内部統制とは？目的・構成要素からJ-SOXの評価までを分かりやすく解説

内部統制は、単なる「J-SOX対応」という守りの義務ではありません。企業の不正を防ぎ、業務の効率性を高め、社会的な信頼を獲得するための、攻めの経営基盤です。本記事では、内部統制の本質を基礎から解き明かし、形骸化させないための実践的な知識を、総務・内部監査の責任者様にご提供します。

「内部統制の評価、今年もこの季節か…」

「現場からは『監査対応の負担が大きい』という声が聞こえてくる…」

「正直、”義務だから仕方なくやっている”という『やらされ感』が否めない」

総務部門や内部監査部門の責任者として、このような課題意識をお持ちではないでしょうか。

内部統制は、2008年に金融商品取引法（通称：J-SOX法）が上場企業に義務付けて以来、多くの企業で取り組まれてきました。しかし、その本質的な価値が十分に理解されないまま、「監査を乗り切るための形式的な作業」と化してしまっているケースは少なくありません。

しかし、内部統制の目的は、不正やミスが発生しない環境をつくり、その健全性を株主や顧客、取引先といったステークホルダーに証明することにあります。これは、上場・非上場を問わず、社会において事業を営む全ての企業にとって普遍的な価値を持つ活動です。

では、なぜこれほどまでに「やらされ感」が強いのでしょうか。その根本原因は、内部統制の仕組みを動かす実行負担の重さにあります。

課題	背景
実行負担の重さ	日本の商習慣に深く根差した「ハンコ、文書、稟議」を中心としたアナログな承認プロセスは、統制を維持・証明するための膨大な手間と時間を現場に強いる。
「やらされ感」の蔓延	本来の目的が見失われ、「義務だから」「監査のためだから」という意識が強まり、形式的な対応に終始してしまう。
内部統制の形骸化	現場の協力が得られにくくなり、ルールが実態と乖離。結果として、不正やミスを防ぐという本来の機能が失われる。

本記事では、この「やらされ感」の悪循環を断ち切り、内部統制をコストから戦略的投資へと転換するための道筋を示します。その鍵となるのが、ワークフローと文書管理を一体化させ、統制の実行負担を劇的に軽減する「統合型文書統制基盤」という考え方です。

内部統制の基礎である「4つの目的」と「6つの基本的要素」から、J-SOX対応の実務、DX時代のIT統制、そして文書管理の重要性まで、責任者として押さえるべき全知識を網羅的に解説します。この記事が、貴社の内部統制を「形骸化した義務」から「企業価値を高める攻めの経営基盤」へと進化させる一助となれば幸いです。

第1章：内部統制とは何か？企業の健全な成長を支える4つの目的

【概要】

内部統制とは、企業が健全に事業活動を遂行するための「社内のルールや仕組み」全般を指します。金融庁は、その目的を「業務の有効性及び効率性」「財務報告の信頼性」「法令等の遵守」「資産の保全」の4つに整理しており、これらを達成することが企業の持続的成長の基盤となります。

内部統制と聞くと、多くの方がJ-SOX法や不正防止といった側面をイメージされるかもしれません。しかし、その本質はもっと広く、企業経営そのものを支える仕組みです。金融庁の「財務報告に係る内部統制の評価及び監査の基準」では、内部統制を「基本的に、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全という4つの目的が達成されるように、組織の内部に設けられ、運用されるプロセス」と定義しています。

これら4つの目的は独立しているのではなく、相互に密接に関連し合っています。

目的	業務の有効性及び効率性	財務報告の信頼性	法令等の遵守	資産の保全
業務の有効性及び効率性	–	効率的なプロセスは正確な財務報告の基礎となる	効率化が法令遵守を無視してはならない	効率的な資産管理は資産保全に繋がる
財務報告の信頼性	信頼できる財務情報は効率的な経営判断を可能にする	–	正確な会計処理は税法等の遵守に不可欠	資産の実態を正確に反映する必要がある
法令等の遵守	法令遵守は円滑な事業活動の前提条件	法令違反による罰金等は財務に影響を与える	–	知的財産権の保護など資産保全に寄与
資産の保全	資産の不正利用や無駄を防ぎ効率性を高める	資産の増減は財務報告に正しく反映されるべき	横領等の犯罪行為を防ぐ	–

目的①：業務の有効性及び効率性

これは、事業活動の目的を達成するために、時間や人員、コストといった資源を無駄なく活用することを目指すものです。単に「速く、安く」という効率性だけでなく、事業目標の達成に貢献しているかという「有効性」の観点が重要です。

• 業務への影響： 例えば、明確な承認ルール（職務権限規程）がなければ、担当者ごとに判断が異なり、手戻りや確認作業で多くの時間が浪費されます。これは効率性の低下です。さらに、その混乱によって重要な意思決定が遅れ、ビジネスチャンスを逃せば、有効性も損なわれます。逆に、業務マニュアルが整備されていれば、担当者が変わっても業務品質を維持でき（有効性）、新人教育も効率的に進められます（効率性）。

目的②：財務報告の信頼性

決算書や財務諸表といった、企業の財政状態や経営成績を示す情報が、偽りなく正確に作成・開示されることを保証するものです。これは、J-SOX法が最も重視する目的であり、投資家保護の根幹をなします。

• 業務への影響： 例えば、売上計上ルールが明確で、請求書発行から入金確認までのプロセスが適切に管理されていなければ、意図せずとも誤った財務情報が作成されるリスクがあります。これは、投資家や金融機関からの信頼を失い、資金調達などに深刻な影響を及ぼしかねません。信頼性のない財務報告は、経営者自身にも誤った経営判断を下させる危険性をはらんでいます。

目的③：事業活動に関わる法令等の遵守（コンプライアンス）

会社法、金融商品取引法、労働基準法、個人情報保護法といった法律や、定款、社内規程などのルールを守って事業活動を行うことを指します。

• 業務への影響： 法令遵守は、もはや企業の存続を左右する最重要課題です。例えば、適切な契約書のレビュープロセスがなければ、自社に不利な契約を結んでしまったり、法規制に違反してしまったりする可能性があります。コンプライアンス違反は、行政処分や訴訟だけでなく、企業のブランドイメージを大きく毀損し、顧客や取引先、優秀な人材の流出にもつながります。

目的④：資産の保全

企業の資産（現金、在庫、有形固定資産、知的財産、情報など）が、正当な手続きなく取得、使用、処分されることを防ぐものです。

• 業務への影響： 在庫の管理ルールが曖昧であれば、盗難や紛失のリスクが高まります。また、現代では顧客情報や技術情報といった**「情報資産」**の重要性が増しています。これらの情報へのアクセス権限を適切に管理しなければ、情報漏洩という重大なインシデントにつながり、企業の競争力や信頼性に致命的なダメージを与えます。有形資産だけでなく、無形資産の保全も極めて重要です。

【この章のまとめ】内部統制の4つの目的と具体例

目的	WHAT：何を目指すか？	HOW：どのように実現するか？（具体例）
業務の有効性及び効率性	事業目標を無駄なく達成する	業務マニュアルの整備、職務権限規程の明確化、KPI設定と進捗管理
財務報告の信頼性	正確な決算書を作成・開示する	経理規程の遵守、月次決算プロセスの標準化、勘定科目の残高照合
法令等の遵守	法律や社内ルールを守る	契約書法務レビューの徹底、コンプライアンス研修の実施、内部通報制度の運用
資産の保全	会社の資産を不正や盗難から守る	在庫の実地棚卸、固定資産台帳の整備、情報資産へのアクセス権限管理

第2章：内部統制を機能させる6つの基本的要素

【概要】

4つの目的を達成するために、内部統制は「統制環境」「リスクの評価と対応」「統制活動」「情報と伝達」「モニタリング」「ITへの対応」という6つの基本的要素から構成されます。これらは、家を建てる際の土台や柱、屋根のように、相互に連携して内部統制というシステム全体を支えています。

金融庁は、内部統制が有効に機能するために必要な構成要素として、以下の6つを挙げています。これらはピラミッドのような階層構造になっており、特に土台となる「統制環境」が最も重要とされています。

階層	要素	役割
屋根	モニタリング	内部統制が有効に機能しているかを継続的に監視・評価するプロセス。
柱	情報と伝達	必要な情報が組織内外の関係者に正しく、タイムリーに伝えられることを確保する仕組み。
柱	統制活動	経営者の方針や指示が確実に実行されることを保証するための具体的な方針および手続き。
床	リスクの評価と対応	組織目標の達成を阻害する要因（リスク）を識別・分析・評価し、適切な対応策を講じるプロセス。
基礎	統制環境	組織の気風を決定し、構成員全員の統制に対する意識に影響を与える、他のすべての要素の基礎。
全体	ITへの対応	業務や統制活動がITに依存していることを踏まえ、IT利用に伴うリスクに適切に対応すること。

要素①：統制環境

統制環境とは、組織の気風を決定し、従業員の統制に対する意識に影響を与える、すべての要素の基礎です。組織のDNAとも言えます。

• 具体的には：

• 経営者の誠実性や倫理観、経営方針
• 取締役会や監査役の監督機能
• 明確な組織構造や職務権限の割当て
• 人材育成の方針や人事評価制度

経営者がコンプライアンスを軽視するような言動をしていれば、どんなに立派なルール（統制活動）を作っても現場には浸透しません。不適切な人事評価制度が過度なプレッシャーを生めば、不正のリスクを高めます。統制環境は、内部統制全体の成否を左右する最も重要な土台です。

要素②：リスクの評価と対応

組織の目標達成を阻害する要因（リスク）を識別・分析・評価し、そのリスクに対して適切な対応策を選択する一連のプロセスです。

• 具体的には：

• 全社的なリスクの識別（例：市場の変動、災害、地政学的リスク）
• 業務プロセスに潜むリスクの識別（例：不正な発注、計算ミス、情報漏洩）
• リスクの大きさ（影響度・発生可能性）の評価と優先順位付け
• リスクへの対応策（低減、回避、移転、受容）の決定

例えば、「売上を過大計上する」というリスクを識別し、その影響度と発生可能性が高いと評価した上で、それに対して「上長の承認と経理部門のチェック」というリスク低減策（統制活動）を講じることがこれにあたります。

要素③：統制活動

経営者の命令や指示が適切に実行されることを確保するために定められる方針や手続きです。リスクを低減するための具体的なアクションと言えます。

• 具体的には：

• 権限の付与や職務の分掌（例：申請者と承認者を分ける、取引記録担当と資産管理担当を分ける）
• 承認、検証、照合などの手続き
• 資産の実地棚卸や残高確認
• 継続的な教育や研修

【深掘り解説】統制活動の基本：「4-Eyed Principle（四眼の原則）」

内部統制、特に統制活動を語る上で欠かせない基本原則が「4-Eyed Principle（四眼の原則）」です。これは、「一つの業務や取引は、必ず二人以上の担当者によってチェックされるべき」という考え方です。つまり、実行担当者の目（2つの眼）だけでなく、別の検証担当者の目（2つの眼）、合計4つの眼で確認することで、ミスや不正を防止しようとするものです。

これは、より大きな概念である「職務の分掌（Segregation of Duties）」を具体的に実践する手法の一つと位置づけられます。

項目	解説
定義	一つの業務プロセスを、実行担当者と承認・検証担当者に分離し、必ず二人以上が関与する仕組み。
目的	① 意図しないミスの防止： 第三者の客観的な視点が入ることで、入力ミスや計算間違いなどを発見しやすくなる。② 意図的な不正の抑止： 一人で業務を完結させられないため、不正行為が困難になる。また、「見られている」という意識が不正の抑止力として働く。
具体例	・経理業務： 担当者が支払伝票を作成し、上長が内容を検証して承認する。・銀行業務： 窓口担当者が処理した伝票を、後方の別の担当者が再度確認する。・システム開発： プログラマーが作成したコードを、別のプログラマーがレビュー（コードレビュー）する。
ITによる実現	ワークフローシステムは、この「4-Eyed Principle」をシステム的に強制する上で極めて有効です。申請者が起票した申請書は、あらかじめ設定された承認ルートに基づき、自動的に承認者へ回付されます。これにより、承認漏れや、権限のない者による承認といった事態を構造的に防ぐことができます。

要素④：情報と伝達

必要な情報が識別・把握され、組織内外の関係者に正しく、タイムリーに伝えられることを確保する仕組みです。

• 具体的には：

• 正確な情報が生成され、関係者に伝わる仕組み（例：会計システム、社内通達、議事録）
• 従業員が職務遂行に必要な情報（規程、マニュアル等）にいつでもアクセスできる環境
• 内部通報制度（ヘルプライン）など、不正や問題を報告できるルートの確保と、その実効性

情報が正確に伝わらなければ、適切な意思決定はできません。組織の神経系統ともいえる重要な要素です。

要素⑤：モニタリング（監視活動）

内部統制が有効に機能していることを継続的に評価するプロセスです。日常的なモニタリングと、独立した立場からの評価（内部監査など）に分けられます。

• 具体的には：

• 日常的モニタリング： 上長による部下の業務の監督、経理部門による伝票のチェックなど、通常の業務プロセスに組み込まれた監視活動。
• 独立的評価： 業務プロセスから独立した内部監査部門などが、客観的な視点で内部統制の有効性を評価する活動。

モニタリングによって統制の不備を発見し、是正することで、内部統制の有効性を維持・向上させることができます（PDCAサイクル）。

要素⑥：ITへの対応

業務や統制活動の多くがITシステムに依存している現代において、ITを有効かつ効率的に活用し、ITに伴うリスクに適切に対応することです。

• 具体的には：

• IT戦略や開発計画の策定
• IT全般統制（ITGC）： システムの開発・運用、アクセス管理、セキュリティなど、IT環境全体を対象とする統制
• IT業務処理統制（ITAC）： 業務プロセスに組み込まれたITシステムによる自動化された統制（例：入力データの自動チェック）

DXの進展に伴い、この「ITへの対応」の重要性はますます高まっています。詳細については第5章で解説します。

【この章のまとめ】内部統制の6つの基本的要素

要素	役割	キーワード
統制環境	すべての土台となる、組織の気風や文化	誠実性、倫理観、経営者の姿勢、取締役会の監督
リスクの評価と対応	目標達成を阻害するリスクを特定し、対処法を決める	リスクの識別・分析・評価、リスク対応策
統制活動	リスクを低減するための具体的なアクション	承認、検証、職務分掌、4-Eyed Principle
情報と伝達	必要な情報を正確かつタイムリーに伝える仕組み	情報共有、コミュニケーション、内部通報、説明責任
モニタリング	内部統制が機能しているかを継続的に監視・評価する	日常的監視、内部監査、不備の是正、PDCA
ITへの対応	ITを有効活用し、ITリスクに適切に対応する	IT全般統制（ITGC）、IT業務処理統制（ITAC）

第3章：会社法と金融商品取引法（J-SOX）における内部統制の位置づけ

【概要】

日本の内部統制は、主に「会社法」と「金融商品取引法（J-SOX）」という2つの法律で規律されています。会社法は全社的な業務の適正性を、J-SOXは特に財務報告の信頼性を求めるものであり、両者の目的と対象範囲の違いを理解することが重要です。

企業が整備すべき内部統制は、主に2つの法律によって求められています。総務・監査部門の責任者としては、これらの違いと関係性を正確に理解しておく必要があります。

会社法における内部統制

会社法では、大会社（資本金5億円以上または負債総額200億円以上）に対して、取締役会が「業務の適正を確保するための体制（＝内部統制システム）」を整備することを義務付けています（会社法第362条第4項第6号）。

• 目的： 財務報告に限定されず、コンプライアンス、リスク管理、効率的な職務執行など、企業グループ全体の業務の適正性を確保することが目的です。これは、前述した内部統制の4つの目的すべてを包含する、より広範なコーポレート・ガバナンス体制を指します。
• 特徴： 整備すべき具体的な内容は法律で細かく定められておらず、各社の事業内容やリスクに応じて自主的に設計することが求められます。しかし、取締役会はその整備内容を決定し、事業報告で開示する義務を負います。もし体制に不備があり損害が生じた場合、取締役の善管注意義務違反が問われる可能性があります。

金融商品取引法における内部統制（J-SOX）

金融商品取引法では、すべての上場企業に対して、「財務報告に係る内部統制」の有効性を経営者自らが評価し、その結果を「内部統制報告書」として公表することを義務付けています（金融商品取引法第24条の4の4）。これが一般にJ-SOX（日本版SOX法）と呼ばれる制度です。

• 目的： 内部統制の4つの目的のうち、特に「財務報告の信頼性」の確保に焦点を当てています。2000年代初頭に米国でエンロン事件などの大規模な粉飾決算が相次いだことを受け、投資家保護の観点から、企業の決算書が信頼できるものであることを保証するために導入されました。
• 特徴： 経営者による評価と、その評価結果に対する公認会計士または監査法人の監査が義務付けられています。評価の方法についても、金融庁が詳細な実施基準を公表しており、それに準拠する必要があります。内部統制報告書に虚偽記載があった場合には、罰則も定められています。

【この章のまとめ】会社法とJ-SOXの比較

	会社法に基づく内部統制	金融商品取引法に基づく内部統制（J-SOX）
根拠法	会社法	金融商品取引法
対象企業	大会社	すべての上場企業
主たる目的	業務全般の適正性の確保（広範なガバナンス）	財務報告の信頼性の確保（投資家保護）
対象範囲	企業グループ全体の業務	財務報告に関連する業務プロセス
義務の内容	体制の整備・運用、事業報告での開示	体制の整備・運用、経営者による評価、内部統制報告書の提出、外部監査
罰則	直接的な罰則はないが、役員の善管注意義務違反が問われる可能性	内部統制報告書の虚偽記載等には罰則あり

この2つは別物ではなく、J-SOXで求められる「財務報告に係る内部統制」は、会社法が求める広範な「内部統制システム」の重要な一部と位置づけられます。したがって、J-SOXへの対応を適切に行うことは、結果として会社法が求める体制整備にも繋がります。両者は車の両輪のような関係にあると理解することが重要です。

第4章：J-SOX対応の実務：評価範囲の決定から評価・報告までの流れ

【概要】

J-SOX対応の実務は、①評価範囲の決定、②業務プロセスの文書化（3点セット作成）、③整備・運用状況の評価、④不備の是正と報告、という流れで進められます。特に、業務を可視化する「3点セット」の作成は、統制評価の土台となる極めて重要なプロセスです。

上場企業の責任者にとって、J-SOX対応は避けて通れない重要な業務です。ここでは、その実務的な流れをステップごとに、より詳細に解説します。

J-SOX対応の年間スケジュール（例）

フェーズ	主な活動	時期の目安（3月期決算企業）
計画・評価	評価範囲の決定	4月
	3点セットの更新	5月～6月
	整備状況の評価（ウォークスルー）	7月
	運用状況の評価（サンプリングテスト）	8月～10月
是正・報告	不備の評価と是正	11月～翌年3月
	経営者による最終評価	4月
	内部統制報告書の作成・監査	5月～6月

ステップ1：評価範囲の決定

まず、内部統制を評価する対象を絞り込むことから始めます。全社のすべての業務を評価するのは非効率なため、財務報告に与える影響の重要性を考慮して範囲を決定します。

1. 全社的な内部統制の評価： これは範囲の絞り込みなく、全社を対象とします。前述の「統制環境」や「リスクの評価と対応」といった、個別の業務プロセスを超えた全社レベルの仕組みが評価対象です。
2. 決算・財務報告プロセスの評価： 決算書の作成に関わる重要なプロセス（例：固定資産の減損判定、引当金の計上など）を評価対象とします。
3. 業務プロセスの評価範囲の選定：

• 量的側面： 売上高など金額的なインパクトが大きい事業拠点を選定します。（一般的に連結売上高の概ね2/3に達するまで、上位から拠点を選定）
• 質的側面： 金額は小さくても、不正や誤謬のリスクが高い業務（例：複雑なデリバティブ取引、重要な見積もりが介在する業務）や、新規事業、内部統制に重要な変更があった拠点などを評価対象に加えます。

ステップ2：業務プロセスの文書化（3点セットの作成）

評価対象となった業務プロセスについて、その内容を客観的に把握・評価できるように文書化します。この際に作成されるのが、通称「3点セット」と呼ばれる文書群です。

文書名	目的	主要な内容
① 業務記述書	業務プロセスの詳細な手順を文章で明確化する	5W1Hに基づいた業務の目的、範囲、具体的な作業手順、担当者、使用システムなどを記述
② フローチャート	業務の流れ全体を視覚的に把握する	業務記述書の内容を図式化。業務の流れ、部門間の連携、書類やデータの動き、承認ポイントなどを記号で表現
③ RCM	業務上のリスクと、それに対応する統制の関係を明確にし、評価可能にする	識別されたリスク、コントロールの内容、コントロールの目的（アサーション）、評価手続などを一覧化

これらの作成は手間がかかりますが、業務の標準化や属人化の排除にも繋がり、業務改善のきっかけにもなります。

【関連クラスタ記事】

• 3点セット作成の具体的な効率化手法や、ワークフローシステムの活用については、こちらの記事で詳しく解説しています。
  → ワークフローで実現するJ-SOX対応｜3点セット作成を効率化するポイント
• 文書化が進まない背景にある「属人化」の問題とその解決策については、こちらの記事が参考になります。
  → 業務の属人化はなぜ問題？AI時代のナレッジ共有とワークフロー活用術

ステップ3：内部統制の整備・運用状況の評価

文書化された統制（コントロール）が、設計通りに構築され（整備状況）、継続的に実施されているか（運用状況）を評価します。

• 整備状況の評価： 設計されたコントロールが、リスクを低減するために有効かどうかを評価します。主に、ウォークスルー（一件の取引を最初から最後まで追跡する手法）を通じて、関係者への質問や関連文書の閲覧によって行われます。
• 運用状況の評価： 設計されたコントロールが、実際にそのルール通りに運用されているかをテストします。サンプリング（複数の取引から一部を抽出）により、承認記録の有無などを検証します。監査法人が定めたサンプル件数を満たす必要があります。

ステップ4：不備の是正と報告

評価の結果、内部統制に不備が発見された場合は、その重要性を判断し、是正措置を講じます。

• 不備の重要性の判断： 発見された不備が、財務報告に与える影響の大きさ（金額的・質的）を評価します。「不備」は、「重要な不備」と「開示すべき重要な不備」に分類され、後者に該当するかどうかを判断する重要なプロセスです。
• 是正措置： 不備の原因を分析し、再発防止策を策定・実施します。
• 経営者による評価と報告： 期末日までに「開示すべき重要な不備」が是正されなかった場合、経営者は「内部統制は有効ではない」と結論付け、その内容を内部統制報告書に記載して開示する必要があります。この報告書は、公認会計士または監査法人の監査を受けた上で、有価証券報告書と共に内閣総理大臣に提出されます。

【この章のまとめ】J-SOX対応の実務フロー

ステップ	主な活動内容	重要ポイント
1. 評価範囲の決定	財務報告への影響度（量的・質的）に基づき、評価対象の事業拠点・業務プロセスを絞り込む。	効率性と網羅性のバランスが重要。決定の根拠を明確に文書化する。
2. 文書化（3点セット）	業務記述書、フローチャート、RCMを作成し、業務とリスク、統制を可視化する。	評価の土台となる客観的な証拠を作成する。3文書間の整合性を確保する。
3. 整備・運用状況の評価	設計された統制が有効か（整備）、ルール通り実施されているか（運用）をテストする。	ウォークスルー、サンプリングテストなどを実施。テストの結果を記録する。
4. 不備の是正と報告	発見された不備の重要性を判断し、是正する。最終的な評価結果を内部統制報告書として公表する。	「開示すべき重要な不備」の判断が鍵。監査法人との協議が不可欠。

第5章：DX時代の必須知識！IT統制の重要性と評価のポイント

【概要】

現代の企業活動はITシステムなしには成り立ちません。そのため、ITシステム自体やその利用に関する統制（IT統制）は、内部統制の有効性を左右する極めて重要な要素です。IT統制は、IT環境全体を対象とする「IT全般統制」と、個別の業務に組み込まれた「IT業務処理統制」に大別されます。

会計システム、販売管理システム、ワークフローシステムなど、企業の基幹業務の多くはITシステムによって支えられています。もしこれらのシステムに欠陥があったり、不正に利用されたりすれば、内部統制全体が機能不全に陥る可能性があります。

そこで重要になるのが、内部統制の6つの基本的要素の一つである「ITへの対応」、すなわちIT統制です。IT統制は、大きく2つに分類されます。

1. IT全般統制（ITGC: IT General Controls）

IT全般統制は、IT環境全体が信頼できるものであることを保証するための、広範な方針や手続きです。個別の業務アプリケーションではなく、それらが稼働するインフラや運用体制を対象とします。主に以下の4つに分類されます。

• ① システムの開発・保守に係る管理：
  システムの新規開発や変更が、適切な承認やテストを経て行われているかを統制します。無秩序なプログラム変更によるシステムの不具合や、不正な機能の埋め込みを防ぎます。
• ② システムの運用・管理：
  システムの日常的な運用（データバックアップ、障害対応など）が、定められた手順通りに行われているかを統制します。システム障害による業務停止などのリスクを低減します。
• ③ 安全管理（セキュリティ）：
  システムやデータに対する不正なアクセスや情報漏洩を防ぐための物理的・論理的な管理策です。アクセス権限の適切な設定（ID管理）、コンピュータ室への入退室管理、ウイルス対策、ファイアウォール設定などが含まれます。
• ④ 外部委託に関する契約の管理：
  システムの開発や運用を外部に委託している場合に、委託先が適切な管理を行っているかを監督する統制です。特にSaaSなどのクラウドサービスを利用する場合、サービス提供事業者の統制状況を評価することが重要になります。

IT全般統制に不備があると、その上で動くすべてのアプリケーションの信頼性が揺らぐため、非常に重要です。

2. IT業務処理統制（ITAC: IT Application Controls）

IT業務処理統制は、業務プロセスに組み込まれ、取引が承認され、網羅的かつ正確に処理・記録されることを保証するための、自動化された統制です。

• 具体例：

• 入力統制： 入力データのフォーマットや桁数、範囲を自動でチェックする。マスターデータに存在しないコードの入力を拒否する。
• 処理統制： マスターデータ（単価など）と自動で照合し、金額を計算する。設定された与信限度額を超えた場合にアラートを出し、処理を中断する。
• 出力統制： 処理された結果が、正確に帳票やファイルに出力されることを保証する。出力データの件数や合計金額を、処理前のデータと照合する。

IT業務処理統制は、手作業による統制（マニュアル・コントロール）に比べて、網羅性が高く、ミスが発生しにくいという利点があります。

クラウド時代のIT統制：SOC報告書

近年、多くの企業がSaaSなどのクラウドサービスを利用しています。この場合、自社でITインフラを管理しないため、サービス提供事業者がどのようなIT統制を構築・運用しているかが重要になります。その客観的な証拠となるのがSOC（Service Organization Controls）報告書です。

報告書の種類	主な内容	利用シーン
SOC1報告書	委託会社の財務報告に係る内部統制に関する報告書	J-SOX評価で主に利用
SOC2報告書	セキュリティ、可用性、プライバシーなどに関する統制の報告書	より広範なセキュリティ評価で利用

クラウドサービスを選定・利用する際には、これらの報告書を入手し、自社の統制基準を満たしているか評価することが不可欠です。

【この章のまとめ】IT統制の全体像

分類	対象	目的	具体例
IT全般統制（ITGC）	IT環境全体（インフラ、運用体制）	ITシステム全体の信頼性を確保する	アクセス権限管理、システム変更管理、バックアップ、SOC報告書の評価
IT業務処理統制（ITAC）	個別の業務アプリケーション	業務データが承認され、網羅的・正確に処理されることを保証する	入力値の自動チェック、与信限度額チェック、自動計算・照合

総務・内部監査部門としては、自社のIT部門と連携し、これらのIT統制が適切に設計・運用されているかを確認することが求められます。

【関連記事】

• J-SOX法で求められるIT統制とは？3点セット作成・評価のポイントを解説
• SOC2報告書とは？クラウドサービス選定で失敗しないためのチェックポイント【専門家が解説】

第6章：内部統制の実行負担を軽減する鍵：「統合型文書統制基盤」という発想

【概要】

内部統制の「やらされ感」の根源である実行負担。これを解消する鍵は、日本の商習慣に根差した「ハンコ、文書、稟議」のプロセスを、単に電子化するのではなく、ワークフローと文書管理を一体化した「統合型文書統制基盤」として再構築することにあります。これは、統制活動そのものを業務プロセスに埋め込み、自動化するアプローチです。

これまで見てきたように、内部統制は多岐にわたるルールやプロセスから成り立っています。そして、その実行と証明には膨大な文書作成・管理が伴います。この実行負担の重さこそが、内部統制を「やらされ感」のある形骸化した活動にしてしまう最大の要因です。

なぜ実行負担は重いのか？：「ハンコ、文書、稟議」文化の壁

日本の企業には、意思決定のプロセスにおいて「稟議書」を作成し、関係者が「ハンコ（承認印）」を押して回覧し、最終的に決裁された「文書」を保管するという、独特の文化が根付いています。

このプロセスは、紙媒体で行う場合、以下のような多大な負担を生み出します。

• 物理的な時間とコスト： 書類の印刷、手渡し、押印のための出社、保管スペースの確保など。
• 進捗の不透明性： 「あの稟議、今どこで止まっているのか？」が分からず、確認のためのコミュニケーションコストが発生。
• 証跡の脆弱性： 押印された書類は、後から誰がどのような意図で承認したのかを追跡するのが困難。紛失や改ざんのリスクも伴う。

解決策としての「統合型文書統制基盤」

この課題を根本から解決するのが、ワークフローシステムと文書管理システムを分断なく連携させた「統合型文書統制基盤」という考え方です。

これは単なるペーパーレス化ではありません。内部統制の活動そのものを、システムの機能として業務プロセスに埋め込み、自動化することを目指します。

プロセス	従来（アナログ）	統合型文書統制基盤
起票	Word/Excelで作成	電子フォームにPC/スマホから入力
回付	手渡し、社内便	システムがルールに基づき自動回付
承認	押印	PC/スマホ上でクリック承認
決裁	最終承認者が押印	システム上で決裁完了
保管	キャビネットに手作業でファイリング	電子書庫に自動でファイリング・保管
証跡	承認印、回覧票（紛失・改ざんリスク）	改ざん不能な電子ログとして自動記録

• ワークフローによるプロセスの可視化と自動化：
  ワークフローシステムを導入することは、それ自体が業務プロセスの可視化を意味します。誰が申請し、どのようなルートで、誰が承認するのか、というルールがシステム上に明確に定義されます。このシステム設定そのものが、J-SOXで求められるフローチャートや業務記述書の役割を果たします。
• 文書ライフサイクル全体の統制：
  優れた統合型システムでは、決裁された文書は、承認の履歴（誰が、いつ、どんなコメントで承認したか）と一体になったまま、システム内のセキュアな電子書庫に自動で保管されます。これにより、文書の作成から承認、保管、そして将来の廃棄に至るまでの文書ライフサイクル全体が一貫したルールで管理され、証跡が途切れることがありません。

この「統合型文書統制基盤」を導入することで、統制の実行負担は劇的に軽減されます。従業員は面倒な事務手続きから解放され、監査担当者は信頼性の高い証跡を容易に入手できるようになります。これにより、内部統制は「負担」から「業務を円滑にするためのインフラ」へとその姿を変えるのです。

【ピラーページ／関連クラスタ記事へのリンク】

• 文書ライフサイクル管理の具体的な手法や、ワークフローシステムを活用した統制強化については、こちらのピラーページで詳しく解説しています。
  → 文書ライフサイクル管理とは？ワークフローで実現する堅牢な内部統制システム構築ガイド
• 監査対応の根幹となる「証跡」をいかに管理すべきかについては、こちらの記事をご覧ください。
  → 証跡管理とは？ワークフローで実現する監査対応とコンプライアンス強化のポイント

【この章のまとめ】実行負担の軽減に向けたアプローチ

課題	従来のアプローチ（紙ベース）	解決策（統合型文書統制基盤）
プロセスの実行	書類の持ち回り、押印リレー	承認ルートの自動化、電子承認
プロセスの可視化	手作業で3点セットを作成	システム設定がそのまま業務プロセスの可視化に繋がる
証跡の管理	決裁文書と承認記録が分離、紛失・改ざんリスク	承認プロセスと文書を一体で保管、改ざん不能な監査証跡を自動生成
結果	重い実行負担、「やらされ感」の増大	実行負担の劇的な軽減、統制の実効性向上

第7章：内部統制の現代的課題：増え続ける統制と「やらされ感」の正体

【概要】

内部統制を取り巻く環境は常に変化しています。世の中で不正事件が起きるたび、新たな法令が施行されるたびに、企業が守るべきルール（コントロール）は増え続けます。この「統制のインフレーション」こそが、「やらされ感」を増幅させる元凶です。この課題に対し、AIを活用した次世代の統制アプローチが求められています。

7-1. なぜ統制は増え続けるのか？：後付けルールの無限ループ

「また新しいチェック項目が増えた…」

現場の担当者から、このような嘆きが聞こえてくることはないでしょうか。企業の内部統制は、一度作って終わりではありません。むしろ、常に変化し、増殖し続ける宿命にあります。

要因	きっかけ	結果
外部要因	・法令、会計基準の改正・社会的な事件、他社の不正	新たな統制の追加、既存統制の厳格化
内部要因	・社内での不正、事故の発生・新規事業、組織変更	再発防止策としての統制追加

このように、リスクが顕在化するたびに、それに対応するためのコントロールが「後付け」で追加されていく。このリアクティブ（反応的）な統制強化のサイクルが、業務プロセスを複雑化させ、現場の負担と「やらされ感」を増大させる大きな要因となっているのです。

7-2. IT化のジレンマ：実行負担からIT統制負担へ

この増え続ける統制の実行負担を軽減するため、多くの企業がIT化、特にワークフローシステムの導入を進めてきました。ITを活用すれば、紙の回覧や手作業でのチェックといった物理的な負担は確かに減少します。

しかし、ここで新たなジレンマが生まれます。それは、「手作業の実行負担」が「IT統制の負担」に姿を変えるという問題です。

ITシステムに業務を依存すればするほど、そのITシステム自体が正しく、安全に運用されていることを証明する必要が出てきます。これが第5章で解説したIT統制（特にIT全般統制）です。

• このシステムへのアクセス権限は適切か？
• システムの変更履歴は正しく管理されているか？
• クラウドサービスを利用しているが、その提供事業者のセキュリティは信頼できるか？

これらのIT統制を維持・評価する負担は、情報システム部門や内部監査部門に重くのしかかります。現場の負担は減ったように見えても、会社全体としての統制コストは、形を変えて残り続ける、あるいはむしろ増加することさえあるのです。

7-3. AI時代がもたらす変化と新たな解決策

この「増え続ける統制」と「IT化のジレンマ」という根深い課題に対し、AI（人工知能）の進化が新たな光を当てています。

従来のIT統制（IT業務処理統制）は、主に「形式的なチェック」の自動化でした。例えば、「金額が入力されているか」「日付の形式が正しいか」といった点です。

しかし、AIは、その一歩先を行きます。

• 内容の自動照合： AIは、申請された内容そのものを理解し、関連する社内規程や過去の事例と照合することができます。例えば、出張申請の内容を見て、「この旅程では規程上の日当額を超えています」といった「内容の妥当性」に関するチェックを自動で行えるようになります。
• 異常検知： 過去の膨大な申請データを学習し、「通常とは異なるパターン」の申請（例：深夜の経費申請、普段取引のない業者への支払い）を検知し、人間にアラートを出すことができます。

このように、AIはこれまで人間にしかできなかった**「判断」の一部を代替・支援することが可能です。

コントロールすべき事項がますます増え、複雑化する現代において、人間による目視チェックと、従来のITによる形式チェックだけでは限界が来ています。AIとITを融合させた「統合型文書統制基盤」**こそが、この課題に対する最も有望な解決策となるのです。

【この章のまとめ】

時代	統制の実行方法	主な課題
アナログ時代	人間による手作業（ハンコ、紙文書）	実行負担が非常に重い、ミスや不正の温床
IT化時代	従来のITシステムによる形式チェックの自動化	実行負担は軽減されるが、IT統制の負担が増大
AI時代	AIによる内容の妥当性チェック・異常検知	増え続ける統制を効率的かつ高度に実行できる

第8章：内部統制の不備が招く経営リスクと不祥事事例

【概要】

内部統制、特にその根幹である文書管理の不備は、単なる事務上のミスでは済みません。不正会計や情報漏洩といった重大な不祥事を引き起こす「機会」を提供し、企業の存続を脅かす深刻な経営リスクへと発展します。

内部統制の重要性は、それが機能しなかった場合にどのような事態を招くかを考えることで、より明確に理解できます。ここでは、不正が起こるメカニズムと、具体的な不祥事事例を分析します。

不正のトライアングル理論

不正研究の第一人者であるドナルド・R・クレッシーは、不正が発生するには「機会」「動機」「正当化」の3つの要素が同時にそろう必要があると提唱しました。

不正の要素	内容	内部統制の役割
機会	不正を実行可能にする、あるいは発覚しないと思わせる環境。	最も直接的に排除できる要素。 職務分掌、承認プロセス、モニタリング等により、不正の実行を困難にし、発覚リスクを高める。
動機	個人的な金銭問題や、会社からの過度な業績プレッシャーなど、不正行為に走らせる要因。	間接的に影響。公正な人事評価制度や健全な職場環境（統制環境）が、過度なプレッシャーを緩和する。
正当化	「会社のためだ」「自分は正当に評価されていない」など、不正行為を自分の中で正当化する身勝手な理由付け。	間接的に影響。倫理規程の浸透やコンプライアンス研修（統制環境、情報と伝達）が、不正の正当化を困難にする。

内部統制は、この3つのうち、特に「機会」をなくすための仕組みです。

ケース1：不正会計・架空取引

ある企業では、担当者が実態のない取引先に業務を発注し、会社から金銭を詐取する事件が発生しました。この背景には、発注から支払いまでのプロセスにおいて、検収報告書や作業完了報告書といった、取引の実在性を証明する文書の確認が形骸化していたという統制上の欠陥がありました。適切な証憑書類の提出と検証がルール化され、徹底されていれば、不正の機会は大幅に減少したはずです。（統制活動の不備）

ケース2：大規模な情報漏洩

大手企業で発生した個人情報漏洩事件では、外部委託先の従業員による不正な持ち出しが原因とされました。しかし、その根本には、誰がどの情報にアクセスできるかを定めたアクセス管理規程の不備や、アクセスログの監視体制の脆弱性がありました。情報資産の管理ルールが文書化され、遵守されていれば、被害を防げたか、あるいは最小限に食い止められた可能性があります。（IT全般統制の不備）

ケース3：コンプライアンス違反と記録の誤廃棄

ある公的機関では、法令で保存が義務付けられている重要文書が、現場の誤った判断で大量に廃棄されるという事案が発生しました。これは、文書の保存期間に関するルールが明確に定義されておらず、全職員に周知徹底されていなかったことが原因です。不要な文書を保持し続けるリスクと、必要な文書を廃棄してしまうリスクの両方を管理するには、明確な文書管理規程が不可欠です。（情報と伝達、統制活動の不備）

これらの事例に共通するのは、内部統制の不備が、従業員に不正やミスの「機会」を与えてしまったという点です。特に、経営層の倫理観の欠如といった「統制環境」の脆弱性が根底にある場合、文書管理の軽視は致命的な結果を招きかねません。

【この章のまとめ】文書管理の不備が引き起こす主要なリスク

リスクの種類	具体的な内容	対策の方向性
業務非効率化・属人化	担当者不在で業務が停滞する。業務品質が安定しない。	業務マニュアルや手順書を整備し、組織の知識として共有する。
コンプライアンス違反	法令で定められた文書を適切に保存・提出できず、罰則を受ける。	法定保存文書リストを作成し、文書管理規程で保存期間を明確に定める。
情報漏洩	機密情報や個人情報が不正に持ち出されたり、紛失したりする。	文書へのアクセス権限を厳格に管理し、不要文書の廃棄ルールを徹底する。
文書改ざん・不正	悪意ある第三者や内部者によって、稟議書や契約書が改ざんされる。	電子署名やタイムスタンプ、アクセスログの取得などで文書の完全性を担保する。

まとめ：形骸化させない、実効性のある内部統制を構築するために

本記事では、内部統制の基本的な考え方から、J-SOX対応の実務、そしてその成功に不可欠な文書管理の重要性までを解説してきました。

内部統制は、決して「監査対応のためだけのコスト」ではありません。それは、

• 不正やミスを防ぎ、企業を守る「盾」
• 業務の無駄をなくし、生産性を高める「矛」
• 社会的な信頼を獲得し、企業価値を高める「旗」
  となる、経営そのものの根幹をなす仕組みです。

この内部統制を、単なるルールブックで終わらせず、組織の血肉として機能させるためには、その活動のすべてを支える文書管理体制の構築が不可欠です。規程やマニュアル、日々の業務で発生する稟議書や報告書といった文書が、そのライフサイクルを通じて適切に管理されていて初めて、内部統制は実効性を持ちます。

実効性のある内部統制の運用には、文書の発生から承認、保管、そして廃棄に至るまでを一元的に管理できる仕組みが求められます。ジュガールワークフローは、日々の申請・承認プロセスと文書管理をシームレスに連携させ、統制活動の自動化と可視化を実現します。 これにより、監査対応の劇的な効率化はもちろん、形骸化しない「生きた内部統制」の構築を強力に支援し、総務・内部監査部門の皆様を戦略的な業務に集中させてくれます。

本記事が、貴社の持続的な成長に向けた、より強固な経営基盤づくりの一助となることを心より願っています。

内部統制に関するよくある質問（FAQ）

引用文献

1. 金融庁. 「財務報告に係る内部統制の評価及び監査に関する実施基準」. (J-SOX対応における評価の実務的な手引き)　　　　　　　　https://www.fsa.go.jp/singi/singi_kigyou/kijun/20191206_naibutousei_kansa.pdf
2. 日本公認会計士協会. 「IT委員会研究報告第44号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」」. (IT統制に関する詳細な解説)
3. 東京証券取引所. 「コーポレート・ガバナンス情報サービス」. (各上場企業の内部統制報告書などが閲覧可能)　　　　　　　　　　　　　　　　　　　　　　　　　　　https://www.jpx.co.jp/listing/cg-search/index.html
   
4. 経済産業省. 「DXレポート2 ～中間取りまとめ～」. (DX推進とレガシーシステムがもたらすリスクについて言及されており、IT統制の重要性の背景理解に資する)　https://www.meti.go.jp/shingikai/mono_info_service/digital_transformation_kasoku/20201228_report.html