J-SOXとは？内部統制の目的・対象企業・対応の流れをわかりやすく解説

上場準備や監査対応を進めるなかで、「J-SOX対応では何をすればよいのか」「内部統制と何が違うのか」と疑問を感じる経営者や管理職、担当者もいるのではないでしょうか。

J-SOXでは、社内規程を作るだけではなく、財務報告に関係する業務を整理し、不正や誤りを防ぐ仕組みが実際に機能しているかを継続的に評価します。

特にプロジェクト型企業では、案件ごとの売上、外注費、経費、工数が複数のExcelやシステムに分散しやすく、財務数値の根拠確認にも時間がかかります。

本記事では、J-SOXの意味、対象企業、評価対象、3点セット、対応手順に加え、Excel管理の限界と経営判断・利益改善につなげる考え方を解説します。

J-SOXとは、財務報告に関する内部統制を評価・報告する制度

J-SOXとは、金融商品取引法に基づく「財務報告に係る内部統制報告制度」の通称です。上場企業が財務報告に係る内部統制を自ら評価し、その結果を内部統制報告書として開示する制度を指します。「日本版SOX法」と呼ばれることもありますが、J-SOXという独立した法律はありません。

対象企業の経営者は、財務計算に関する書類その他の情報の適正性を確保するための体制を評価し、内部統制報告書を提出します。内部統制報告書は、原則として監査対象です。

J-SOX対応の基本的な流れは次のとおりです。

事業活動・日常業務
　↓
内部統制の整備・運用
　↓
経営者による有効性の評価
　↓
監査人による内部統制監査
　↓
内部統制報告書の開示

経営者が評価する対象は、決算書そのものだけではありません。決算書の数値は、受注、発注、納品、売上計上、請求、支払いなどの日常業務から作られます。財務報告の信頼性を確保するには、数値が作られるまでの業務プロセスと、その過程で行われる承認や照合も確認しなければなりません。

J-SOXと内部統制の違い

内部統制とは、企業が業務を適切かつ効率的に進めるために、組織内に構築・運用する仕組み全般です。職務権限、承認手続き、予算管理、契約管理、情報セキュリティ、内部監査なども、広い意味で内部統制に含まれます。

一方、J-SOXは財政報告に係る内部統制です。財務報告に関する部分を経営者が評価し、その結果を報告します。

比較項目	内部統制	J-SOX
意味	企業活動を適切に進めるための仕組み	財務報告に係る内部統制を評価・報告する制度
主な目的	業務効率、報告の信頼性、法令遵守、資産保全	財務報告の信頼性の確保
対象	企業や組織全体	主に上場企業とその評価範囲
評価・報告	企業の方針に応じて行う	経営者による評価と報告が必要
外部監査	必ずしも必要ではない	原則として監査人による監査が必要

たとえば、パスワード管理や災害対策は内部統制の一部ですが、すべてがそのままJ-SOXの評価対象になるわけではありません。ただし、会計データを扱うシステムのアクセス権限や変更管理など、財務報告の信頼性に影響するものは評価対象となる可能性があります。

J-SOXの対象となる企業

J-SOXの主な対象は、金融商品取引法に基づいて有価証券報告書を提出する上場企業です。対象企業は事業年度ごとに財務報告に係る内部統制を評価し、内部統制報告書を提出します。

ただし、上場企業だけがJ-SOXを意識すればよいわけではありません。上場準備企業や、上場企業の連結子会社、重要な業務を担う事業部門も対応に関係します。

上場準備企業は早い段階から内部統制を整備する

IPOを目指す企業は、上場後に内部統制報告制度へ対応できるよう、上場準備段階から規程、組織体制、業務プロセス、内部監査体制などを整えていきます。

内部統制は、文書を作成すればすぐに完成するものではありません。設計した承認や照合が一定期間にわたって実施され、証跡が残っていることを確認する必要があります。

そのため、上場直前になって3点セットを作るのではなく、組織体制や職務権限、規程、業務プロセス、承認手続き、証跡の保存方法、内部監査体制を段階的に整備することが重要です。

子会社や事業部門も評価範囲に含まれることがある

連結財務諸表に重要な影響を与える子会社、事業拠点、業務プロセスは、J-SOXの評価範囲に含まれる可能性があります。

たとえば、グループ全体の売上に占める割合が大きい子会社や、重要な契約・会計処理を行う部門などです。経理部門だけで対応するのではなく、営業、購買、制作・開発、PM、人事、情報システム、内部監査など、複数部門が連携して取り組む必要があります。

内部統制の4つの目的と6つの基本的要素

金融庁の基準では、内部統制は4つの目的を達成するために、組織内のすべての者によって遂行されるプロセスとされています。

また、2024年4月1日以後に開始する事業年度から適用された改訂基準では、従来の「財務報告の信頼性」が、非財務情報も含む「報告の信頼性」へと見直されました。

目的	内容	企業における例
業務の有効性及び効率性	事業目的の達成に向け、業務を有効かつ効率的に行う	二重入力の削減、承認手順の標準化
報告の信頼性	組織内外へ提供する報告の信頼性を確保する	財務諸表、管理資料、非財務情報の正確性確保
事業活動に関わる法令等の遵守	法令や社内規程を守る	会計基準、税法、契約ルールの遵守
資産の保全	資産を正当な手続きで取得、使用、処分する	不正支出の防止、情報資産の保護

J-SOXで直接評価する中心は財務報告に係る内部統制ですが、財務数値は現場の業務から作られます。そのため、報告の信頼性を高めるには、受注や発注、工数入力、売上計上などの業務も見直す必要があります。

内部統制を構成する基本的要素は、次の6つです。

統制環境

統制環境とは、経営者の姿勢、企業理念、組織構造、人事方針、権限と責任の分担など、内部統制の土台となる環境です。

経営者が規程違反を黙認すれば、形式上のルールを整備しても統制は機能しません。経営層が必要性を示し、組織全体へ浸透させることが出発点です。

リスクの評価と対応

企業目標の達成を妨げるリスクを識別し、発生可能性や影響度を分析したうえで、対応方法を決めます。

プロジェクト型企業では、架空売上、売上計上時期の誤り、原価の計上漏れ、無断発注、工数の付け替えなどが考えられます。

統制活動

統制活動とは、把握したリスクを抑えるための具体的な方針や手続きです。

上長承認、職務分掌、契約書との照合、入力内容のレビュー、システム権限の制限などが該当します。

情報と伝達

情報と伝達とは、必要な情報が識別・把握・処理され、適切な相手に正しく伝達されることを確保するための作業です。

ただ情報を伝達するのではなく、情報の取り扱いリスクに関する項目も含まれます。情報処理プロセスでシステムが有効に機能しているかを確認するのも、この要素における重要なポイントです。

モニタリング

モニタリングとは、内部統制が有効に機能しているかを継続的に評価するプロセスです。日常業務のなかで行われる「日常的モニタリング」と経営者や監査役によって行われる「独立評価」に分類できます。

表かだけでなく、モニタリングによる不備・不正が発生した場合の対策を行うのも重要な要素です。

ITへの対応

アクセス権限、システム変更、バックアップ、入力チェック、自動計算など、ITを利用した業務にも統制を設けます。

業務実施において組織内外のITに対して適切かつ適時に対応するのが目的です。業務にITを利用できるか、ITを利用して内部統制のほかの基本的要素を機能させられているかの2点を意識して実施します。

J-SOXで評価する内部統制

J-SOXの実務では、評価対象を次の4つに整理すると理解しやすくなります。

評価対象	主な内容	具体例
全社的な内部統制	組織全体に影響する統制	経営方針、組織体制、内部通報、内部監査
決算・財務報告プロセス	決算書の作成に直接関係する統制	決算整理仕訳、連結決算、開示資料作成
業務プロセスに係る内部統制	重要な勘定科目を生み出す業務の統制	受注、売上、購買、原価、請求、支払い
ITに係る統制	システムとデータの信頼性を支える統制	権限管理、変更管理、バックアップ、入力制御

プロジェクト型企業では、案件の受注から売上計上までの流れだけでなく、外注費、経費、社内工数が適切な案件へ集計されているかも重要です。

社員の作業時間を案件原価として管理する場合、工数の入力、承認、修正、締め処理が統一されていなければ、案件別利益や仕掛品などの数値に影響する可能性があります。

J-SOXの3点セットとは

J-SOX対応で使われる「3点セット」とは、一般的に業務記述書、フローチャート、RCMの3つを指します。

文書	役割
業務記述書	業務の手順、担当者、使用書類、システムなどを文章で整理する
フローチャート	業務の流れや部門間の受け渡しを図で示す
RCM	リスクと、それに対応する統制を関連づけて整理する

RCMは「Risk Control Matrix」の略で、リスク・コントロール・マトリクスと呼ばれます。

たとえば、納品後に売上を計上する業務では、「納品前に売上が計上される」というリスクが考えられます。これに対して、「完了報告書を責任者が承認した後に売上処理を行う」という統制を設け、承認済みの完了報告書やシステムの承認履歴を証跡として残します。

3点セットは、法令で名称や様式が一律に指定された提出書類ではありません。業務の流れ、想定されるリスク、リスクを抑える統制を理解・評価するために、実務上広く用いられている文書です。

したがって、3点セットを完成させること自体を目的にしてはいけません。実際の業務と内容が一致しているか、記載された承認や照合が継続して実施されているかを確認することが重要です。

J-SOX対応でよくある課題

J-SOX対応では、文書を作成した後の運用で問題が起こりやすくなります。

文書と実際の業務が一致していない

組織変更やシステム変更後も3点セットを更新せず、文書上の承認手続きと実際の運用が異なるケースがあります。記載内容と業務が一致していなければ、統制の有効性を評価しにくくなります。

証跡とデータが分散している

契約書は共有フォルダ、承認はメール、売上は販売管理システム、原価はExcel、工数は別ツールというように、情報が分散している企業もあります。統制を実施していても、いつ、誰が、何を確認したか示せなければ、評価や監査のたびに資料を探す必要があります。

現場の負担が増えている

入力項目や承認段階を増やしすぎると、月末のまとめ入力や形式的な承認につながります。統制の厳格さだけでなく、現場が継続できる運用かを確認することが重要です。

システム間で数字が一致しない

営業管理、案件管理、工数管理、経費精算、会計システムが分かれていると、案件名、金額、計上時期が一致しないことがあります。転記やCSV加工を繰り返すほど、入力漏れや計算誤りも生じやすくなります。

経理部門だけの対応になっている

財務数値の元となる情報は営業や現場で発生します。経営者、管理職、PM、経理、情報システム、内部監査が役割を分担し、実際の業務に合う統制を設計する必要があります。

J-SOX対応が形骸化する原因

J-SOX対応が形骸化する主な原因は、内部統制を「監査へ提出する書類を作る作業」と捉えることです。

前年度の文書をそのまま転用する、実施していない承認を文書上だけ残す、不備が見つかっても不足した証跡を後から補う、といった対応では、リスクを減らす仕組みとして機能しません。

内部統制は、一度整備すれば終わるものではありません。新規事業の開始、組織再編、システム変更、取引量の増加などに応じて、継続的に見直す必要があります。

創業期には経営者や担当者同士の確認で対応できていた業務でも、案件数や従業員数が増えると、口頭確認では処理の抜けや判断のばらつきを防げなくなります。事業の成長に合わせて、職務分掌、承認経路、権限管理、データ管理を再設計することが必要です。

J-SOX対応の進め方

J-SOX対応は、次の流れで進めます。

1．基本方針と推進体制を決める

はじめに、経営者が内部統制の基本方針を示し、責任者、推進部門、内部監査部門の役割を決めます。

経理だけに任せるのではなく、営業、制作・開発、購買、情報システムなど、財務報告に関係する部門を明確にします。

2．評価範囲を決定する

連結グループ、事業拠点、勘定科目、業務プロセスの重要性を踏まえて評価対象を決めます。

2024年4月から適用された改訂基準では、例示された数値基準を機械的に適用するのではなく、事業特性やリスクを踏まえて評価範囲を判断する考え方が改めて示されています。

3．実際の業務プロセスを把握する

業務記述書やフローチャートを用いて、取引の開始から会計処理までの流れを確認します。

規程に書かれた理想的な手順ではなく、現場で誰が何を行い、どのシステムや書類を使い、誰に情報を渡しているかを把握することが重要です。

4．リスクと統制を整理する

各業務で起こり得る不正や誤りを洗い出し、それを防止または発見する統制をRCMに整理します。

重要な統制については、実施者、実施頻度、承認者、確認内容、証跡の保存場所まで明確にします。

5．整備状況を評価する

設計した統制によって、対象となるリスクを十分に抑えられるかを確認します。

承認者に必要な情報が渡っていない、担当者と承認者が実質的に同一であるなど、設計上の問題があれば見直します。

6．運用状況を評価する

統制が一定期間、設計どおりに実施されているかを、承認履歴やサンプルなどで確認します。

承認ルールが存在していても、実際に承認されていなければ、運用上の不備となる可能性があります。

7．不備を改善する

不備が見つかった場合は、財務報告への影響を分析し、原因に応じた改善策を実施します。

証跡の不足だけを補うのではなく、入力画面が分かりにくい、承認者が多すぎる、情報連携が遅いなど、統制が機能しなかった原因を確認します。

8．評価結果を報告する

経営者が評価結果を取りまとめ、内部統制報告書を作成します。その後、監査人が経営者の評価結果を監査します。

Excelによる内部統制管理の限界

Excelは導入しやすく、自由に項目や計算式を設定できるため、案件数や利用者が少ない段階では有効な管理手段です。

Excelを使うこと自体がJ-SOX上の問題になるわけではありません。適切なアクセス制御、変更管理、版管理、レビュー、バックアップが行われていれば、Excelを利用した統制も考えられます。

ただし、事業規模や案件数が拡大すると、柔軟性の高さが管理上の負担につながります。

管理項目	Excel管理で起こりやすい課題	システム管理で期待できる状態
アクセス権限	ファイル単位で共有され、利用者ごとの制御が難しい	役割ごとに閲覧・登録・承認権限を設定する
承認	メール、チャット、口頭確認が混在する	申請内容と承認履歴を関連づけて保存する
変更履歴	誰が何を変更したか把握しにくい	更新者、更新日時、操作履歴を記録する
データ更新	部門ごとに異なるファイルが作られる	共通データを各部門で参照する
計算	数式の削除や参照先の誤りが起こる	設定したルールに基づいて自動計算する
証跡	関連資料が複数の場所に分散する	案件や取引データに証憑をひもづける
締め処理	確定後の数値を書き換えられる	締め後の修正を制限する
集計	毎月、転記や加工が必要になる	最新データを自動集計する

複数のExcelファイルを維持するために、担当者が毎月データを転記し、差異を照合し、最新版を確認している場合は、すでに管理コストが高まっています。

また、監査対応のために別途証跡一覧や変更管理表を作成していると、日常業務と統制対応が二重化します。案件や利用者が増えた段階では、Excelの継続利用に必要な統制コストと、システム化にかかるコストを比較する必要があります。

システムを活用して内部統制と経営管理を両立する

システムを導入しただけで、内部統制が自動的に有効になるわけではありません。業務ルール、職務権限、承認方法、入力項目を整理し、その内容をシステムへ反映する必要があります。

一方、適切に設計されたシステムを利用すれば、日常業務のなかで統制を実施し、証跡を残しやすくなります。

業務データと承認履歴を一元化する

見積もり、受注、発注、経費、工数、請求を同じ案件へひもづけると、取引の開始から財務数値への反映までを追跡しやすくなります。

承認者、承認日時、申請内容を同じ場所に残せれば、証跡を探す作業も減らせます。

役割に応じて権限を分ける

担当者、PM、部門長、経理担当者、システム管理者など、役割に応じて閲覧、登録、承認、変更の権限を分けます。

登録者が自ら承認できないようにする、確定後の数値を変更できる担当者を限定するなど、職務分掌をシステム上で補強できます。

工数と原価を案件単位で管理する

プロジェクト型企業では、社員が案件に費やした時間が重要な原価になります。

工数が個人のExcelや勤怠データに分散していると、案件別の採算を正確に確認できません。案件単位で工数を記録し、人件費として収支に反映できれば、売上と外注費だけでは見えなかった実際の利益を把握できます。

予算と実績の差異を継続的に確認する

内部統制は、不正や誤りを防ぐだけの仕組みではありません。

案件予算と実績を継続して比較すれば、工数超過、外注費の増加、追加作業の請求漏れ、原価計上の遅れなどを早期に発見できます。

監査用に集めたデータと経営会議用のデータを分けるのではなく、同じ正確なデータを内部統制と経営判断の両方に活用することが理想です。

案件型ビジネスで整備したい内部統制

IT企業、制作会社、広告代理店、コンサルティング会社、受託開発会社では、案件ごとに契約条件、納品基準、売上計上時期、原価構成が異なります。

そのため、次の業務を一連のプロセスとして管理することが重要です。

見積もり
　↓
予算承認
　↓
受注・契約
　↓
社内工数・外注費・経費の発生
　↓
納品・検収
　↓
売上計上
　↓
請求・入金
　↓
案件別利益の確定

たとえば、受注金額が大きい案件でも、社内工数が当初予算を超えれば、想定した利益は残りません。

工数を案件原価に含めていない場合、売上から外注費と経費を差し引いた段階では黒字でも、社内人件費まで含めると採算が合っていないことがあります。

J-SOX対応を通じて受注、発注、工数、売上計上、請求の流れを整理すれば、財務報告の信頼性だけでなく、次のような経営課題の改善にもつながります。

• 赤字案件の早期発見
• 予算超過の抑制
• 売上や請求の計上漏れ防止
• 外注費や経費の計上漏れ防止
• 見積精度の向上
• 部門別・担当者別の収益把握
• 経営会議で使用する数値の信頼性向上

内部統制と収支管理を別々の業務にするのではなく、現場が入力したデータが承認を経て収支へ反映され、そのまま経営判断に使える仕組みを整えることが重要です。

収支の見える化にプロカンを活用する

案件別収支管理システム「プロカン」は、案件ごとの売上、原価、経費、工数を一元管理し、利益や収支を可視化するクラウドシステムです。公式サイトでは、案件別の売上・原価・工数を一元管理し、工数を原価として集計して、利益や収支をリアルタイムに確認できる機能が案内されています。

プロカンでは、次のような情報を案件単位で関連づけて管理できます。

• 見積もりと受注金額
• 案件予算
• 外注費と経費
• 担当者別の工数
• 工数を反映した原価
• 売上と請求
• 案件別の利益
• 予算と実績の差異

情報を案件単位で集約することで、売上や原価の根拠を確認しやすくなり、Excelファイルを横断して集計する作業も減らせます。また、プロジェクト、部門などの単位で収支を比較すれば、予算超過や利益率低下の早期把握にも活用できます。

ただし、J-SOX対応のためにシステムを選ぶ際は、機能があるかだけで判断するのではなく、自社の評価範囲と業務プロセスに合っているかを確認する必要があります。

必要な承認を設定できるか、数値の根拠を追跡できるか、現場が無理なく入力できるか、監査に必要な証跡を保存できるかといった観点が重要です。

まとめ

J-SOXは、監査用の文書を作るだけの制度ではありません。財務数値が作られる業務を整理し、リスクを抑える統制を日常業務のなかで機能させる取り組みです。

承認手続き、案件別収支、工数、原価、予実の管理方法を見直せば、報告の信頼性向上に加え、赤字案件の早期発見や利益改善にもつなげられます。Excelによる転記、版管理、証跡収集に時間がかかっている企業では、日常業務と内部統制を一体化できる仕組みの検討が重要です。

プロカンのようなシステムを活用することで、案件ごとの採算や工数をリアルタイムで可視化し、利益改善につなげることが期待できます。