内部統制の3点セットの作り方と更新、形だけの文書にしない運用

内部統制の3点セットを年1回、評価の前にまとめて直す運用にすると、実態とのずれは評価の時期になって見つかる。承認者の交代も、システムの改修も、起きてから数か月たっており、いつ何が変わったのかを担当者に聞いて回るところから始めることになる。筆者は、3点セットの更新は評価の日程に合わせるより、業務やシステムを変える手続きに合わせるほうがよいと考えている。具体的には、業務やシステムを変える申請の様式に、文書の更新欄を入れる。

内部統制とは（4つの目的と6つの基本的要素）

内部統制とは、会社の業務が適正に行われるように、業務の中に組み込んで全員で実行する仕組みである。企業会計審議会の基準は、次のように定義している。内部統制とは、基本的に、4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、6つの基本的要素から構成される。

4つの目的は次のとおりである。

6つの基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）、IT（情報技術）への対応である。経理の仕事に近いのは統制活動で、基準は、権限及び職責の付与、職務の分掌等の広範な方針及び手続が含まれるとしている。

実施基準は、内部統制が目的の達成を絶対的に保証するものではないことも明記している。内部統制は、4つの目的が達成されないリスクを一定の水準以下に抑えるという意味での合理的な保証を得ることを目的としている。また、一旦構築されればそれで完成するというものではなく、変化する組織と環境に対応して運用されていく中で、常に変動し、見直されるものとされている。文書を更新し続ける理由は、この性質にある。

J-SOX（内部統制報告制度）とは

J-SOXは、内部統制報告制度の通称である。金融商品取引法にもとづき、上場会社を対象に、経営者が財務報告に係る内部統制を評価し、公認会計士等がその評価を監査する。2008年4月1日以後に開始する事業年度から適用されている。日本公認会計士協会の用語解説は、この制度を、米国のサーベンス・オクスリー法（SOX法）を参考にして導入されたものと説明している。

内部統制の4つの目的のうち、J-SOXが対象にするのは財務報告の信頼性である。2023年の改訂で、内部統制の目的の1つは「財務報告の信頼性」から「報告の信頼性」に改められたが、意見書は、金融商品取引法上の内部統制報告制度はあくまで財務報告の信頼性の確保が目的であることを強調したと述べている。

経営者の評価は、期末日を評価時点として行う。財務報告に重要な影響を及ぼす可能性が高い不備を「開示すべき重要な不備」といい、期末日に残っていれば内部統制報告書に記載する。期末日までに是正されていれば、内部統制は有効と認められる。3点セットは、この評価のうち、業務プロセスに係る内部統制の評価で使う文書である。

2023年4月の改訂は、2024年4月1日以後に開始する事業年度から適用されている。

内部統制の3点セットとは（J-SOXの3点セット）

内部統制の3点セットとは、業務プロセスの内部統制を整理して記録するための、フローチャート、業務記述書、RCM（リスクコントロールマトリクス）の3つの文書をいう。J-SOXの3点セットとも呼ばれる。実施基準の呼び名では、順に「業務の流れ図」「業務記述書」「リスクと統制の対応」である。

実施基準は、経営者が業務プロセスを評価する手順として、取引の流れを把握して会計処理の過程を理解すること、虚偽記載が発生するリスクとそれを低減する統制を識別することを挙げている。そのうえで、把握した内容は、必要に応じ図や表を活用して整理・記録することが有用であるとし、図や表の例として参考2と参考3を載せている。金融庁のQ&Aは、この3つの資料を「いわゆる3点セット」と呼んでいる。

3つの文書は、同じ業務プロセスを別の角度から書いたものである。

内部統制の3点セットの役割と作り方

作る順は、フローチャート、業務記述書、RCMの順が進めやすいと筆者は考えている。リスクは業務の流れの中にあるので、流れを先に図にしておくと、どこにリスクがあり、どの手続きが統制に当たるかを見つけやすい。3つの文書の記載項目を表にまとめた。

フローチャート

フローチャートは、取引の開始から会計システムへの記帳までを、部門ごとの列に分けて図にしたものである。実施基準の参考2は、卸売の販売プロセスを例に、得意先、販売部門、出荷部門、経理部門、システムの列を置き、受注、出荷、売上計上、請求の流れを描いている。

作るときは、担当者への聞き取りと、実際の帳票と画面の確認を組み合わせる。筆者は、規程やマニュアルの記述から図を起こすより、取引を1件選んで、発生から記帳までを帳票でたどるほうが、実態に合った図になると見ている。なお、金融庁のQ&Aは、取引の流れを追跡するこの手続きについて、経営者に実施が義務づけられた手続きとはされていないとしている。

参考2の図は、右端の列にシステムの流れを置いている。どのデータがどのシステムから会計システムに渡るかを同じ図に書いておくと、ITの統制の評価対象を決めるときにも使える。

業務記述書

業務記述書は、フローチャートの各作業を文章で説明したものである。実施基準の参考2の注は、より詳細な記述を要する場合に、表中に注記を行ったり、業務記述書を別途作成することも考えられるとしている。

書く内容は、誰が、何を、どの資料や画面を使って行い、誰が承認するかである。

筆者が勧める書き方は3つある。作業に番号を振り、フローチャートとRCMから同じ番号で引けるようにする。部署や帳票の名称は、規程と手順書の用語にそろえる。リスクと統制に関係しない細かな操作は書かない。細かく書くほど、業務が少し変わるたびに直す箇所が増える。

RCM（リスクコントロールマトリクス）

内部統制のRCMは、業務プロセスのリスクと、それを抑える統制を1行ずつ対応させた表である。実施基準の参考3は、業務、リスクの内容、統制の内容、要件、評価、評価内容の列を置いている。

要件とは、適切な財務情報を作成するための6つの要件で、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性をいう。実施基準は、リスクを識別するときに、不正や誤謬が起きた場合にどの要件に影響を及ぼすかを理解しておくことが重要だとしている。

RCMの中で、財務報告の信頼性に重要な影響を及ぼす統制を、実施基準は「統制上の要点」と呼ぶ。実務ではキーコントロールと呼ばれる。経営者は、統制上の要点について、整備状況と運用状況を評価する。RCMは、どの統制を評価するかを決める文書になる。

卸売の販売プロセスを例に、RCMの行を設例で示す。

この2つの列があると、運用状況の評価で、確かめる件数と取り寄せる資料を決めやすい。

1つのリスクに複数の統制を並べたままにすると、評価の対象が増え続ける。筆者は、RCMを作る段階で、そのリスクを実際に抑えている統制はどれかを問い、統制上の要点を絞ることを勧める。少人数の経理で担当の分離が難しい場合の考え方は、少人数経理の職務分掌、3〜5人でどこまで内部統制を効かせられるかで扱った。

内部統制の評価範囲の決め方

内部統制の評価範囲は、3点セットを作る対象を決める。評価範囲に入れた業務プロセスが、文書を作り、原則として毎期評価する対象になる。

実施基準が示す手順は次のとおりである。全社的な内部統制と、全社的な観点で評価することが適切な決算・財務報告プロセスは、原則として全ての事業拠点について評価する。それ以外の業務プロセスは、3つの段階で範囲を決める。

1. 重要な事業拠点を選ぶ。売上高等の重要性により決定する。
2. 重要な事業拠点で、企業の事業目的に大きく関わる勘定科目に至る業務プロセスを、原則として全て評価の対象にする。
3. 重要な事業拠点とそれ以外の拠点について、財務報告への影響を勘案して、重要性の大きい業務プロセスを個別に追加する。

実施基準は、1の割合を一律に示すことは困難としたうえで、全社的な内部統制の評価が良好である場合の例示として連結ベースの売上高等のおおむね3分の2程度、2の例示として一般的な事業会社の場合の売上、売掛金及び棚卸資産の3勘定を挙げている。3で追加を検討するものとしては、リスクが大きい取引を行っている事業や業務、見積りや経営者による予測を伴う重要な勘定科目、非定型・不規則な取引に係る業務プロセスを挙げている。

2023年改訂の要点

2023年の改訂は、この範囲の決め方について、留意点を明確にした。意見書は改訂の経緯として、経営者による内部統制の評価範囲の外で開示すべき重要な不備が明らかになる事例が一定程度見受けられることを挙げている。主な内容は4つある。

• 「売上高等のおおむね3分の2」や「売上、売掛金及び棚卸資産の3勘定」は例示であり、機械的に適用すべきでないことを記載した。
• 長期間にわたり評価範囲外としてきた事業拠点や業務プロセスについて、評価範囲に含める必要性の有無を考慮しなければならないとした。
• 評価範囲外の事業拠点や業務プロセスで開示すべき重要な不備が識別された場合は、少なくともその時点を含む会計期間の評価範囲に含めることが適切であるとした。
• 評価範囲に関する監査人との協議を、評価の計画段階と、状況の変化等があった場合に、必要に応じて実施することが適切であるとした。評価範囲を決めるのは経営者である。

外した業務プロセスにも記録が要る場面がある。重要な事業拠点で、事業目的に大きく関わる勘定科目に至る業務プロセスのうち、重要な事業や業務との関連性が低く、財務報告への影響も僅少なものは、評価対象から外せる。実施基準は、その場合には、評価対象としなかった業務プロセスと、その理由を記録しておく必要があるとしている。

筆者は、この改訂によって、評価範囲を前年のまま据え置く進め方は取りにくくなったと見ている。新しい事業や買収した会社を範囲に入れた場合は、3点セットを新たに作ることになる。

J-SOX対応の年間の流れ

J-SOX対応は、評価の計画を立てたあと、整備状況の評価、運用状況の評価、ロールフォワード、報告の順に進む。

3月決算の会社を例に、時期の目安を設例で示す。

整備状況の評価では、統制上の要点が適切に整備されているかを、関連文書の閲覧、従業員等への質問、観察等を通じて判断する。3点セットと実態を照合するのはこの段階である。運用状況の評価では、内部統制の実施記録の検証などで、統制が実際に運用されているかを確かめる。

運用状況の評価を期中に行った場合は、期末日までの間の変更を確かめる。実施基準は、期末日までに内部統制に関する重要な変更があったときには、追加手続の実施を検討するとしている。この手続きがロールフォワードである。

評価は原則として毎期行う。ただし実施基準は、全社的な内部統制の評価結果が有効である場合に、統制上の要点のうち、前年度の評価結果が有効で、前年度の整備状況と重要な変更がないものについては、その旨を記録することで前年度の評価結果を継続して利用できるとしている。財務報告の信頼性に特に重要な影響を及ぼすものは、この取扱いから除かれる。

確かめる件数は、経営者が内部統制の重要性や複雑さ、前年度の評価結果やその後の変更の状況等を考慮して決める。「25件」という数字が実施基準の本文に出てくるのは、監査人の手続きの箇所である。日常反復継続する取引について、90%の信頼度を得るには、統制上の要点ごとに少なくとも25件のサンプルが必要になるという例示で、巻末の参考図3にも同じ数字が載っている。

決算・財務報告プロセスの統制は、日常の取引の統制に比べて実施の頻度が低い。実施基準は、このプロセスの運用状況の評価について、期末日までに重要な変更があった場合には適切な追加手続が実施されることを前提に、前年度の運用状況をベースに、早期に実施されることが効率的・効果的だとしている。決算の統制の設計は、決算早期化と内部統制は両立できるか、不正リスクから考える統制設計で扱った。

形だけにしない更新の運用

3点セットが実態と合わなくなるのは、1回の大きな出来事によるものとは限らない。承認者の異動、帳票の変更、手作業の自動化といった小さな変更が、文書に反映されないまま重なっていく。年1回の見直しだけに頼ると、変更から反映までに最長で1年近くの間が空く。

更新のきっかけを決める

最初に、どの変更が起きたら3点セットを見直すかを決める。きっかけと、直す文書の対応を表にした。

変更の申請の様式に、文書の更新欄を入れる

きっかけを決めても、変更を知る手段がなければ更新は始まらない。内部統制の担当が、全社の変更を後から調べて拾う方法には限界がある。筆者が勧めるのは、変更が通る既存の手続きに、更新の確認を組み込むことである。

「財務報告に関わる業務の手順、承認者、システムの処理に影響するか」「影響する場合、直す文書と箇所」「更新の完了日」の3つがあれば足りる。システムの変更申請、組織変更と人事異動の稟議、業務委託の契約の稟議に、同じ欄を入れる。

文書を直すのは、その業務の責任者にする。内部統制の担当が代わりに直すと、業務の実態を知らないまま文書だけが整う。

棚卸しは、対象ごとに深さを変える

変更のたびの更新に加えて、年1回の棚卸しも行う。帳票の様式を現場で変えた、といった申請を通らない変更があるからである。

筆者は、棚卸しの深さを対象ごとに変えることを勧める。統制上の要点を含み、当期に変更の申請があったプロセスは、取引を1件選んで帳票でたどり、3点セットと照合する。変更の申請がなかったプロセスは、業務の責任者に変更がないことを確かめて記録する。全プロセスを同じ深さで見直すと、担当者の負担が大きくなり、見直しが形だけになりやすい。

運用状況の評価で例外が見つかったときは、統制が守られていないのか、文書の手順が実態と違っているのかを切り分ける。後者なら、評価の結果を文書の更新に使う。

直した記録を残す

更新しても、いつ、誰が、なぜ直したかが残っていなければ、翌年の担当者は経緯を追えない。筆者が勧める決まりは4つある。

更新の手間を減らす工夫もある。金融庁の事例集は、事業規模が小規模で比較的簡素な組織構造の会社の事例として、業務の流れ図を機能ごとに細分化して管理番号を付け、異なる業務プロセスで同じ処理が行われる部分は同一の資料を利用する方法を紹介している。事例の会社は、更新箇所が1箇所で済み、更新漏れを防止できたとしている。事例集は、異なる前提条件が存在する場合には考え方が異なることもあると断っている。自社の規模と業務に合うかを確かめて使う。

ITの統制とのつなぎ

3点セットには、システムが行う統制も書く。RCMの設例に挙げた「限度額内の注文だけ入力を受け付ける」のような、システムに組み込まれた統制である。ITの統制は全般統制と業務処理統制に分けられ、実施基準は、経営者はこの両者を評価する必要があるとしている。

システムに組み込まれた統制が働き続けるには、プログラムの変更やアクセス権が管理されていることが前提になる。この前提を確かめるのがITに係る全般統制である。

3点セットとのつなぎで筆者が勧めるのは2つある。1つは、フローチャートにシステムの列を設け、RCMの自動の統制に、どのシステムの機能かを書いておくことである。もう1つは、システムの変更申請の様式に、前の節の更新欄を入れることである。プログラムや設定の変更で自動の統制の内容が変わるとき、3点セットの更新が同じ手続きの中で始まる。

権限の設計では、RCMに書いた担当の分離を、システムの権限でも分ける。考え方は、SAPの権限設計と職務分掌（SoD）、内部統制を仕組みで担保する実務と判断基準で扱った。

よくある質問

3点セットは必ず要るか

3点セットの様式で作ることは義務ではない。金融庁のQ&Aの問32は、実施基準の参考例と同様のものを3点セットとして作成することまでは求められておらず、3点セットを作成しない場合であっても、直ちに開示すべき重要な不備に該当するものではないと考えられるとしている。一方で実施基準は、評価の手続とその結果、発見した不備とその是正措置を記録し保存しなければならないとしており、記録する事項の例に、業務プロセスの概要と、リスクとそれを低減する統制の内容を挙げている。様式は自由でも、評価の根拠になる記録は要る。

雛形はあるか

実施基準に例が載っている。参考2が業務の流れ図と業務記述書の例、参考3がリスクと統制の対応の例で、どちらも卸売の販売プロセスを題材にしている。実施基準は、これらを必要に応じて作成するとした場合の参考例と位置づけており、企業が別途作成しているものがあれば、それを利用して補足すれば足りるとしている。

2点セットでもよいか

3つをそろえない進め方も、金融庁の資料に示されている。Q&Aの問32は、業務の流れ図や業務記述書に代えて、既存の業務マニュアルや諸規程類などを利用し、必要に応じてリスクと統制の対応のような図や表を作成して整理・記録することも一法としてあり得ると考えられるとしている。事例集の事例2-3は、事業規模が小規模で比較的簡素な組織構造の会社が、決算・財務報告プロセスについて、監査人と協議のうえ、3点セットの代わりにチェック・リストを作成して評価に利用した例を紹介している。筆者は、3点セットと違う形にする場合は、事前に監査人と協議しておくことを勧める。

表計算で作れるか

作れる。記録の形式、方法等は一律に規定されるものではなく、企業の作成・使用している記録等を適宜利用し、必要に応じて補足すれば足りると、実施基準に書かれている。表計算ソフトで作る場合は、版番号と変更履歴を文書の中に残し、3つの文書を同じ作業番号でつないでおくと、更新の漏れを減らせる。