J-SOX 2024改訂のポイントと内部監査部門の対応｜評価範囲・IT統制評価

金融庁の企業会計審議会は2023年4月、「財務報告に係る内部統制の評価及び監査の基準並びに実施基準」の改訂を公表しました。2008年の制度導入以来の本格的な見直しで、2024年4月1日以後開始する事業年度から適用されています。本記事では、J-SOX 2024改訂の主なポイントを改訂前後の比較で整理し、内部監査部門が実務で見直すべき事項をチェックリストの形でまとめます。

J-SOX 2024改訂の背景

内部統制報告制度は導入から十数年が経ち、実務として定着した一方で、次のような課題が指摘されてきました。

• 評価範囲の決定が数値基準に偏り、評価範囲外の拠点や業務プロセスで不備が見つかる事例がある
• 内部統制報告書で「有効」とされた後に、財務諸表の訂正に伴って評価結果が「有効でない」に訂正される事例がある
• IT の高度化やサイバーリスクの増大など、制度導入時とは内部統制を取り巻く環境が大きく変わっている
• 国際的な内部統制の枠組み（COSO）の改訂内容が国内基準に十分反映されていない

改訂はこうした課題に対応するもので、制度の枠組みそのものを大きく変えるというより、経営者による評価の「実効性」を高める方向の見直しと捉えると理解しやすくなります。

適用時期は2024年4月1日以後開始する事業年度であり、3月決算の会社であれば2025年3月期の評価から改訂後の基準で対応していることになります。すでに改訂後の基準による評価を一巡した企業も多いと思われますが、初年度は「従来の手続をほぼ維持したまま、文書の記載だけを追加した」というケースも見られます。2年目以降は、初年度の対応で積み残した論点を洗い出し、評価の実効性を高める段階に入っているといえます。

改訂の主なポイント（改訂前後の比較）

主な変更点を、改訂前後で比較すると次のとおりです。

なお、改訂後も「おおむね3分の2」といった数値の目安自体が削除されたわけではありません。数値はあくまで出発点であり、それだけで評価範囲を決めてはならない、という趣旨である点に注意が必要です。

評価範囲の決定で求められる考え方

内部監査部門にとって最も実務影響が大きいのが、評価範囲の決定の見直しです。改訂後は、次のような観点で評価範囲の妥当性を説明できるようにしておく必要があります。

質的な重要性の考慮

数値基準で評価範囲外となった拠点や業務プロセスでも、次のような要因があれば評価範囲に含めることを検討します。

• 不正リスクが高いと考えられる取引や業務（見積りや経営者の判断を伴うもの、非定型的な取引など）
• 新規事業、買収した子会社、海外拠点など、統制環境が十分に確認できていない領域
• 過去に不備や不正が識別された領域
• 評価範囲外であっても、開示すべき重要な不備につながる可能性がある領域

評価範囲決定の実務手順

評価範囲の決定は、次のような手順で進めると、数値基準と質的な検討の両方を記録に残しやすくなります。

1. 連結ベースの売上高等を用いて事業拠点を順位付けし、数値基準による重要な事業拠点の候補を選定する
2. 重要な事業拠点について、企業の事業目的に大きく関わる勘定科目（一般的な事業会社では売上、売掛金、棚卸資産など）に至る業務プロセスを識別する
3. 数値基準で評価範囲外となった拠点・業務プロセスについて、質的な要因の有無を一覧で検討する
4. 長期間にわたり評価範囲外としてきた拠点や業務プロセスがないかを確認し、評価範囲に含める必要性を検討する
5. 見積りや経営者の判断を伴う重要な勘定科目に係る業務プロセスなど、個別に追加すべきものを検討する
6. 検討結果を評価範囲決定書にまとめ、監査人と協議したうえで確定する

手順3と4は、改訂で特に意識されるようになった点です。「長期間にわたり評価範囲外としてきた特定の事業拠点や業務プロセス」について、評価範囲に含める必要性の有無を考慮することが示されており、毎期同じ結論を引き継ぐだけでは説明が不十分になるおそれがあります。

質的な要因の検討は、次のようなシートで拠点・業務プロセスごとに整理しておくと、判断の根拠を示しやすくなります。

監査人との協議

改訂では、評価範囲の決定にあたり、必要に応じて監査人と協議することが明記されました。評価計画の策定段階で協議しておくことで、期末近くになって評価範囲の追加を求められるといった手戻りを防ぎやすくなります。協議の内容は議事録などで記録に残しておくとよいでしょう。

決定理由の文書化

内部統制報告書に評価範囲の決定方法と根拠を記載する必要があるため、社内でも決定プロセスを文書化しておくことが重要です。例えば、評価範囲決定書には次のような項目を整理しておくと、報告書の記載にもそのまま活用できます。

• 重要な事業拠点の選定に用いた指標（売上高など）と、その割合
• 数値基準に加えて個別に評価範囲へ追加した拠点・業務プロセスと、その理由
• 評価範囲外とした領域と、そのリスクが低いと判断した根拠
• 監査人との協議の実施時期と主な結論

IT統制の評価で見直すべき点

IT統制の評価についても、改訂を受けて見直しが必要になる場合があります。

まず、IT全般統制（ITGC）の運用評価を複数年に一度のローテーションで実施している企業は、その前提を改めて確認する必要があります。改訂では、特定の年数を機械的に適用するのではなく、システム変更の有無やIT環境の変化などを踏まえて慎重に判断することが明確化されました。「前回評価から変更がない」ことを示す根拠（変更管理の記録、アクセス権の見直し結果など）を毎期確認できる状態にしておくことが求められます。

次に、クラウドサービスや外部委託先の利用が広がっていることから、委託先の統制をどのように確認するかも論点になります。受託会社の内部統制に関する保証報告書の入手・評価、その対象範囲や期間と自社の評価範囲との整合性などを確認しておくとよいでしょう。

また、情報セキュリティの確保が明記されたことを受け、サイバーリスクへの対応状況を全社的なリスク評価の中でどのように扱うかも検討対象になります。

ITGC のローテーション評価を継続するかどうかは、次のような項目を確認したうえで判断し、その結果を記録しておくとよいでしょう。

一つでも変化が認められた場合は、その期にあらためて運用評価を実施することを基本とし、実施しない場合はその理由を説明できるようにしておくことが重要です。ITGC の評価手続の詳細は「IT全般統制（ITGC）の評価ガイド」、受託会社の保証報告書の読み方は「クラウド・SaaS 利用時の統制と SOC レポートの確認」で解説しています。

内部統制報告書の記載で押さえておきたい点

改訂にあわせて内部統制報告書の記載事項も見直され、評価範囲の決定方法及び根拠として、重要な事業拠点の選定において利用した指標とその一定割合、評価対象とする業務プロセスの識別において選定した重要な勘定科目、個別に評価対象に追加した事業拠点及び業務プロセスなどを記載することが求められるようになりました。また、前年度に開示すべき重要な不備を報告した場合には、その是正状況を付記事項として記載することも求められています。

これらの記載は期末に一から作成しようとすると負担が大きくなります。評価範囲決定書や質的要因の検討シートを、報告書の記載項目と対応する形で作成しておくと、記載内容と社内文書との整合も取りやすくなります。

内部監査部門の対応チェックリスト

改訂への対応状況を確認するためのチェックリストです。自社の状況に合わせて項目を追加・修正してご活用ください。

リスク評価・全社統制

• 全社的なリスク評価の手順に、不正リスク（動機・機会・正当化）の観点が組み込まれているか
• 経営者による内部統制の無効化を想定したリスクと、その対応策が整理されているか
• 内部監査部門から取締役会・監査役等へ直接報告する経路が、規程や運用上確保されているか
• 3線モデルなどを参考に、各部門の役割分担（リスクオーナー、管理部門、内部監査）が明確になっているか

評価範囲

• 評価範囲の決定において、数値基準に加えて質的な重要性を検討した記録があるか
• 評価範囲外とした拠点・業務プロセスについて、その判断根拠を説明できるか
• 評価計画の段階で、監査人と評価範囲について協議する機会を設けているか
• 内部統制報告書に記載する評価範囲の決定方法・根拠が社内文書と整合しているか

IT統制

• ITGCのローテーション評価の方針が、IT環境の変化を踏まえて毎期見直されているか
• 外部委託先・クラウドサービスに関する統制の確認方法が定められているか
• 情報セキュリティに関するリスクが全社的なリスク評価に反映されているか

報告・訂正対応

• 過年度に識別した不備について、是正状況を把握・記録しているか
• 財務諸表の訂正が生じた場合の、内部統制報告書の訂正手順と責任者が決まっているか
• 前年度に開示すべき重要な不備を報告した場合、その是正状況を記載する準備ができているか

不正リスク

• 仕訳データや会計上の見積りを対象とした、不正の兆候を確認する手続が評価や監査に組み込まれているか
• 内部通報制度の運用状況や通報内容の傾向を、リスク評価の情報源として活用しているか

不正リスクと経営者による内部統制の無効化への対応

改訂では、リスクの評価において不正に関するリスクを考慮することの重要性が明記されました。不正リスクの検討では、不正を行う動機・プレッシャー、不正を実行する機会、不正を正当化する姿勢という3つの要因に着目し、どの業務でどのような不正が起こり得るかを具体的に想定することが出発点になります。

内部監査部門が評価や監査の中で取り入れやすい手続には、次のようなものがあります。

• 仕訳データを対象に、期末日前後の手入力仕訳、通常と異なる勘定科目の組み合わせ、承認者と起票者が同一の仕訳などを抽出して内容を確認する
• 引当金や減損などの会計上の見積りについて、前提となる仮定の変化と、前期の見積りと実績の差異を確認する
• 関連当事者との取引や、通常の事業の範囲外と考えられる重要な取引について、承認手続と取引の合理性を確認する
• 不正が起こりやすい業務について、職務の分離や権限の設定が形骸化していないかを確認する

経営者による内部統制の無効化は、担当者レベルの統制では防ぎにくいリスクです。改訂では、その対応として、適切な全社的な内部統制の整備や、内部監査人による取締役会・監査役等への直接的な報告経路の確保などが例示されています。内部監査部門としては、報告経路が規程上存在するだけでなく、実際に定期的な報告が行われているかを確認しておくことが大切です。不正リスクを踏まえた監査の進め方は「不正リスクに着目した内部監査」も参考にしてください。

対応を進める手順

改訂対応をこれから本格化させる場合は、次のような順序で進めると整理しやすくなります。

1. 現行の評価規程・評価範囲決定書・評価手続書を改訂内容と照らし合わせ、差異を洗い出す
2. 不正リスクや質的な重要性を考慮したリスク評価の手順を整備する
3. 評価範囲の見直し案を作成し、評価計画の段階で監査人と協議する
4. ITGCのローテーション方針や委託先統制の確認方法を見直す
5. 内部統制報告書の記載事項（評価範囲の決定方法・根拠など）の作成手順を整える
6. 運用後の課題を振り返り、翌期の評価計画に反映する

なお、上場後に内部統制報告制度の対象となる IPO 準備企業においても、改訂後の基準を前提に体制を構築しておくことが望まれます。内部監査部門の立ち上げについては「IPO準備企業の内部監査部門の立ち上げ」も参考にしてください。

よくある質問

Q. 改訂後は「おおむね3分の2」の目安を使ってはいけないのですか

使ってはいけないわけではありません。数値の目安は改訂後も示されており、重要な事業拠点を選定する出発点として用いることができます。ただし、その数値を機械的に適用して評価範囲を決めるのではなく、質的な重要性を考慮して個別に追加すべき拠点や業務プロセスがないかを検討し、その過程を記録しておく必要があります。

Q. ITGC は毎期すべて運用評価しなければならないのですか

改訂によって、毎期の評価が一律に義務付けられたわけではありません。一定の複数会計期間内に一度の頻度で評価する余地は残されていますが、特定の年数を機械的に適用するのではなく、IT 環境の変化等を踏まえて慎重に判断することが求められます。ローテーションを採用する場合は、変化がないことを毎期確認し、その判断根拠を残しておくことが前提になります。

Q. 内部統制の目的が「報告の信頼性」になったことで、非財務情報も評価対象になりますか

内部統制の目的としての「報告の信頼性」には非財務情報も含まれるよう整理されましたが、内部統制報告制度で経営者が評価し報告する対象は、引き続き財務報告に係る内部統制です。一方で、サステナビリティ情報など非財務情報の開示が広がっていることから、全社的なリスク管理や内部監査の対象として非財務情報の信頼性をどう扱うかは、各社で検討しておくとよい論点です。

Q. 監査人との協議は、いつ頃行うのが適切ですか

評価範囲の決定は評価計画の一部であるため、期首から評価計画を確定するまでの時期に協議しておくのが一般的です。期中に組織再編や買収などで状況が変わった場合は、その時点で改めて協議します。監査人や監査役等との連携の進め方は「三様監査の連携」でも解説しています。

まとめ

J-SOX 2024改訂は、評価範囲の決定やIT統制の評価において、数値や年数を機械的に当てはめるのではなく、リスクに基づいて判断し、その根拠を説明できることを求めるものです。内部監査部門には、不正リスクや質的な重要性を考慮した評価範囲の決定、監査人との早期協議、決定理由の文書化といった対応が求められます。あわせて、不正リスクの3要因を踏まえた手続の組み込み、ITGC のローテーション判断の記録、内部統制報告書の新たな記載事項への備えも欠かせません。適用初年度を終えた企業は、初年度に積み残した論点を洗い出す段階にあります。まずは現行の評価手続と改訂内容との差異を確認し、チェックリストを活用して優先度の高い項目から対応を進めていきましょう。

関連サービス

• J-SOX（内部統制）評価支援