な見積もりが必要な場合は、自社の状況を整理したうえで、専門家への相談・資料請求をご検討ください。
効率化・DXという選択肢も
「毎年の評価工数が下がらない」「Excel中心で属人化している」という課題には、評価業務そのものを効率化するアプローチも有効です。たとえばPower BIなどのツールを活用してデータドリブンに評価・モニタリングを行うことで、工数削減とモニタリングの高度化を両立できる場合があります。詳しくは別記事をご覧ください(内部統制のDX・効率化｜Power BI活用で評価工数を削減しモニタリングを高度化する方法)。
チェックリスト：見極め
- 自社のリソースと知見の状況を客観的に評価した
- 過年度の不備・事業変化の有無を確認した
- アウトソース／コソース／スポットのどれが合うか検討した
- 費用を「構成要素」で理解し、必要範囲を見極めた
- 効率化・DXの余地があるか検討した
まとめ
J-SOX対応を「何から始めるか」で迷ったら、以下の順序で着手するのが確実です。
- 現状把握：既存文書と前年度評価結果を確認し、自社の到達点を知る。
- 評価範囲とリスクの棚卸し：前年度との差分を意識して、今年度の対象を確定する。
- 統制の整理：全社的な内部統制と業務プロセス統制、IT統制を体系的に整理する。
- 引き継ぎ：前任者と監査法人から、文書に残らない暗黙知を吸収する。
- 優先順位づけ：評価範囲の合意を最優先に、整備評価を早期に進める。
- 見極め：自社対応か専門家活用か、自社の体制と課題に応じて判断する。
初年度の担当者にとって、最大のリスクは「全体像が見えないまま時間だけが過ぎること」です。本記事のチェックリストを使って、まずは現状把握から一歩を踏み出してください。
なお、最新の評価範囲の基準や開示要件は改正・運用見直しが行われることがあります。判断に迷う論点は、公式情報の確認とあわせて、監査法人や外部専門家の見解を早めに求めることをおすすめします。
J-SOX対応にお悩みなら、RSM汐留パートナーズへ
RSM汐留パートナーズは、内部統制の整備・評価・改善を伴走型で支援しています。大手監査法人対応の実務知見を活かし、着任初年度の現状把握から評価範囲の見直し、不備の是正、評価業務の効率化まで、自社の状況に応じた支援を提供します。アウトソース・コソース・スポット支援のいずれにも対応可能です。
「何から始めればよいか分からない」という段階でのご相談も歓迎します。まずはお気軽にお問い合わせ・資料請求ください。J-SOX（内部統制報告制度対応）支援サービスの詳細はこちら。
内部管理体制の構築やIPO準備の文脈でJ-SOX対応を検討している方は、上場準備支援のサービスもあわせてご覧ください。
