「内部統制を整備するように」と役員会や監査法人から求められ、言葉の意味や範囲があいまいなまま検索している担当者は少なくありません。上場準備が動き出した企業や、会社法上の大会社に該当する企業では、経理・財務・内部監査・法務といった管理部門が、内部統制という制度に急に向き合うことになります。
内部統制とは、大まかに言えば、会社が不正やミスを防ぎ、健全かつ効率的に業務を回すための社内の仕組み・ルールの総体です。金融庁の基準では4つの目的と6つの基本的要素として体系化されており、上場企業や大会社には会社法・金融商品取引法（J-SOX）に基づく対応が求められます。本記事が扱うのは企業の内部統制であり、地方自治体が地方自治法に基づいて整備する内部統制制度とは根拠法も枠組みも異なります。
本記事では、内部統制の定義・4つの目的・6つの基本的要素を、金融庁「財務報告に係る内部統制の評価及び監査の基準」の正式名称で整理します。あわせて、会社法・金融商品取引法での対象企業、2024年4月に適用された改訂基準、内部統制の具体的な進め方、そして整備・運用を支えるツールの活用まで解説します。自社が何をどう整備すればよいかを判断するための材料としてご活用ください。
目次
一括ダウンロードする
内部統制とは？
内部統制とは、会社が不正やミスを防ぎ、健全かつ効率的に業務を運営するために、業務のなかに組み込まれた仕組み・ルールの総体を指します。特定の部署や担当者だけが担うものではなく、経営者から従業員まで組織のすべての人が関わって成り立つ点に特徴があります。
内部統制の定義（金融庁基準）
内部統制の定義は、金融庁の企業会計審議会が定めた「財務報告に係る内部統制の評価及び監査の基準」に示されています。この基準では、内部統制を次のように定義しています。
内部統制とは、基本的に、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の４つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びＩＴ（情報技術）への対応の６つの基本的要素から構成される。
出典：財務報告に係る内部統制の評価及び監査の基準（意見書 別紙1）｜金融庁・企業会計審議会
この定義からわかるとおり、内部統制は「4つの目的」を達成するための仕組みであり、「6つの基本的要素」から構成されます。この2つが、内部統制を理解するうえでの土台になります。それぞれの中身は後の章で詳しく整理します。
内部統制が求められる背景と整備しない場合のリスク
内部統制が重視される背景には、企業の不正会計や情報漏洩といった不祥事が、企業価値や社会的信頼を大きく損なってきた経緯があります。財務報告の信頼性が揺らげば、投資家や取引先の判断を誤らせ、結果として企業の存続にも関わります。
内部統制の整備が不十分な場合、誤りや不正を早期に発見・是正する仕組みが働きにくくなります。上場企業では、内部統制報告制度（J-SOX）のもとで重要な不備が判明すれば、その事実を開示しなければならず、市場からの評価にも影響します。健全な業務運営と、対外的な信頼の確保の両面から、内部統制の整備が求められています。
内部統制の4つの目的
金融庁基準は、内部統制が達成すべき目的を4つ挙げています。いずれも正式名称が定められており、次のとおりです。各目的は独立していますが、相互に関連し合っています。
| 目的（正式名称） | 内容 |
|---|---|
| 業務の有効性及び効率性 | 事業活動の目的の達成のため、業務の有効性及び効率性を高めること |
| 報告の信頼性 | 組織内及び組織の外部への報告（非財務情報を含む）の信頼性を確保すること。財務報告の信頼性を含む |
| 事業活動に関わる法令等の遵守 | 事業活動に関わる法令その他の規範の遵守を促進すること |
| 資産の保全 | 資産の取得、使用及び処分が正当な手続及び承認の下に行われるよう、資産の保全を図ること |
このうち「報告の信頼性」は、2024年4月に適用された改訂で「財務報告の信頼性」から名称が変わった目的です（改訂の内容は後の章で解説します）。
各目的の定義は、金融庁基準の「Ⅰ．内部統制の基本的枠組み」に示されています。
出典・参考資料（1件）
内部統制の6つの基本的要素
4つの目的を達成するための構成部分が、6つの基本的要素です。金融庁基準は、これらを内部統制の有効性を判断する規準と位置づけています。正式名称と各要素の内容は次のとおりです。
| 基本的要素（正式名称） | 内容 |
|---|---|
| 統制環境 | 組織の気風を決定し、組織内の全ての者の統制に対する意識に影響を与えるとともに、他の基本的要素の基礎をなす基盤 |
| リスクの評価と対応 | 組織目標の達成を阻害する要因をリスクとして識別、分析及び評価し、当該リスクへ適切に対応する一連のプロセス |
| 統制活動 | 経営者の命令及び指示が適切に実行されることを確保するために定める方針及び手続 |
| 情報と伝達 | 必要な情報が識別、把握及び処理され、組織内外及び関係者相互に正しく伝えられることを確保すること |
| モニタリング（監視活動） | 内部統制が有効に機能していることを継続的に評価するプロセス |
| ITへの対応 | 予め適切な方針及び手続を定め、業務の実施において組織の内外のITに適時かつ適切に対応すること |
統制環境が他の5つの要素の土台となり、その上でリスクの評価と対応、統制活動が回り、情報と伝達、モニタリング、ITへの対応がそれらを支える関係にあります。6つは切り離して考えるのではなく、組み合わせて機能させることが重要です。
出典・参考資料（1件）
なぜ日本版は目的4・要素6なのか（COSOとの関係）
内部統制の国際的な枠組みとして知られるのが、米国のCOSO（トレッドウェイ委員会支援組織委員会）が公表した報告書です。日本の基準はこのCOSO報告書を土台としながら、日本の実情に合わせて目的と要素を1つずつ加えています。金融庁の企業会計審議会は、その経緯を次のように説明しています。
ＣＯＳＯ報告書の枠組みを基本的に踏襲しつつも、我が国の実情を反映し、ＣＯＳＯ報告書の３つの目的と５つの構成要素にそれぞれ１つずつ加え、４つの目的と６つの基本的要素としている。
出典：財務報告に係る内部統制の評価及び監査の基準並びに実施基準の設定について（意見書・平成19年2月15日）｜金融庁・企業会計審議会
具体的には、目的として「資産の保全」を独立させて明示し、基本的要素として「ITへの対応」を加えたと説明されています。COSOの3つの目的に「資産の保全」を足して4つに、5つの構成要素に「ITへの対応」を足して6つにしたのが日本の基準です。ITへの対応が加えられた背景には、COSO報告書の公表後にITが組織へ急速に浸透した事情があります。
この2007年の設定時の文書では、当時の第2目的を「財務報告の信頼性」と記していました。前述のとおり、この目的は2024年4月適用の改訂で「報告の信頼性」へと改称されています。由来を押さえるうえでは、目的・要素の数がCOSOに1つずつ足したものである点が要点です。
内部統制と内部監査・コーポレートガバナンス・コンプライアンスの違い
内部統制は、内部監査・コーポレートガバナンス・コンプライアンスと混同されやすい言葉です。いずれも企業の健全な運営に関わりますが、指す範囲や役割は異なります。内部統制を軸に整理すると、次のように区別できます。
| 用語 | 内部統制との関係 |
|---|---|
| 内部監査 | 内部統制が有効に機能しているかを、独立した立場で検討・評価する活動。内部統制の一部（モニタリングの一環）であり、内部統制そのものではない |
| コーポレートガバナンス | 企業経営を規律し、監督する仕組み全体。内部統制は、経営者がガバナンスの枠組みのなかで会社を健全・効率的に運営するために整備するもので、ガバナンスを支える要素の一つと位置づけられる |
| コンプライアンス | 法令や規範を遵守すること。内部統制の4つの目的の一つ「事業活動に関わる法令等の遵守」に対応する。コンプライアンスは内部統制が達成すべき目的の一部であり、内部統制はより広い概念 |
整理すると、コーポレートガバナンスが最も広い枠組みで、そのなかに内部統制があり、内部統制のなかにコンプライアンス（法令等の遵守）や内部監査が位置づけられる関係です。これらを同義で使うと社内の議論がかみ合わなくなるため、区別して押さえておくと役立ちます。
内部統制の義務がある企業と関連法（会社法・金融商品取引法／J-SOX）
内部統制の整備を求める法律は、主に会社法と金融商品取引法の2つです。それぞれ対象となる企業と求める内容が異なるため、自社がどちらに該当するかを確認することが第一歩になります。
会社法上の内部統制（大会社）
会社法は、大会社である取締役会設置会社に対し、内部統制システムの整備に関する事項を取締役会で決定することを義務づけています。会社法第362条第4項第6号が体制の整備を、同条第5項が大会社での決定義務を定めています。
六 取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務並びに当該株式会社及びその子会社から成る企業集団の業務の適正を確保するために必要なものとして法務省令で定める体制の整備
５ 大会社である取締役会設置会社においては、取締役会は、前項第六号に掲げる事項を決定しなければならない。
出典：会社法 第362条第4項第6号・第5項｜e-Gov法令検索
条文は「内部統制」という言葉を直接使わず、「業務の適正を確保するために必要な体制」と表現しています。子会社を含む企業集団の業務の適正確保まで対象に含む点も特徴です。ここでいう大会社とは、会社法第2条第6号で定義されています。
六 大会社 次に掲げる要件のいずれかに該当する株式会社をいう。イ 最終事業年度に係る貸借対照表（略）に資本金として計上した額が五億円以上であること。ロ 最終事業年度に係る貸借対照表の負債の部に計上した額の合計額が二百億円以上であること。
出典：会社法 第2条第6号｜e-Gov法令検索
資本金5億円以上、または負債総額200億円以上のいずれかに該当する株式会社が大会社にあたります。自社の貸借対照表と照らし合わせれば、会社法上の内部統制の決定義務がかかるかどうかを確認できます。
なお、指名委員会等設置会社・監査等委員会設置会社では、大会社かどうかにかかわらず、取締役会が内部統制システムの整備に関する事項を決定しなければなりません（内部統制システムを定める会社法第416条第1項第1号ホ・第399条の13第1項第1号ハと、その決定を取締役会の専決事項とする同法第416条第2項・第399条の13第2項）。機関設計によって決定義務の根拠となる条文が変わる点も押さえておきたいところです。
また、内部統制システムの整備について決定した会社は、その決定・決議の内容の概要と運用状況の概要を事業報告に記載して開示することが求められます（会社法施行規則第118条第2号）。方針を決めて終わりではなく、株主に対して整備・運用の状況を開示するところまでが会社法上の対応に含まれます。
金融商品取引法とJ-SOX（内部統制報告制度）
もう一つの柱が、金融商品取引法に基づく内部統制報告制度です。これは通称J-SOX（日本版SOX）と呼ばれ、上場会社などを対象に、財務報告に係る内部統制を経営者自らが評価し、その結果を「内部統制報告書」として提出することを義務づけています。根拠は金融商品取引法第24条の4の4です。
第二十四条の四の四 第二十四条第一項の規定による有価証券報告書を提出しなければならない会社（略）のうち、第二十四条第一項第一号に掲げる有価証券の発行者である会社その他の政令で定めるものは、内閣府令で定めるところにより、事業年度ごとに、（略）財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（以下「内部統制報告書」という。）を有価証券報告書（略）と併せて内閣総理大臣に提出しなければならない。
出典：金融商品取引法 第24条の4の4｜e-Gov法令検索
J-SOXは、2008年4月1日以後に開始する事業年度から適用されてきました。J-SOXや日本版SOXという呼び方は法令上の用語ではなく通称ですが、実務では広く使われています。上場を目指す企業は、上場後にこの制度への対応が必要になるため、準備段階から内部統制の整備に取り組むのが一般的です。
内部統制報告書に重要な事項について虚偽の記載があった場合、金融商品取引法上の刑事罰の対象となり得ます。あわせて提出する有価証券報告書に虚偽の記載があれば、そちらは課徴金の対象にもなり得ます。財務報告の信頼性を担保するための制度であるだけに、形式的に提出すればよいというものではなく、記載内容の正確性が問われる点に注意が必要です。
出典・参考資料（1件）
自社がどちらの対象になるかは、上場の有無と大会社への該当で整理できます。目安は次のとおりです。
| 自社の区分 | 会社法（大会社の体制整備） | 金融商品取引法（J-SOX） |
|---|---|---|
| 上場している大会社 | 対象 | 対象 |
| 非上場の大会社 | 対象 | 対象外 |
| 上場企業（大会社に非該当） | 対象外 | 対象 |
| 非上場で大会社でない企業（中小企業など） | 対象外 | 対象外 |
会社法は「大会社」を対象に体制整備の決定を、金融商品取引法は主に「上場会社等」を対象に財務報告に係る内部統制の評価・報告を求める、という役割分担で押さえておくと整理しやすくなります。法的な整備義務がない中小企業でも、業務の正確性や不正防止の観点から内部統制の考え方を取り入れる意義はあります。
2024年4月適用の内部統制基準の改訂
内部統制の基準は、2023年4月に改訂され、2024年4月1日以後に開始する事業年度から適用されています。金融庁基準は、適用時期を次のように定めています。
改訂基準及び改訂実施基準は、令和６（2024）年４月１日以後開始する事業年度における財務報告に係る内部統制の評価及び監査から適用する。
出典：財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）｜金融庁・企業会計審議会
主な改訂点は次の3つです。1つ目は、前述のとおり、目的の一つを「財務報告の信頼性」から「報告の信頼性」へ改称し、非財務情報を含む報告全体へと対象を広げたことです。サステナビリティ情報など非財務情報の開示が進んだ状況を反映しています。
2つ目は、「リスクの評価と対応」において、リスクを評価する際に不正に関するリスクを考慮することの重要性を明示した点です。3つ目は、「ITへの対応」で、IT委託業務に係る統制の重要性や、サイバーリスクの高まりを踏まえた情報システムのセキュリティ確保が重要である旨を記載した点です。クラウドやSaaSの利用が広がるなかで、IT統制の実務に直結する改訂といえます。
出典・参考資料（1件）
内部統制の進め方（立場別の役割・評価手順・3点セット・IT統制）
ここからは、「自社では何を、誰が、どう進めればよいか」という実務の観点を整理します。立場別の役割、評価・報告の手順、文書化のための3点セット、そしてIT統制の順に見ていきます。
着手の第一歩は、いきなり細部の文書化から入るのではなく、自社の内部統制の現状を把握し、リスクの大きい業務プロセスから評価の範囲を絞り込むことです。内部統制は整備して終わりではなく、有効に機能しているかを一定期間運用して確認する必要があるため、上場準備企業では準備開始から1年以上のスケジュールを見込むのが一般的です。
立場別の役割
金融庁基準は、内部統制に関係を有する者の役割と責任を定めています。基準が明記しているのは、経営者・取締役会・監査役等・内部監査人の4者の役割です。
- 経営者：組織のすべての活動について最終的な責任を有し、取締役会が決定した基本方針に基づいて内部統制を整備・運用する
- 取締役会：内部統制の整備・運用に係る基本方針を決定し、経営者による整備・運用を監督する
- 監査役等：独立した立場から、内部統制の整備・運用状況を監視・検証する（監査役、監査役会、監査等委員会または監査委員会を指す）
- 内部監査人：モニタリングの一環として内部統制の整備・運用状況を検討・評価し、必要に応じて改善を促す
実務では現場の従業員も、日々の業務のなかで定められた統制手続を実行する担い手として関与します。基準が役割と責任を定める主体は上記の4者ですが、内部統制は組織内のすべての人が遂行するプロセスである点は、定義のとおりです。
出典・参考資料（1件）
評価・報告の手順
財務報告に係る内部統制の評価は、全体から個別へと絞り込むトップダウン型のリスク・アプローチで行います。まず全社的な内部統制を評価し、その結果を踏まえて業務プロセスの評価範囲を決めていく流れです。実務では、次の順に進めるのが一般的です。
- 全社的な内部統制の評価：経営者が、全社的な内部統制の整備・運用状況と、それが業務プロセスに及ぼす影響の程度を評価する
- 決算・財務報告に係る業務プロセスの評価：主に経理部門が担当する決算・財務報告のプロセスを評価する
- その他の業務プロセスに係る内部統制の評価：売上や仕入など、重要な業務プロセスの統制を評価する
- 報告・内部統制監査：評価結果を内部統制報告書にまとめ、監査人による内部統制監査を受ける
全社的な内部統制、決算・財務報告に係る業務プロセス、業務プロセスに係る内部統制の評価といった用語はいずれも金融庁基準・実施基準で用いられています。番号を振った手順の並びは実務上の整理であり、自社の事業内容やリスクに応じて評価範囲を判断していくことになります。
出典・参考資料（1件）
3点セット（業務記述書・フローチャート・リスクコントロールマトリックス）
業務プロセスの内部統制を評価する際には、業務の流れとリスク、それに対する統制を文書化します。実務では、この文書化に用いる3種類の資料を「3点セット」と呼ぶのが一般的です。
- フローチャート：業務の流れを図で示したもの。金融庁の実施基準では「業務の流れ図」として例示されている
- 業務記述書：業務の内容や手続を文章で記述したもの
- リスクコントロールマトリックス（RCM）：業務に潜むリスクと、それに対応する統制を一覧で対応づけたもの。金融庁の実施基準では「リスクと統制の対応」として例示されている
「3点セット」「フローチャート」「RCM」という呼称はJ-SOX実務で定着した通称です。金融庁の実施基準では、それぞれ「業務の流れ図」「業務記述書」「リスクと統制の対応」という名称で参考例が示されています。呼び方は違っても指す内容は同じで、これらを整えることが業務プロセスの統制を評価・説明する土台になります。
出典・参考資料（1件）
IT統制（ITへの対応）のクラウド・SaaS時代の実務
6つの基本的要素の一つ「ITへの対応」は、業務がシステムに依存するほど重要性を増します。金融庁の実施基準は、IT統制を「ITに係る全般統制」と「ITに係る業務処理統制」の2つに整理しています。
ITに係る全般統制は、業務処理統制が有効に機能する環境を保証するための統制で、実施基準は具体例として次を挙げています。
ＩＴに係る全般統制の具体例としては、以下のような項目が挙げられる。・システムの開発、保守に係る管理 ・システムの運用・管理 ・内外からのアクセス管理などシステムの安全性の確保 ・外部委託に関する契約の管理
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（意見書 別紙1）｜金融庁・企業会計審議会
一方、ITに係る業務処理統制は、承認された業務がすべて正確に処理・記録されることを確保するために、業務プロセスに組み込まれた統制を指します。
クラウドやSaaSを業務に使う企業が増えた今、全般統制の例に挙げられた「内外からのアクセス管理」や「外部委託に関する契約の管理」は、実務の重みを増しています。SaaS利用時のアクセス権限の管理、操作ログや変更履歴といった証跡の保管、クラウド事業者という委託先の評価は、いずれもIT統制の範囲に含まれます。
2024年適用の改訂で、ITの委託業務に係る統制やサイバーセキュリティの確保が明記されたのも、こうした環境変化を反映したものです。
一括ダウンロードする
内部統制の整備・運用を支えるツール（GRCツール）の活用
ここまで見てきたとおり、内部統制の整備・運用は、規程の管理、リスクの評価、統制活動の記録、委託先の評価、IT統制など、幅広い業務にまたがります。これらを表計算ソフトや紙で属人的に管理し続けると、更新漏れや証跡の散逸が起きやすく、監査対応の負担も大きくなります。そこで活用されるのが、ガバナンス・リスク・コンプライアンスを一元管理するGRCツールです。
GRCツールは、扱う業務プロセスによって得意分野が分かれます。どの領域を自社の課題とするかによって、適したツールも変わります。おおまかには、次のような対応関係で考えると選びやすくなります。
- 委託先の評価（統制活動・リスクの評価と対応）：取引先・委託先へのチェックシート配信や評価の集計を行うツール
- 規程・文書の管理（統制環境・情報と伝達）：社内規程の作成・改定・周知や新旧対照表の管理を効率化するツール
- 全社的なリスク管理（リスクの評価と対応・モニタリング）：リスクの識別・評価・対応状況の追跡を一元化するツール
- IT統制・証跡管理（ITへの対応）：変更管理や承認フローをデジタル化し、操作ログ・承認履歴を証跡として残すツール
これらは自社で運用する製品を導入する方法のほか、専門家や外部サービスの支援を組み合わせる方法もあります。自社の体制や内部統制で優先したい領域に合わせて検討するとよいでしょう。ここからは、内部統制の各プロセスを支える代表的なサービスを紹介します。
| サービス名 | VendorTrustLink | KiteRa Biz | Enterprise Risk MT | LMIS |
|---|---|---|---|---|
| 提供会社 | 株式会社アトミテック | 株式会社KiteRa | 株式会社GRCS | 株式会社ユニリタ |
| 対応する内部統制の領域 | 統制活動／リスクの評価と対応 （委託先リスク管理・TPRM） | 統制環境／情報と伝達 （社内規程の管理・周知） | リスクの評価と対応／モニタリング （全社的リスク管理・ERM） | ITへの対応 （IT統制・システム変更の証跡管理） |
| 主な機能 | チェックシートの配信・回収・自動採点、委託先管理、契約情報管理、ダッシュボード | 社内規程の作成・改定・管理・周知・電子申請、AI法改正レビュー、新旧対照表の自動作成 | リスクの特定・分析・評価、対応策のモニタリング、インシデント報告・分析、リスクマトリックス可視化 | インシデント・問題・変更・リリース管理、承認ワークフロー、変更ログ・承認履歴の自動保存 |
| 提供形態 | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS・Salesforce基盤） | クラウド（SaaS・Salesforce基盤） |
| 料金の目安 | 要問い合わせ （アカウント数×委託先数の個別見積り） | 初期0円〜／月額0円〜 （Free・従業員規模別プラン） | 要問い合わせ （スモールスタート可のライセンス） | 初期30万円＋月額10万円〜 （25ユーザー・税別） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
ここで紹介するのは、内部統制の各領域を支えるサービスの一部です。以下の記事では、GRCツールをより幅広く取り上げ、委託先管理やESG開示への対応の動向を踏まえた失敗しない選び方まで比較・解説しています。自社に合うツールを本格的に検討したい方は、あわせてご覧ください。
1. VendorTrustLink（株式会社アトミテック）
VendorTrustLinkは、委託先・取引先へのチェックシートの配信から回収・自動採点・履歴管理までをクラウド上で一元化する、委託先リスク管理（TPRM）に特化したサービスです。株式会社アトミテックが提供しており、国際的なリスクマネジメントの指針であるISO 31000に準拠した設計を掲げています。
委託先の分類・絞り込み、チェックシートの一括配信と未回答者への自動リマインド、結果の自動採点と経年比較などに対応します。委託先は専用アカウントからプラットフォーム上で直接回答できるため、メールでのやり取りや表計算ソフトでの集計にかかる手間を減らせます。
内部統制でいえば、統制活動やリスクの評価と対応のうち、委託先起因のリスクを可視化・管理する場面で役立ちます。20人未満の小規模企業から東証プライム上場企業まで導入事例があり、チェックシートによる委託先管理を仕組み化したい企業に向いています。
2. KiteRa Biz（株式会社KiteRa）
株式会社KiteRaが提供するKiteRa Bizは、就業規則をはじめとする社内規程・労使協定書の作成から改定・管理・従業員への周知・行政への電子申請までをクラウドで一元管理します。規程は内部統制の土台である統制環境や、情報と伝達を支える基盤にあたります。
設問に回答する形での規程作成、改定時の新旧対照表の自動生成、法改正が条文に反映されているかをAIがチェックする機能などを備えます。従業員がいつでも社内規程を閲覧できる公開リンク機能もあり、規程の整備と周知を同じ基盤で回せる点が特徴です。規程管理が属人化しがちな企業や、法改正への対応漏れを防ぎたい企業に適しています。
3. Enterprise Risk MT（株式会社GRCS）
Enterprise Risk MTは、株式会社GRCSが提供する全社的リスクマネジメント（ERM）のクラウドアプリケーションです。ISO 31000に準拠し、Salesforceプラットフォーム上に構築されています。内部統制の基本的要素でいえば、リスクの評価と対応、そしてモニタリングを組織横断で支える役割を担います。
リスクの特定・分析・評価から、対応策の実施状況のモニタリング、ヒヤリハットや実際のインシデントの報告・分析まで対応し、ダッシュボードやリスクマトリックスでリスクを可視化します。表計算ソフトでのリスク管理から脱却し、経営層と現場のリスク情報を一元的に扱いたい企業に向いています。戸田建設やセガサミーホールディングスなどの導入企業が公表されています。
4. LMIS（株式会社ユニリタ）
LMISは、ITIL（ITサービス管理のベストプラクティス）に準拠したクラウド型のサービスマネジメントプラットフォームで、株式会社ユニリタが提供しています。インシデント管理・問題管理・変更管理・リリース管理などのプロセスをカバーし、IT統制（ITへの対応）の基盤として活用されます。
申請から承認までのワークフローをデジタル化し、承認履歴や変更ログをクラウド上に自動で保存できるため、IT変更に関する証跡を残しやすい設計です。必須項目が未入力の場合に申請をブロックするなど、プロセス制御の機能も備えます。システム変更の統制や監査対応を効率化したい、IT部門を持つ企業や監査対応が必要な企業グループに適しています。
まとめ
内部統制とは、会社が不正やミスを防ぎ、健全かつ効率的に業務を運営するための仕組みの総体です。金融庁基準では、業務の有効性及び効率性・報告の信頼性・事業活動に関わる法令等の遵守・資産の保全という4つの目的と、統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応という6つの基本的要素で体系化されています。
会社法は大会社に体制整備の決定を、金融商品取引法（J-SOX）は上場会社などに財務報告に係る内部統制の評価・報告を求めます。自社の該当性を確認したうえで、立場別の役割・評価手順・3点セット・IT統制といった実務に取り組むことになります。
規程管理・委託先評価・リスク管理・IT統制といった各プロセスは、GRCツールを活用することで属人化を防ぎ、監査対応の負担を軽くできます。自社が優先したい領域から、資料を取り寄せて比較検討を始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 内部統制とは何ですか？
A. 内部統制とは、会社が不正やミスを防ぎ、健全かつ効率的に業務を運営するために、業務のなかに組み込まれた仕組み・ルールの総体です。特定の部署や担当者だけが担うものではなく、経営者から従業員まで組織のすべての人が関わって成り立つ点に特徴があります。
金融庁の基準では、4つの目的と6つの基本的要素として体系化されています。それぞれの正式名称と内容は本記事の該当セクションで整理しています。
出典・参考資料（1件）
Q. 中小企業や非上場企業でも内部統制は必要ですか？
A. 中小企業や非上場企業には内部統制の法的な整備義務がかからないケースが多いものの、企業規模を問わず業務の正確性の確保や不正防止に役立つ考え方であり、無理のない範囲から取り組む価値があります。法的な整備義務は、原則として会社法上の大会社（資本金5億円以上または負債総額200億円以上）と、金融商品取引法の対象となる上場会社などに限られます。
とくに将来の上場を視野に入れる企業は、上場後にJ-SOX対応が必要になるため、準備段階から整備に着手しておくと後の対応がスムーズになります。
出典・参考資料（2件）
Q. 会社法と金融商品取引法（J-SOX）の内部統制は両方対応が必要ですか？
A. 会社法と金融商品取引法は対象企業も求める内容も異なるため、自社が両方に該当する場合は双方への対応が必要です。会社法は大会社に対し内部統制システムの整備方針を取締役会で決定することを求め、金融商品取引法（J-SOX）は上場会社などに財務報告に係る内部統制の評価・報告を求めます。
上場している大会社は両方の対象になりますが、非上場の大会社であれば会社法のみが対象、というように、まず自社がどちらに該当するかを確認することが第一歩になります。
出典・参考資料（2件）
Q. J-SOX対応にはどれくらいの期間がかかりますか？
A. J-SOX対応に法令上決まった期間はありませんが、実務では準備開始から1年以上を見込むのが一般的です。業務プロセスの文書化（3点セット）や統制の整備に加えて、内部統制が有効に機能しているかを確認するには一定期間の運用実績が必要になるためです。上場を目指す企業は、上場後にJ-SOX対応が必要になることを踏まえ、準備段階から余裕をもってスケジュールを組むことが求められます。
Q. 内部監査部門がない場合はどう進めればよいですか？
A. 内部監査部門がない場合は、担当者どうしが互いに確認し合う相互けん制（クロスチェック）の体制づくりから始め、必要に応じて外部の専門家の活用を検討するのが現実的です。内部統制では、担当者と承認者を分ける職務分掌や、独立した立場からの検証が重要になります。組織の規模拡大や上場準備の進展に合わせて、内部監査人の配置や監査体制の整備を段階的に進めていくとよいでしょう。
Q. 内部統制の3点セットとは何ですか？
A. 内部統制の3点セットとは、業務プロセスの統制を文書化するための業務記述書・フローチャート・リスクコントロールマトリックス（RCM）の3つの資料を指すJ-SOX実務の通称です。これらをそろえることで、業務プロセスに係る内部統制を評価・説明する土台になります。
業務記述書は業務の内容や手続を文章で記述したもの、フローチャートは業務の流れを図で示したもの、RCMは業務に潜むリスクと対応する統制を一覧で対応づけたものです。金融庁の実施基準では、それぞれ「業務記述書」「業務の流れ図」「リスクと統制の対応」という名称で参考例が示されています。
出典・参考資料（1件）
Q. 内部統制の整備・運用にツールは必要ですか？
A. 内部統制の整備・運用にツールの導入は必須ではありませんが、規程管理・委託先評価・リスク管理・IT統制などの業務を効率化し、監査対応の負担を軽くする有効な手段になります。これらの業務を表計算ソフトや紙で属人的に管理し続けると、更新漏れや証跡の散逸が起きやすくなります。
ガバナンス・リスク・コンプライアンスを一元管理するGRCツールを活用すれば、統制活動の記録や証跡の保管を仕組み化できます。自社が優先したい領域に合わせて、自社で運用する製品の導入と外部サービスの支援を組み合わせて検討するとよいでしょう。
内部統制の運用を支えるGRCツールの料金・手数料を一括チェック
MCB FinTechカタログでは、内部統制の整備・運用を支えるGRCツールの最新資料をまとめて取り寄せられます。規程管理・委託先評価・リスク管理・IT統制など、自社の課題に合わせて各社のサービスを比較検討する材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
