内部統制（J-SOX）の3点セットとは｜サンプルも掲載

内部統制（J-SOX）は、企業が財務報告の信頼性を高めるための仕組みを構築し、有効性を評価するための制度です。

内部統制の報告書を作成するなかで、一緒に作られることが多いのが「内部統制3点セット」といわれる書類になります。3点セットの構成は以下のとおりです。

• 業務記述書
• フローチャート
• リスクコントロールマトリックス（RCM）

各書類の様式は、金融庁のWebサイトでサンプルが公開されています。ここでは内部統制3点セットの作成手順を解説します。

業務記述書

引用元：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書） 」

「業務記述書」は、内部統制の対象となる業務プロセスを明文化し、業務内容の理解を進めるとともに内部統制の運用を支援する目的で作成します。

サンプルを見ると、受注・出荷・売上計上・請求と一連の取引の流れを記述しています。担当者や責任者、書類の作成、承認のタイミングも記載しているため、業務が適切に遂行されているかの検証にも役立つでしょう。

フローチャート

引用元：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書） 」

「フローチャート」は、業務記述書の内容を補完し、業務フローを可視化した資料です。業務の流れを視覚的に理解でき、全体の流れの中で現在の業務がどの地点にあるのか一目でわかります。

内容自体は業務記述書と重複するため、場合によってはフローチャートに業務の詳細を付記して、業務記述書を作成しないケースもあります。

リスクコントロールマトリックス（RCM）

引用元：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書） 」

「リスクコントロールマトリックス（RCM）」は、業務上で発生する可能性のあるリスクと、それぞれのリスクに対するコントロール（内部統制の方法）をまとめたものです。

発生する可能性の高いリスクと、それに対応するためのコントロールをリストとしてまとめます。その後もコントロールの有効性を評価していくことによって、内部統制を実施した結果、リスクを軽減できたのか把握できます。

内部統制3点セットの作成目的

内部統制（J-SOX）は、財務報告の信頼性確保を目的としています。

内部統制3点セットの作成は義務ではありませんが、業務概要や手順、フローを整理・可視化することでその目的を達成しやすくなるため、一般的には作成する場合がほとんどです。

内部統制3点セットの作成手順

内部統制3点セットの主な作成手順は、以下のとおりです。

1. 現場業務の把握
2. 業務プロセスの評価範囲を検討
3. 業務記述書・フローチャートの作成
4. リスクコントロールマトリクス（RCM）の作成

1.現場業務の把握

内部統制3点セットを作成する際にまず行うべきは、「現場業務の把握」です。

現場での業務を正確に把握することで発生しうるリスクを洗い出し、適切なコントロールの設定ができます。これは内部統制実施後の評価・フィードバックの精度を高めることにもつながります。

現場業務を把握するため、現場の状況確認と担当者へのヒアリング、社内規定と業務マニュアルの分析を行いましょう。実際に現場がどのような状況にあるのか、どういったマニュアルに基づいて稼働しているのかを把握し、次のプロセスに進みます。

2.業務プロセスの評価範囲を検討

業務プロセスの評価範囲を検討することで内部統制を行う人材や財源を適切に配置でき、効果の最適化を図れます。

内部統制は企業の財務報告を適正化する目的で行われる重要な役割を果たしますが、無制限にリソースを割けるわけではありません。限られた人材や予算を効率的に割り当てるため、内部統制が必要な分野に優先してリソースを割く必要があります。

たとえば、グループ全体の売上高の数％にも満たない小規模な拠点については、評価範囲に含めないという判断をしても全体への影響は少ないと考えられます。また、会社の中に複数存在する業務の中でも、例えば「受注業務」や「発注業務」などの重要性の高い業務に範囲を絞って対応することも考えられます。こういった形で評価範囲を絞ることによって、リソースの効率的な配分を実現できるでしょう。

3.業務記述書・フローチャートの作成

現場での業務内容を正確に把握し、内部統制の業務プロセスの範囲を確定した後に、業務記述書とフローチャートを作成します。

記載内容の量によっては、これら2つをまとめて1つにすることも検討しながら作成を進めましょう。

4.リスクコントロールマトリクス（RCM）の作成

1の課程で把握した現場業務において、発生する可能性のあるリスクを洗い出します。

業務に与える影響の度合いを評価したうえで優先度を決め、それぞれのリスクに対して適切なコントロール（対応策）を考案・設定します。

設定したコントロール（対応策）は定期的に再評価・更新し、現場の実情に合わせましょう。

内部統制3点セット作成時のポイント・注意点

内部統制3点セットの作成時には、以下の3点を意識して取り組みましょう。

• 5W1Hを明確にする
• リスクとコントロールを正確に把握する
• 誰がどのように3点セットを作成するか明確にする

5W1Hを明確にする

5W1Hとは、When・Where・Who・What・Why・Howの頭文字を取ったものです。

内部統制3点セットを適切に作成するにあたって、次のような理由で重要視されています。

リスクとコントロールを正確に把握する

業務で発生する可能性のあるリスクを正しく把握することで、潜在的な問題や脅威を事前に想定でき、リスクに対する適切なコントロールを考案できます。

過度にリスクが働けば不正行為の発生につながり、過度にコントロールが働けば業務効率の低下につながってしまいます。リスクとコントロールの双方をバランスよく運用することで、内部統制の適切なパフォーマンスが実現できます。

誰がどのように3点セットを作成するか明確にする

内部統制3点セットは、誰がどのように作成するかを明確にすると責任の所在が明らかになり、内部統制に問題があった際の対処を取りやすくなります。

主要な責任者や担当者を明確にすれば、内部統制3点セットを作成する際の役割分担が明確になり、効率的に制作できます。工程ごとの担当者が決められるため、担当箇所に対する責任感を持てる点もメリットといえます。

内部統制は作成して終わりではなく、運用しながらより良い仕組みに再構築していくことが重要です。業務への理解度が高いメンバーが担当することで、効率的に内部統制システムを更新できるでしょう。

海外子会社における内部統制3点セットの必要性

内部統制3点セットが必要になるのは、国内企業に限りません。海外子会社で不正が発覚するケースも多く、国内外を問わず内部統制を徹底する重要性は増しています。

海外子会社で不正が発生する理由は、日本との物理的距離、言語の壁、ローカル人材の不足、駐在員の一定期間ごとの変更など様々です。それぞれの地域や国ごとに内部統制3点セットを作成し、海外子会社の持つリスクの適切な把握、及びコントロールが求められます。

海外子会社向け内部統制3点セットの作成手順

海外子会社向けに内部統制3点セットを作成する場合も、基本的には通常の手順と変わりません。

1. 現場業務の把握
2. 業務プロセスの評価範囲を検討
3. 業務記述書・フローチャートの作成
4. リスクコントロールマトリクス（RCM）の作成

日本で使用している資料をベースに翻訳し、現地の状況・環境に合わせたカスタマイズを行います。日本と異なる現地の法律や各種規制、地政学的リスクを考慮して進めましょう。

海外子会社向け内部統制3点セット作成時のポイント

内部統制3点セットを海外子会社が作成する場合、以下3つのポイントを意識して作成しましょう。

• 現地の法律・規制・言語・文化の理解
• 現地従業員との協力関係
• 海外ならではのリスクの特定と評価

海外子会社では、現地の法律や規制の下で営業や会計処理などの業務を行います。日本で使用している内部統制3点セットをただ翻訳するのではなく、現地の実態に合わせた内容に調整する必要があります。

現地の法律や規制を考慮するためには、現地従業員との協力関係が不可欠です。現地の日本人スタッフや現地スタッフとのコミュニケーションを意識して取り組みましょう。

子会社のある国によっては適切な法整備が行われておらず、事業活動を行う中での行政手続き等において賄賂が発生するケースや横領、架空請求、キックバック等の社内不正が起こるケースも考えられます。リスクを把握する段階で、倫理的な問題への対処が求められることも把握しておきましょう。

まとめ

業務記述書とフローチャート、リスクコントロールマトリックス（RCM）の3点セットは内部統制報告書に必ず添付する必要はありませんが、業務の流れを図示して明確化し、内部統制の効果を高める効果が期待できます。

適切な財務報告を実現するためにも、内部統制報告書を作成する際は有効な3点セットを効率的に作成していきましょう。