J-SOX（内部統制報告制度）とは？対象企業・3点セット・2024年改訂までわかりやすく解説

上場企業や、これから新規上場（IPO）を目指す企業では、投資家に開示する財務情報の信頼性を確保する仕組みとして「J-SOX」への対応が求められます。経理や内部監査、情報システム、経営企画といった部門で「J-SOX対応も見ておいてほしい」と任されたものの、制度の中身を人に説明できるほどは理解できていない、という方も多いのではないでしょうか。

J-SOX（内部統制報告制度）は、金融商品取引法にもとづき、経営者が自社の内部統制を評価し、その結果を「内部統制報告書」として開示することを義務づける制度です。2008年4月に始まった制度ですが、2024年4月からは評価・監査の基準が改訂され、実務にも影響が及んでいます。

この記事では、J-SOXとは何かという一文の定義から、目的・対象企業・内部統制の枠組み・3点セット・対応の流れ・2024年改訂・罰則までを、金融商品取引法や金融庁の基準にもとづいて整理します。あわせて、制度理解のあとに多くの担当者が向き合う「3点セットの作成・運用やIT統制の整備をどう効率化するか」という次の一歩についても触れます。

J-SOX（内部統制報告制度）とは

J-SOX（内部統制報告制度）とは、金融商品取引法にもとづき、上場企業の経営者が自社の財務報告に関わる内部統制を評価し、その結果を「内部統制報告書」として事業年度ごとに内閣総理大臣に提出することを義務づける制度です。目的は、財務報告の信頼性を確保し、投資家を保護することにあります。

その根拠は、金融商品取引法第24条の4の4に置かれています。上場会社は、自社が属する企業集団（連結ベース）と自社の財務情報の適正性を確保する体制を評価した報告書を、有価証券報告書と併せて提出しなければなりません（実務では、EDINETを通じて電子的に提出します）。

第二十四条第一項の規定による有価証券報告書を提出しなければならない会社（略）のうち、（略）金融商品取引所に上場されている有価証券の発行者である会社その他の政令で定めるものは、内閣府令で定めるところにより、事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、（略）評価した報告書（以下「内部統制報告書」という。）を有価証券報告書（略）と併せて内閣総理大臣に提出しなければならない。

出典：金融商品取引法 第24条の4の4第1項｜e-Gov法令検索

提出された内部統制報告書は、公認会計士または監査法人による監査（内部統制監査）を受けることも義務づけられています。このようにJ-SOXは、「経営者による自己評価」と「監査人による外部監査」の両面から、財務報告の信頼性を担保する仕組みだと整理できます。

出典・参考資料（2件）

• 出典：金融商品取引法（第24条の4の4・第193条の2）｜e-Gov法令検索
• 出典：金融商品取引法に基づく内部統制報告制度の概要｜金融庁

J-SOXの目的と成り立ち

ここからは、J-SOXがなぜ生まれ、何のために設けられているのかを見ていきます。制度の背景を押さえると、後に続く3点セットやIT統制といった実務の意味も理解しやすくなります。

J-SOXは、通称「日本版SOX法」とも呼ばれます。この呼び名は、アメリカで2000年代前半に相次いだ企業の不正会計事件を背景に成立した「サーベインズ＝オクスリー法（SOX法）」を参考にしていることに由来します。日本公認会計士協会も、SOX法を参考にして日本でも同様の制度が導入された旨を、公式の用語解説で説明しています。

金融庁の企業会計審議会も、制度設計の背景として、米国でエンロン事件などをきっかけに内部統制の重要性が認識され、SOX法により経営者に内部統制報告書の作成が義務づけられた経緯に触れています。日本では2006年6月に金融商品取引法が成立し、2008年4月1日以後に開始する事業年度から内部統制報告制度が適用されました。

金融商品取引法により、上場会社を対象に財務報告に係る内部統制の経営者による評価と公認会計士等による監査（以下「内部統制報告制度」という。）が平成 20（2008）年４月１日以後開始する事業年度に適用されて以来、15 年余りが経過した。

出典：財務報告に係る内部統制の評価及び監査の基準並びに（略）実施基準の改訂について（意見書）（令和5年4月7日）｜金融庁・企業会計審議会

投資家は、企業が開示する財務情報を信じて投資判断を下します。その数字が不正確であれば、市場そのものへの信頼が損なわれます。J-SOXは、財務報告が作られる過程（内部統制）を経営者自身に点検させ、外部の監査人がそれを確かめることで、開示情報の信頼性を制度的に支えているといえます。

出典・参考資料（2件）

• 出典：会計・監査用語かんたん解説集「日本版SOX法（J-SOX）」｜日本公認会計士協会
• 出典：財務報告に係る内部統制の評価及び監査の基準並びに（略）実施基準の設定について（意見書）（平成19年2月15日）｜金融庁・企業会計審議会

J-SOXの対象企業

J-SOX（内部統制報告制度）の対象となるのは、金融商品取引所に上場している会社です。内部統制報告書の提出義務を負うのは上場会社そのものであり、その評価の範囲には、自社だけでなく属する企業集団（連結子会社など）も含まれます。

注意したいのは、提出義務者と評価範囲の違いです。報告書を提出するのは上場会社ですが、評価の対象は「当該会社の属する企業集団及び当該会社」とされ、連結ベースで内部統制の有効性を評価します。連結子会社が個別に内部統制報告書を提出するわけではありません。

出典・参考資料（1件）

• 出典：金融商品取引法に基づく内部統制報告制度の概要｜金融庁

IPO準備企業がJ-SOX対応を始める時期

これから上場を目指すIPO準備企業にとって、J-SOX対応は、内部監査体制の構築やコーポレート・ガバナンスの整備などと並ぶ、上場準備の重要な柱の一つです。内部統制の文書化や評価は短期間で整うものではなく、上場申請の数年前から段階的に体制を整えていくのが一般的です。

法令が着手時期を年数で定めているわけではありませんが、上場申請期を基準とした実務上の一般的な目安として、次のような進め方がよく挙げられます（自社の業務プロセスの複雑さや子会社の数によって前後します）。

• 申請期の3期前（N-3期）ごろ: 業務プロセスの棚卸しと文書化（3点セットの整備）に着手し、評価範囲の考え方を固める
• 2期前（N-2期）ごろ: 整備状況の評価を進め、不備の是正やIT統制の整備を回す
• 直前期（N-1期）ごろ: 運用状況の評価を通期で実施し、監査法人の内部統制監査に対応できる状態を目指す

金融商品取引法には、新規上場後の一定期間について内部統制監査を免除する特例も設けられています。上場スケジュールから逆算し、監査法人とも早めに目線を合わせて計画を立てることが現実的です。

出典・参考資料（1件）

• 出典：金融商品取引法（第193条の2第2項）｜e-Gov法令検索

内部統制の枠組み

J-SOXで求められる「内部統制」とは、具体的に何を指すのでしょうか。ここでは、金融庁の基準が定める内部統制の枠組みを、「4つの目的と6つの基本的要素」と「評価対象となる3層の統制」という2つの角度から整理します。

内部統制の4つの目的と6つの基本的要素

金融庁の基準では、内部統制を「4つの目的」を達成するために「6つの基本的要素」から構成されるプロセスと定義しています。J-SOXが直接の対象とするのは、このうち財務報告の信頼性ですが、内部統制そのものはより広い目的を持つ枠組みとして定義されています。

内部統制とは、基本的に、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の４つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びＩＴ（情報技術）への対応の６つの基本的要素から構成される。

出典：財務報告に係る内部統制の評価及び監査の基準（令和5年4月7日改訂）｜金融庁・企業会計審議会

整理すると、4つの目的と6つの基本的要素は次のとおりです。

• 4つの目的: 業務の有効性および効率性／報告の信頼性／事業活動に関わる法令等の遵守／資産の保全
• 6つの基本的要素: 統制環境／リスクの評価と対応／統制活動／情報と伝達／モニタリング（監視活動）／IT（情報技術）への対応

また、2024年の改訂で、目的の一つはそれまでの「財務報告の信頼性」から「報告の信頼性」へと表現が広がりました。ただし基準の注記では、報告の信頼性には財務報告の信頼性が含まれ、金融商品取引法上の内部統制報告制度（J-SOX）はあくまで財務報告の信頼性の確保を目的とすると整理されています。

内部統制の3層（全社的統制・業務プロセス統制・IT統制）

先ほどの6つの基本的要素が「内部統制に備わるべき性質」を表すのに対し、ここで扱う3層は「評価をどの単位で行うか」という切り口の違いです。J-SOXの評価は、内部統制を大きく3つの層に分けて進めます。会社全体に関わる方針やガバナンスを見る「全社的な内部統制」、個々の業務の流れに組み込まれた統制を見る「業務プロセスに係る内部統制」、そしてそれらを支える情報システムを対象とする「IT統制」です。

• 全社的な内部統制: 経営理念や社内規程、職務分掌など、会社全体の統制環境に関わるもの。評価の出発点となる
• 業務プロセスに係る内部統制: 販売・購買・在庫といった個々の業務の流れに組み込まれた統制。3点セットで文書化・評価する中心的な対象
• IT統制: 業務プロセスや財務報告を支える情報システムに関する統制

IT統制の分類（IT全般統制・IT業務処理統制）

IT統制について、金融庁の実施基準は「IT全般統制」と「IT業務処理統制」の2つに分けて定義しています。両者が一体となって機能することで、システムが情報を完全かつ正確に処理できる環境が保たれる、という考え方です。

ＩＴに対する統制活動は、全般統制と業務処理統制の二つからなり、完全かつ正確な情報の処理を確保するためには、両者が一体となって機能することが重要となる。ＩＴに係る全般統制とは、業務処理統制が有効に機能する環境を保証するための統制活動を意味しており、通常、複数の業務処理統制に関係する方針と手続をいう。

出典：財務報告に係る内部統制の評価及び監査の実施基準（令和5年4月7日改訂）｜金融庁・企業会計審議会

IT全般統制の具体例として、金融庁の実施基準は、システムの開発・保守の管理、システムの運用・管理、内外からのアクセス管理などシステムの安全性の確保、外部委託に関する契約の管理を挙げています。アクセス管理や外部委託先の管理が、財務報告を支えるIT統制の一部として位置づけられている点は、実務上のポイントです。

また、経済産業省が公表している「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」では、これらに全社的なIT統制（IT全社的統制）を加えた3つの層でIT統制を整理する考え方も示されています。金融庁の基準が定める2分類と、経済産業省のガイダンスが示す3分類の関係を押さえておくと、実務での整理がしやすくなります。

出典・参考資料（2件）

• 出典：財務報告に係る内部統制の評価及び監査の基準並びに（略）実施基準（令和5年4月7日改訂）｜金融庁・企業会計審議会
• 参考資料：システム管理基準 追補版（財務報告に係るIT統制ガイダンス）｜経済産業省

J-SOXの3点セット（業務記述書・フローチャート・リスクコントロールマトリクス）

業務プロセスに係る内部統制を評価するうえで、実務でよく使われるのが「3点セット」と呼ばれる文書です。業務記述書・フローチャート（業務の流れ図）・リスクコントロールマトリクス（RCM）の3つを指し、業務の流れとリスク、それを防ぐ統制の対応関係を可視化する役割を持ちます。

それぞれが何を書く書類で、どんな役割を果たすのかを整理すると、次のとおりです。

書類（通称）	何を書くか	役割
フローチャート（業務の流れ図）	取引の開始・承認・記録・処理・報告までの業務の流れを図で表す	業務プロセスの全体像を可視化し、統制上のポイント（リスクの所在）を見つけやすくする
業務記述書	各業務プロセスの手順・担当者・使用するシステムなどを文章で記述する	業務の流れ図を文章で補い、業務内容を正確に共有・記録する
リスクコントロールマトリクス（RCM）	各業務プロセスに潜むリスクと、それを防ぐ統制（コントロール）を対応付けた表	リスクごとに有効な統制が設けられているかを一覧で評価できるようにする

たとえば「受注→与信確認→出荷→売上計上」という販売プロセスなら、この流れをフローチャートで図示し、各工程の担当者や使用システムを業務記述書に書き出します。そのうえで「与信限度を超えた受注が承認されるリスク」に「システムによる与信限度チェック」という統制を対応させる形でRCMに整理します。実際の書式は、金融庁の実施基準に付された参考例で確認できます。

ここで押さえておきたいのは、「3点セット」という呼び方が実務上の通称であり、金融庁が法令用語として定めたものではない点です。金融庁の実施基準では、業務の流れ図・業務記述書・リスクと統制の対応（RCM）は、業務プロセスを整理・記録するための「参考例」として示されています。

把握された業務プロセスの概要については、必要に応じ図や表を活用して整理・記録することが有用である。（注）図や表の例としては、参考２（業務の流れ図（例）、業務記述書（例））が挙げられる。

出典：財務報告に係る内部統制の評価及び監査の実施基準（令和5年4月7日改訂）｜金融庁・企業会計審議会

言い換えれば、3点セットは必ずこの様式で作らなければ違反になる、というものではありません。あくまで業務プロセスとリスク・統制を整理・記録するための有用な手段として、多くの企業に定着している文書です。

出典・参考資料（1件）

• 出典：財務報告に係る内部統制の評価及び監査の実施基準（参考2・参考3）（令和5年4月7日改訂）｜金融庁・企業会計審議会

J-SOX対応の流れ

ここからは、J-SOX対応がどのような流れで進むのかを見ていきます。大きく分けると、経営者による評価、内部統制報告書の作成・提出、監査人による監査の3ステップです。これらは通常、事業年度を通じたサイクルで回り、期首に計画、期中に整備・運用状況の評価、期末後に報告書提出という流れになります。あわせて節の後半で、制度の主な特徴・関わる者の役割・不備の扱いを整理します。

1. 経営者による内部統制の評価: 全社的な内部統制を評価し、その結果を踏まえて評価対象とする業務プロセスを選び、整備状況（仕組みが設計・文書化されているか）と運用状況（設計どおりに運用されているかをサンプルで検証）を評価する
2. 内部統制報告書の作成・提出: 評価結果をまとめた内部統制報告書を作成し、有価証券報告書と併せて提出する
3. 監査人による内部統制監査: 提出する内部統制報告書について、公認会計士または監査法人の監査証明を受ける

J-SOXの主な特徴

J-SOXは、米国SOX法を参考にしつつ、日本の実情に合わせて設計された点にいくつかの特徴があります。金融庁の資料では、制度設計の要点として次のような点が整理されています。

• トップダウン型のリスク・アプローチ: 全社的な内部統制の評価を出発点に、リスクの大きい業務プロセスへ重点的に対象を絞り込む
• ダイレクト・レポーティングの不採用: 監査人が内部統制そのものを直接評価するのではなく、経営者の評価結果（内部統制報告書）を監査する方式を採る
• 内部統制監査と財務諸表監査の一体的実施: 同じ監査人が両方を担い、監査を効率的に行う
• 監査人と監査役・内部監査人の連携: それぞれの立場から内部統制の有効性を確かめる

出典・参考資料（1件）

• 出典：金融商品取引法に基づく内部統制報告制度の概要｜金融庁

内部統制に関わる者の役割

内部統制は、特定の部署だけが担うものではなく、組織内のさまざまな主体がそれぞれの役割を果たすことで機能します。金融庁の基準では、主に次の主体の役割が示されています。

• 経営者: 内部統制を整備・運用する最終的な責任を負い、その有効性を評価する
• 取締役会: 内部統制の整備・運用に関する基本方針を決定し、経営者の職務執行を監督する
• 監査役・監査役会等: 独立した立場から、内部統制の整備・運用状況を監視・検証する
• 内部監査部門: 内部統制の整備・運用状況を検討・評価し、必要に応じて改善を促す

内部統制の不備への対応

評価の結果、内部統制に不備が見つかることもあります。J-SOXでは、不備のうち一定の重要性を持つものを「開示すべき重要な不備」と位置づけ、期末日までに是正されていない場合は、内部統制報告書でその内容を開示することになります。

不備が見つかること自体が直ちに問題視されるわけではなく、発見した不備を適切に評価し、是正に向けて対応する仕組みが備わっているかどうかが重要です。期末日までに是正できれば、開示すべき重要な不備には該当しません。

出典・参考資料（1件）

• 出典：財務報告に係る内部統制の評価及び監査の基準並びに実施基準（令和5年4月7日改訂）｜金融庁・企業会計審議会

2024年改訂で変わったこと

J-SOXの評価・監査の基準は、2011年に簡素化を目的とした部分改訂が行われて以降、大きな見直しがなく、実質的に十数年ぶりの大幅な改訂となりました。企業会計審議会が2023年4月7日に意見書を公表し、基準・実施基準が改訂されたもので、改訂後の基準は2024年4月1日以後に開始する事業年度から適用されています（公表は2023年、適用は2024年である点に注意が必要です）。

主な改訂点を、改訂前後の対比で整理すると次のとおりです。

観点	改訂前	改訂後（2024年4月以後開始事業年度〜）
内部統制の目的	「財務報告の信頼性」	「報告の信頼性」へ表現を拡張（J-SOXの直接の対象は引き続き財務報告の信頼性）
評価範囲の決定	「売上高等のおおむね3分の2」「売上・売掛金・棚卸資産の3勘定」を目安に選定	これらの指標を機械的に適用すべきでないと明記
ITへの対応	—	ITの委託業務に係る統制の重要性、サイバーリスクを踏まえた情報システムのセキュリティ確保を明記
ガバナンス・リスク管理との関係	—	内部統制・ガバナンス・全組織的なリスク管理を一体的に整備・運用する考え方（3線モデル等）を例示
不正リスク	—	不正リスクの考慮を明示
経営者による内部統制の無効化	—	経営者が内部統制を無効化するリスクへの対応の重要性を明示
関係者の役割と責任	—	監査役等・内部監査人の役割の明確化

特に実務への影響が大きいのが、評価範囲の決定に関する見直しです。改訂前は「売上高のおおむね3分の2」「3勘定」といった目安が広く使われていましたが、意見書はこれらを機械的に適用すべきでないと明記しました。

具体的には、評価対象とする重要な事業拠点や業務プロセスを選定する指標について、例示されている「売上高等のおおむね３分の２」や「売上、売掛金及び棚卸資産の３勘定」を機械的に適用すべきでないことを記載した。

出典：財務報告に係る内部統制の評価及び監査の基準並びに（略）改訂について（意見書）（令和5年4月7日）｜金融庁・企業会計審議会

これは、目安そのものが撤廃されたという意味ではなく、数値を形式的に当てはめるのではなく、自社のリスクを踏まえて評価範囲を判断することが求められるようになった、と理解するのが正確です。判断にあたっては、売上高などの量的な目安だけでなく、新規事業やM&A、システム変更、不正リスクの大きさといった質的な観点もあわせて考慮します。

あわせて、IT委託やサイバーセキュリティへの対応が重視され、ITシステムに関わる統制の重要性が一段と高まっています。また、内部統制を組織全体で機能させる考え方として、現場部門（第1線）・管理部門（第2線）・内部監査部門（第3線）が役割を分担する「3線モデル」が例示されました。

出典・参考資料（1件）

• 出典：財務報告に係る内部統制の評価及び監査の基準並びに（略）実施基準の改訂について（意見書）（令和5年4月7日）｜金融庁・企業会計審議会

J-SOXに違反した場合の罰則

J-SOXへの対応を怠った場合、どのような罰則があるのでしょうか。金融商品取引法は、内部統制報告書について、重要な事項に虚偽の記載をして提出した場合や、報告書を提出しなかった場合に刑事罰を定めています。

内部統制報告書に重要な事項の虚偽記載があった場合、違反行為をした者は、5年以下の拘禁刑もしくは500万円以下の罰金、またはその両方が科されます（金融商品取引法第197条の2）。「拘禁刑」は、2025年6月に施行された刑法改正で従来の「懲役」と「禁錮」を一本化した刑罰の呼称です。報告書を提出しなかった場合も、同じ条項で罰則の対象となります。

次の各号のいずれかに該当する場合には、当該違反行為をした者は、五年以下の拘禁刑若しくは五百万円以下の罰金に処し、又はこれを併科する。

出典：金融商品取引法 第197条の2｜e-Gov法令検索

さらに、法人に対しては両罰規定が設けられており、内部統制報告書の虚偽記載などについては5億円以下の罰金が科される場合があります。一方、有価証券報告書そのものの虚偽記載は第197条で10年以下の拘禁刑・1,000万円以下の罰金（法人は7億円以下）と定められており、内部統制報告書の虚偽記載（第197条の2）とは法定刑が異なります。両者は混同されやすいため、区別して理解しておくとよいでしょう。

出典・参考資料（1件）

• 出典：金融商品取引法（第197条・第197条の2・第207条）｜e-Gov法令検索

J-SOX対応の次の一歩（3点セットの作成・運用とIT統制の整備）

制度の全体像を押さえたら、次に向き合うのは「自社で何から着手し、どう効率化するか」という実務の課題です。3点セットの作成・評価や、アクセス管理・ログ管理といったIT統制の整備は、Excelなどの手作業でも進められますが、対象となる業務プロセスや子会社が増えるほど、文書間の整合性を保つ負担や更新漏れのリスクが大きくなります。

ツールの検討に入る前に、まず着手したいのが現状の整理です。具体的には、次のような準備から始めると、その後の文書化や評価がスムーズに進みます。

• 販売・購買・在庫といった主要な業務プロセスの棚卸しと、評価対象とする重要な事業拠点の洗い出し
• 経営者・経理・情シス・内部監査部門などを含む推進体制（誰が主導し、誰が実務を担うか）の整備
• 監査人（監査法人）との事前の目線合わせ。評価範囲の考え方や必要な文書の水準を早めにすり合わせる

そのうえで、3点セットの作成・評価やIT統制の整備を効率化する手段を検討します。手段は大きく2つの方向に整理できます。1つは、3点セットの作成・評価そのものに特化した専用ツールを使う方向。もう1つは、会計や受発注といった業務基盤（ERP）に、職務分掌やアクセス管理・監査証跡といった統制の仕組みを組み込む方向です。ここでは、それぞれの代表的なサービスを紹介します。

以下では、それぞれのアプローチの代表例を1社ずつ紹介します。

1. smoove J-SOX（株式会社WARC）

3点セットの作成から評価までを1つのクラウド上で完結させたい場合の選択肢が、株式会社WARCが提供するsmoove J-SOXです。公認会計士の監修を掲げる内部統制業務のSaaSで、業務フロー・業務記述書・RCMの作成から、証憑データの管理、整備状況・運用状況の評価、ロールフォワード評価まで、年間を通じた内部統制業務をクラウド上で一元管理します。

業務フローの変更をRCMに自動反映して重複作業を減らす機能や、生成AIが業務記述を分析して見落としリスクを検知する機能を備えます。Excelでの運用から脱却しやすくする点を主眼に据えたサービスで、国産・日本語で完結し、無料トライアルも用意されています。アクセス管理は、自社ログインのシングルサインオン・多要素認証への対応が中心です。

2. Oracle NetSuite GRC（日本オラクル株式会社）

3点セットの文書化そのものではなく、業務基盤の側に統制を組み込むアプローチをとるのがOracle NetSuite GRCです。財務会計から販売・購買・在庫管理、CRMまでを1つにまとめた統合型クラウドERP「NetSuite」に組み込まれた、ガバナンス・リスク・コンプライアンス（GRC）の機能群で、日々の業務データと統制の仕組みが同じ基盤の上で動く点が特徴とされています。

職務分掌や多要素認証、IPアドレスの制限といったアクセス管理から、誰がいつどのデータをどう変更したかを残す監査証跡まで、内部統制に必要な仕組みを業務システムに備えます。3点セットの作成機能を持つツールとは位置づけが異なり、ERPの刷新や統合を伴う判断になる点は理解しておく必要があります。上場準備の段階で、業務と統制を一体で見られる基盤を探す企業に向いた選択肢です。

業務データと統制を同じ基盤に置く仕組みが現場の運用にどう作用するのかについて、提供元である日本オラクルの担当者は次のように述べています。

ここで取り上げた2サービスは、J-SOX対応に関わるツールの一部です。内部統制・GRC（ガバナンス・リスク・コンプライアンス）を支えるツールを、対応領域・料金・選び方まで含めて広く比較検討したい場合は、以下の記事もあわせてご覧ください。

まとめ

J-SOX（内部統制報告制度）は、金融商品取引法にもとづき、上場企業の経営者が財務報告に関わる内部統制を評価し、内部統制報告書として開示することを義務づける制度です。2008年4月に始まり、2024年4月からは改訂された基準が適用されています。

自社の対応を進めるうえでは、次のポイントを押さえておくとよいでしょう。

• 制度の骨格を理解する: 対象は上場企業（評価範囲は連結ベース）で、経営者の評価と監査人の監査の両面から財務報告の信頼性を担保する
• 3点セットは通称であり参考例: 業務記述書・フローチャート・RCMは業務プロセスを整理・記録する有用な手段だが、固定の様式が法令で義務づけられているわけではない
• 2024年改訂を踏まえる: 評価範囲の機械的な適用は避け、IT委託・サイバーセキュリティへの対応を強化する
• 効率化の手段を検討する: 業務プロセスや子会社が増えるほど手作業の負担は大きくなる。3点セットの専用ツールや、統制を組み込んだ業務基盤の活用を選択肢に入れる

J-SOX対応は負担の大きい業務ですが、制度の趣旨を正しく理解し、自社のリスクに応じてメリハリのある体制を築くことで、財務報告の信頼性と業務効率を両立させることが可能です。自社の状況に合わせて、最適な進め方を検討してください。

よくある質問（FAQ）

Q. J-SOX（内部統制報告制度）とは何ですか？

A. J-SOX（内部統制報告制度）とは、金融商品取引法にもとづき、上場企業の経営者が自社の財務報告に関わる内部統制を評価し、その結果を「内部統制報告書」として事業年度ごとに提出することを義務づける制度です。財務報告の信頼性を確保して投資家を保護することを目的とし、2008年4月に始まりました。提出された内部統制報告書は、公認会計士または監査法人による監査（内部統制監査）も受けます。

出典・参考資料（1件）

• 出典：金融商品取引法（第24条の4の4）｜e-Gov法令検索

Q. J-SOXと米国SOX法（SOX法）の違いは何ですか？

A. SOX法（サーベインズ・オクスリー法）は米国の法律で、J-SOXは日本の金融商品取引法にもとづく制度です。J-SOXは前者を参考に設計されたため「日本版SOX法」とも呼ばれます。制度上の違いとして、日本のJ-SOXは、監査人が内部統制そのものを直接評価する「ダイレクト・レポーティング」を採用せず、経営者による評価結果（内部統制報告書）を監査する方式を採ります。

出典・参考資料（1件）

• 出典：会計・監査用語かんたん解説集「日本版SOX法（J-SOX）」｜日本公認会計士協会

Q. 非上場企業もJ-SOX対応が必要ですか？

A. J-SOX（内部統制報告制度）で内部統制報告書の提出義務を負うのは金融商品取引所に上場している会社であり、非上場企業そのものに直接の提出義務はありません。 ただし、上場会社の連結子会社は親会社の評価範囲（連結ベース）に含まれるため、非上場であっても対応が求められる場合があります。また、これから上場を目指すIPO準備企業は、上場審査に向けて事前に内部統制の体制整備を進めておく必要があります。

Q. IPO準備企業はJ-SOX対応をいつから始めればよいですか？

A. 法令が着手時期を具体的な年数で定めているわけではなく、上場スケジュールから逆算して数年前から段階的に体制を整えるのが一般的な目安とされています。 内部統制の文書化や評価は短期間で整うものではなく、自社の業務プロセスの複雑さや子会社の数によって必要な準備期間も変わります。金融商品取引法には、新規上場後の一定期間について内部統制監査を免除する特例も設けられています。

出典・参考資料（1件）

• 出典：金融商品取引法（第193条の2第2項）｜e-Gov法令検索

Q. J-SOXの3点セットは必ず作らなければならないのですか？

A. 3点セットは法令で義務づけられた様式ではなく、業務プロセスとリスク・統制を整理・記録する「参考例」として金融庁の実施基準に示されているものです。 「3点セット」という呼び方も実務上の通称で、多くの企業に定着した文書ですが、この様式でなければ違反になるわけではありません。自社の業務に応じて、必要な内容を整理・記録できる形にすることが本来の目的です。

出典・参考資料（1件）

• 出典：財務報告に係る内部統制の評価及び監査の実施基準（参考2）（令和5年4月7日改訂）｜金融庁・企業会計審議会

Q. 2024年改訂でJ-SOX対応の負担は増えますか？

A. 「売上高等のおおむね3分の2」などの目安を機械的に当てはめず、自社のリスクに応じて評価範囲を判断することが求められるようになりました。 あわせて、IT委託業務やサイバーセキュリティへの対応が明記され、ITに関わる統制の重要性が高まっています。負担が一律に増減するというより、リスクの大きい領域にメリハリをつけて対応する姿勢が求められる、と理解するのが正確です。

出典・参考資料（1件）

• 出典：財務報告に係る内部統制の評価及び監査の基準並びに（略）改訂について（意見書）（令和5年4月7日）｜金融庁・企業会計審議会

Q. J-SOXと内部監査は何が違うのですか？

A. J-SOXは金融商品取引法にもとづく制度そのものを指し、内部監査は組織内で内部統制の整備・運用状況を検討・評価する活動を指します。 J-SOX対応では内部監査部門が評価の実務を担う中心的な存在になりますが、両者は「制度」と「その中で機能する部門・活動」という関係にあり、同じものではありません。本記事では制度全体の解説に主眼を置いています。

Q. J-SOXの3点セット作成やIT統制の整備はExcelでも対応できますか？

A. ExcelでもJ-SOX対応は可能ですが、業務プロセスや子会社が増えると整合性維持や更新漏れの負担が大きくなります。 選択肢としては、3点セットの作成・評価に特化した専用ツールと、統制の仕組みを組み込んだ業務基盤（ERP）があります。対象範囲や運用体制に応じて、手作業と専用ツールのどちらが適しているかを検討してください。

GRCツールの料金・手数料を一括チェック

MCB FinTechカタログでは、内部統制・GRC（ガバナンス・リスク・コンプライアンス）を支えるツールの最新資料をワンクリックで一括入手できます。3点セットの作成・評価、IT統制や委託先管理への対応範囲、料金体系、サポート体制などを、比較に必要な情報としてすばやく把握できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。