内部統制（J-SOX）の3点セットとは？内容や作成の目的、手順やポイントを解説

「J-SOX対応時のよくある課題」をダウンロードする

内部統制（J-SOX）の3点セットとは｜サンプルも掲載

内部統制（J-SOX）は、企業が財務報告の信頼性を高めるための仕組みを構築し、有効性を評価するための制度です。

内部統制の報告書を作成するなかで、一緒に作られることが多いのが「内部統制3点セット」と呼ばれる書類になります。3点セットの構成は以下のとおりです。

• 業務記述書
• フローチャート
• リスクコントロールマトリックス（RCM）

各書類の様式は、金融庁のウェブサイトでサンプルが公開されています。ここでは内部統制3点セットの作成手順を解説します。

業務記述書

引用：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」

「業務記述書」は、内部統制の対象となる業務プロセスを明文化し、業務内容の理解を進めるとともに内部統制の運用を支援する目的で作成します。

サンプルを見ると、「1.受注」「2.出荷」「3.売上計上」「4.請求」と一連の取引の流れを記述しています。担当者や責任者、書類の作成、承認のタイミングも記載しているため、業務が適切に遂行されているかの検証にも役立つでしょう。

フローチャート

引用：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」

「フローチャート」は、業務記述書の内容を補完し、業務フローを可視化した資料です。業務の流れを視覚的に理解でき、全体の流れのなかで現在の業務がどの地点にあるのか一目で分かります。

内容自体は業務記述書と重複するため、場合によってはフローチャートに業務の詳細を付記して、業務記述書を作成しないケースもあります。

引用：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」

「リスクコントロールマトリックス（RCM）」は、業務上で発生する可能性のあるリスクと、それぞれのリスクに対するコントロール（内部統制の方法）を一覧表でまとめたものです。

コントロールの有効性を評価していくことによって、内部統制を実施した結果、リスクを軽減できたのか把握できます。

内部統制3点セットの作成目的

内部統制（J-SOX）は、財務報告の信頼性確保を目的としています。有価証券報告書などに記載される数値が信頼できなければ、投資家をはじめとする利害関係者に悪影響を与えかねません。

内部統制3点セットは、業務概要や手順、フローを整理・可視化することで、報告の信頼性をより確かなものにすることができます。作成は義務ではありませんが、一般的には作成するケースがほとんどです。

内部統制3点セットの作成手順

内部統制3点セットの主な作成手順は、以下のとおりです。

1. 現場業務の把握
2. 業務プロセスの評価範囲を検討
3. 業務記述書・フローチャートの作成
4. リスクコントロールマトリクス（RCM）の作成

1.現場業務の把握

内部統制3点セットを作成する際にまず、現場での業務を正確に把握することが必要です。これにより、発生しうるリスクを洗い出し、適切なコントロールの設定ができます。これは内部統制実施後の評価・フィードバックの精度を高めることにもつながります。

現場業務を把握するため、現場の状況確認と担当者へのヒアリング、社内規定と業務マニュアルの分析を行いましょう。実際に現場がどのような状況にあるのか、どういったマニュアルに基づいて稼働しているのかを把握し、次の手順に進みます。

2.業務プロセスの評価範囲を検討

内部統制を行う人材の最適な配置や、効果の最大化を実現するため、業務プロセスの評価範囲を検討します。

内部統制は財務報告を適正化するという社会的な役割がありますが、実施企業は無制限にリソースを割けるわけではありません。限られた人材や予算を効率的に割り当てるため、内部統制が必要な分野に優先してリソースを割く必要があります。

例えば、グループ全体の売上高の数％にも満たない小規模な拠点については、評価範囲に含めない判断も考えられます。また、会社内に複数存在する業務のうち、重要性の高い「受注業務」や「発注業務」などに範囲を絞って対応することも選択肢の一つです。評価範囲を絞ることによって、リソースの効率的な配分を実現できます。

3.業務記述書・フローチャートの作成

現場での業務内容を正確に把握し、内部統制の業務プロセスの範囲を確定した後に、業務記述書とフローチャートを作成します。

記載内容の量によっては、これらをまとめて一つにすることも検討しながら作成を進めましょう。

4.リスクコントロールマトリクス（RCM）の作成

最初の過程で把握した現場業務において、発生する可能性のあるリスクを洗い出します。

業務に与える影響の度合いを評価したうえで優先度を決め、それぞれのリスクに対して適切なコントロール（対応策）を設定します。

設定したコントロール（対応策）は定期的に再評価しながら、現場の実情に合わせて更新するようにしましょう。

内部統制3点セット作成時のポイント・注意点

内部統制3点セットの作成時には、以下の3点を意識して取り組みましょう。

• 5W1Hを明確にする
• リスクとコントロールを正確に把握する
• 責任者を置く

5W1Hを明確にする

5W1Hとは、When・Where・Who・What・Why・Howの頭文字を取ったものです。内部統制3点セットを適切に作成するにあたって、次のような理由で重要視されています。

リスクとコントロールを正確に把握する

業務で発生する可能性のあるリスクを正しく把握することで、潜在的な問題や脅威を事前に想定でき、リスクに対する適切なコントロールを考案できます。

過度にリスクがあれば不正行為の発生につながり、過度にコントロールすれば業務効率の低下につながってしまいます。リスクとコントロールをバランスよく運用することで、内部統制の適切なパフォーマンスが実現できます。

責任者を置く

内部統制3点セットを作成する際は、工程ごとに責任者（担当者）を置くことで、役割分担が明確になり効率的に作成できます。

「誰がどのように作成するか」を意識すると、責任の所在が明らかになり、内部統制に問題があった際の対処が取りやすくなります。

内部統制3点セットは作成して終わりではなく、運用しながらよりよい仕組みに再構築していくことが重要です。業務への理解度が高いメンバーが担当することで、効率的に内部統制システムを更新できるでしょう。

海外子会社における内部統制3点セットの必要性

内部統制3点セットが必要になるのは、国内企業に限りません。海外子会社で不正が発覚するケースもあり、国内外を問わず内部統制を徹底する重要性は増しています。

海外子会社で不正が発生する理由は、日本との物理的距離、言語の壁、ローカル人材の不足、駐在員の一定期間ごとの変更などさまざまです。それぞれの地域や国ごとに内部統制3点セットを作成し、海外子会社の持つリスクの適切な把握、およびコントロールが求められます。

海外子会社向け内部統制3点セットの作成手順

海外子会社向けに内部統制3点セットを作成する場合も、基本的には通常の手順と変わりません。

1. 現場業務の把握
2. 業務プロセスの評価範囲を検討
3. 業務記述書・フローチャートの作成
4. リスクコントロールマトリクス（RCM）の作成

日本で使用している資料をベースに翻訳し、現地の状況・環境に合わせたカスタマイズを行います。日本と異なる現地の法律や各種規制、地政学的リスクを考慮して進めましょう。

海外子会社向け内部統制3点セット作成時のポイント

内部統制3点セットを海外子会社が作成する場合、以下3つのポイントを意識して作成しましょう。

• 現地の法律・規制・言語・文化の理解
• 現地従業員との協力関係
• 海外ならではのリスクの特定と評価

海外子会社では、現地の法律や規制の下で営業や会計処理などの業務を行います。日本で使用している内部統制3点セットをただ翻訳するのではなく、現地の実態に合わせた内容に調整する必要があります。

現地の法律や規制を考慮するためには、現地拠点との連携が不可欠です。現地の日本人スタッフや現地スタッフとのコミュニケーションを意識して取り組みましょう。

子会社のある国によっては適切な法整備が行われておらず、事業活動を行うなかで行政手続きに対する賄賂が発生するケースや、横領、架空請求、キックバックなどの社内不正が起こるケースも考えられます。リスクを把握する段階で、倫理的な問題への対処が求められることも把握しておきましょう。

まとめ：内部統制の実効性確保へ、3点セットの作成を

業務記述書とフローチャート、リスクコントロールマトリックス（RCM）の3点セットは、業務の流れを図示して明確化し、内部統制の効果をより高めることが期待できます。

適切な財務報告を実現するためにも、内部統制報告書を作成する際は有効な3点セットを効率的に作成していきましょう。

「J-SOX対応時のよくある課題」をダウンロードする