上場企業やIPO準備企業では、財務報告の信頼性を確かめるために「SOX監査（内部統制監査）」への対応が求められます。しかし、米国のSOX法と日本のJ-SOX、さらに内部統制監査・内部監査・会計監査が入り混じって説明されることが多く、自社が何を・どのように確かめられるのかがつかみにくい領域です。
SOX監査は、上場企業が財務報告の信頼性を確保できているかを、決められた手順で確かめる仕組みです。日本では金融商品取引法にもとづく内部統制報告制度（J-SOX）として、経営者による内部統制の評価と、監査法人による監査の二本立てで運用されています。
本記事では、SOX監査（内部統制監査）とは誰が何を確かめる監査なのかを出発点に、内部監査・会計監査との違い、評価範囲の決定から監査法人の内部統制監査・報告書提出までの流れ、対象企業・適用時期・根拠法、2024年4月改訂での変更点までを整理します。あわせて、評価や文書化の作業を支えるJ-SOX対応ツールの選択肢も紹介します。
目次
一括ダウンロードする
SOX監査（内部統制監査）とは
SOX監査（内部統制監査）とは、企業が作成した財務報告に係る内部統制の評価結果を、監査法人（公認会計士）が確かめて意見を表明する監査です。日本では金融商品取引法にもとづく内部統制報告制度（J-SOX）として制度化されており、経営者が自社の内部統制を評価して内部統制報告書を作成し、その報告書を監査法人が監査する、という二段構えになっています。
根拠となる条文は2つに分かれます。経営者が内部統制報告書を提出する義務は金融商品取引法第24条の4の4に、その報告書を公認会計士または監査法人が監査する義務は同法第193条の2第2項に定められています。内部統制報告書は、同条が定める「内部統制報告書」そのものを指します。
金融商品取引法により、上場会社を対象に財務報告に係る内部統制の経営者による評価と公認会計士等による監査（以下「内部統制報告制度」という。）が平成20（2008）年４月１日以後開始する事業年度に適用されて以来、15 年余りが経過した。
出典：財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）｜企業会計審議会（金融庁）
この一文のとおり、SOX監査（内部統制監査）は「経営者による評価」と「公認会計士等による監査」の二本立てで成り立っています。読者が検索で目にする「内部統制監査」は、このうち監査法人が行う後半部分を指す言葉です。
財務報告に係る内部統制とは（4つの目的・6つの基本的要素）
SOX監査で確かめられる「内部統制」とは何かを押さえておくと、監査で何を見られるのかが理解しやすくなります。金融庁の基準では、内部統制は次のように定義されています。
内部統制とは、基本的に、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の４つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びＩＴ（情報技術）への対応の６つの基本的要素から構成される。
出典：財務報告に係る内部統制の評価及び監査の基準（意見書 別添）｜企業会計審議会（金融庁）
内部統制の目的は4つありますが、J-SOX（内部統制報告制度）が確保の対象とするのは、このうち「財務報告の信頼性」に関わる部分です。金融庁は、内部統制報告制度はあくまで財務報告の信頼性の確保を目的とすると位置づけています。6つの基本的要素には「IT（情報技術）への対応」が含まれており、会計システムやアクセス管理といったIT統制もSOX監査の対象に入ります。
2024年4月以後開始する事業年度から適用された改訂で、4つの目的の名称が従来の「財務報告の信頼性」から「報告の信頼性」へと広げられました。名称は広がりましたが、J-SOX（内部統制報告制度）で監査されるのは、これまでどおり財務報告の信頼性に関わる部分です。金融庁も、この制度はあくまで財務報告の信頼性の確保を目的とすると意見書で強調しています。
内部統制監査・内部監査・会計監査の違い
「SOX監査」を調べていると、内部統制監査・内部監査・会計監査という似た言葉が出てきて混乱しがちです。3つは主体も目的も根拠も異なります。まず違いを整理します。
| 種類 | 誰が行うか | 何を確かめるか | 根拠 |
|---|---|---|---|
| 内部統制監査（SOX監査） | 監査法人・公認会計士（社外） | 財務報告に係る内部統制の評価結果が適正か | 金融商品取引法193条の2第2項（法定監査） |
| 会計監査（財務諸表監査） | 監査法人・公認会計士（社外） | 財務諸表そのものが適正に表示されているか | 金融商品取引法193条の2第1項（法定監査） |
| 内部監査 | 社内の内部監査部門 | 内部統制の整備・運用状況（業務全般） | 内部統制のモニタリングの一環（法定監査ではない） |
内部統制監査と会計監査は、どちらも監査法人が金融商品取引法にもとづいて行う法定監査です。違いは確かめる対象で、会計監査は財務諸表（決算書）そのものの適正性を、内部統制監査は「財務報告に係る内部統制の評価結果」の適正性を確かめます。両者は同じ監査人が一体として実施します。
一方、内部監査はこの2つとは性質が異なります。金融庁の基準では、内部監査人の役割は次のように定められています。
内部監査人は、内部統制の目的をより効果的に達成するために、内部統制の基本的要素の一つであるモニタリングの一環として、内部統制の整備及び運用状況を検討、評価し、必要に応じて、その改善を促す職務を担っている。
出典：財務報告に係る内部統制の評価及び監査の基準（意見書 別添）｜企業会計審議会（金融庁）
このように内部監査は、社内の部門が内部統制のモニタリング（監視活動）の一環として行う評価活動であり、監査法人が外部から行う法定の内部統制監査とは立場も根拠も異なります。内部監査の結果は経営者の内部統制評価を支える材料になりますが、それ自体がSOX監査なのではありません。
三者を区別する根拠条文は以下のとおりです。
出典・参考資料（1件）
SOX法とJ-SOX（日本版SOX法）の違い
「SOX法」はもともと米国の法律で、日本の「J-SOX」はそれを参考に設けられた制度です。混同しやすい2つの違いを整理します。
米国のSOX法（サーベンス・オクスリー法）は2002年に成立した連邦法です。制定法上の正式名称（短題）は「Sarbanes-Oxley Act of 2002」で、上院提出時の名称「Public Company Accounting Reform and Investor Protection Act of 2002」もあわせて知られています。
これに対しJ-SOX（日本版SOX法）は、金融商品取引法にもとづく内部統制報告制度の通称で、2008年4月1日以後開始する事業年度から適用されています。両者の主な違いは次のとおりです。
| 観点 | 米国SOX法 | J-SOX（内部統制報告制度） |
|---|---|---|
| 根拠 | サーベンス・オクスリー法（2002年・米国連邦法） | 金融商品取引法（24条の4の4／193条の2第2項） |
| 監査の方式 | 直接報告業務（ダイレクトレポーティング）を採用 | 直接報告業務を採用しない（経営者の評価結果を前提に意見表明） |
| 監査人が確かめる対象 | 経営者の評価と、内部統制そのもの | 経営者が作成した内部統制報告書（評価結果） |
最も実務に効く違いが、ダイレクトレポーティング（直接報告業務）の有無です。金融庁の基準は、J-SOXの内部統制監査について次のように定めています。
内部統制監査においては、内部統制の有効性の評価結果という経営者の主張を前提に、これに対する監査人の意見を表明するものであり、経営者の内部統制の有効性の評価結果という主張と関係なく、監査人が直接、内部統制の整備及び運用状況を検証するという形はとっていない。（注）この点について、米国では、現在、直接報告業務(ダイレクト・レポーティング)が採用されているが、我が国においては、直接報告業務を採用しないこととしている。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（意見書 別添）｜企業会計審議会（金融庁）
J-SOXでは、監査人は経営者の評価結果を前提にその適正性へ意見を述べます。米国のように監査人が内部統制を直接検証して報告する方式はとっていません。この違いが、後述する監査の流れにも表れます。
米国SOX法の監査関連条項（302条・404条・404(b)条）とJ-SOXとの対比
米国SOX法のうち、監査・内部統制に直接関わるのは302条・404条(a)・404条(b)条の3つです。日本のJ-SOXと対比すると役割が見えやすくなります。
- 302条：経営者（CEO・CFO）が、年次・四半期報告書の内容を確認し認証する責任を定める条項です。
- 404条(a)：経営者が財務報告に係る内部統制の整備・運用状況を評価し、その結果を報告することを求める条項です。J-SOXの経営者評価にあたります。
- 404条(b)：監査法人が経営者の評価に対して証明・報告（attestation）する条項です。米国ではここで監査人が内部統制そのものにも踏み込む直接報告が採られる点が、J-SOX（経営者の評価結果を前提とする間接報告）との違いになります。
条文の原文は米国政府出版局（govinfo.gov）で公開されています。
出典・参考資料（1件）
J-SOX監査の流れ（誰が何を見るか）
ここからは、J-SOX対応が実際にどんな手順で進むのかを、経営者・内部監査部門・監査法人がそれぞれ何を担うかとあわせて見ていきます。大きくは、経営者による評価と、その結果に対する監査法人の監査という流れになります。
前提として、評価する内部統制は2つの層に分かれます。全社的な内部統制は、経営方針や職務分掌、ルールの整備状況など会社全体に共通する仕組みを指します。業務プロセスに係る内部統制は、販売や購買、決算・財務報告といった個別業務のなかで、リスクをどの統制で防いでいるかという仕組みを指します。評価は、まず全社的な内部統制を見て、その結果を踏まえて重点的に見る業務プロセスを絞り込む、という順で進みます。
- 評価範囲の決定（スコーピング）：経営者が、財務報告への影響の重要性にもとづいて、評価対象とする事業拠点や業務プロセスを決めます。全社的な内部統制を先に評価し、その結果を踏まえて重要な虚偽記載のリスクが大きい業務プロセスへと対象を絞り込む考え方（トップダウン型のリスクアプローチ）が基本です。範囲の決定は経営者が行い、監査人とは必要に応じて協議します。
- 業務プロセスの文書化：対象とした業務プロセスについて、どんなリスクがあり、どの統制で防いでいるかを整理・記録します。ここで使われるのが後述の3点セットです。
- 整備・運用状況の評価：経営者が、全社的な内部統制と業務プロセスに係る内部統制について、統制が設計どおり整備され（整備状況）、継続して運用されているか（運用状況）を評価します。運用状況の評価では、サンプルを抽出して証跡を確かめます。内部監査部門がこの評価の実務を担うことが多くあります。
- 監査法人による内部統制監査：監査法人は、経営者が決めた評価範囲・評価手続・評価結果が適切かを確かめ、必要に応じて経営者の評価の裏づけとなった証跡も検証したうえで、内部統制報告書に意見を表明します。会計監査と一体として実施されます。
- 内部統制報告書の提出・開示：経営者は、有価証券報告書とあわせて内部統制報告書を内閣総理大臣に提出します。
この流れのなかで、評価範囲を決めるのは経営者です。監査人は指導的機能の一環として評価範囲について協議に関与しますが、範囲そのものを決めるのは経営者だと金融庁の基準で明確化されています。「監査法人に言われたとおりに決める」ものではない点は、準備段階で押さえておきたいところです。
準備の勘所は、評価と証跡の整備を期末直前にまとめて行わず、期中から計画的に進めておくことです。統制がいつ・誰によって実施されたかを示す証跡（承認記録やチェックの記録など）を日々の業務のなかで残しておくと、監査法人のサンプル検証にも対応しやすくなります。
3点セット（業務記述書・フローチャート・リスクコントロールマトリクス）
業務プロセスの文書化で作られる資料は、実務上「3点セット」と呼ばれます。内訳は、業務の流れを図にしたフローチャート（業務の流れ図）、処理内容を文章で記した業務記述書、リスクとそれを防ぐ統制を対応づけたリスクコントロールマトリクス（RCM）の3つです。
ただし「3点セット」は実務の通称で、基準そのものの用語ではありません。金融庁の実施基準では、これらは業務プロセスを整理・記録する際の参考例として示されており、必ずこの様式によることを求めているわけではない点に注意が必要です。実施基準は次のように述べています。
把握された業務プロセスの概要については、必要に応じ図や表を活用して整理・記録することが有用である。（注）図や表の例としては、参考２（業務の流れ図（例）、業務記述書（例））が挙げられる。ただし、これは、必要に応じて作成するとした場合の参考例として掲載したものであり、また、企業において別途、作成しているものがあれば、それを利用し、必要に応じそれに補足を行っていくことで足り、必ずしもこの様式によることを求めるものではない
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（意見書 別添）｜企業会計審議会（金融庁）
自社ですでに作成している業務フロー図や規程があれば、それを活用して補足していく形でも足ります。監査で見られるのは様式の体裁ではなく、リスクと統制が適切に把握・記録され、統制が機能しているかどうかです。
一括ダウンロードする
SOX監査の対象企業・適用時期・根拠法
「自社は対象になるのか」「いつから何をするのか」を整理します。内部統制報告制度の対象は上場会社です。金融商品取引法第24条の4の4が内部統制報告書の提出を、同法第193条の2第2項が公認会計士等による監査を義務づけています。
提出義務を負うのは上場会社本体です。評価は「当該会社の属する企業集団及び当該会社」（連結ベース）で行いますが、連結子会社自体が内部統制報告書を提出するわけではなく、親会社である上場会社の評価範囲に含まれるという関係です。適用時期は、前掲の金融庁意見書のとおり2008年（平成20年）4月1日以後開始する事業年度からです。
出典・参考資料（1件）
IPO準備企業の特例
新規上場する企業には、内部統制監査について特例があります。金融商品取引法第193条の2第2項第4号は、規模が一定の基準に達しない新規上場会社について、新規上場後3年を経過する日までの間、内部統制報告書の監査（監査証明）を受けることを免除しています。
この「一定の基準」は内閣府令で定められています。上場日が属する事業年度の直前事業年度の財務諸表を基準に、資本金100億円以上または負債総額1,000億円以上のいずれかに該当する会社は、免除の対象外です。裏返せば、資本金100億円未満かつ負債総額1,000億円未満の新規上場会社が、上場後3年間の監査免除を受けられます。自社が該当するかは、この2つの数値で当たりをつけられます。
注意したいのは、免除されるのは監査法人による「監査」であって、内部統制報告書の「提出」義務は免除されない点です。新規上場企業も内部統制報告書自体は上場初年度から提出する必要があり、監査を受ける部分だけが一定期間猶予される、という特例です。
2024年4月改訂で監査・評価範囲はどう変わったか
内部統制報告制度は、2023年（令和5年）4月7日に公表された金融庁（企業会計審議会）の意見書にもとづき、約15年ぶりに改訂されました。改訂後の基準は、2024年（令和6年）4月1日以後開始する事業年度における評価・監査から適用されています。制度の適用開始（2008年）とは別の、改訂の適用起点である点に注意してください。
改訂は「内部統制の基本的枠組み」「評価及び報告」「監査」の3分野にわたります。基本的枠組みでは4目的の「報告の信頼性」への名称変更が行われ、監査の分野でも評価・報告の変更に対応した見直しが入りました。ただしJ-SOXが確保の対象とするのが財務報告の信頼性である点は変わりません。実務で最も影響が大きいのが、次の評価範囲の決め方です。
実務に効く変更の一つが、評価範囲（スコーピング）の決め方です。従来は、評価対象を選ぶ目安として「売上高等のおおむね3分の2」や「売上・売掛金・棚卸資産の3勘定」といった数値がよく用いられてきました。改訂では、これらを機械的に当てはめるべきではないことが明記されました。
具体的には、評価対象とする重要な事業拠点や業務プロセスを選定する指標について、例示されている「売上高等のおおむね３分の２」や「売上、売掛金及び棚卸資産の３勘定」を機械的に適用すべきでないことを記載した。
出典：財務報告に係る内部統制の評価及び監査の基準等の改訂について（意見書）｜企業会計審議会（金融庁）
数値の目安を機械的に当てはめるのではなく、財務報告への影響の重要性や不正リスクなどを踏まえて範囲を判断する、リスクベースの考え方が明確にされました。もう一つの変更が、評価範囲に関する経営者と監査人の連携です。範囲を決めるのは経営者ですが、監査人が指導的機能の一環として、計画段階や状況の変化があったときに協議することが適切であると明確化されました。
2024年4月改訂以後にJ-SOX対応を進める企業は、「前年と同じ範囲」で済ませず、自社の事業や取引の変化を踏まえて評価範囲を見直し、その考え方を監査人と共有しておくことが実務上の勘所になります。
監査で指摘される不備と是正の進め方
内部統制の評価で統制が有効に機能していないと分かった場合、その状態は「不備」として扱われます。不備のうち、財務報告に重要な影響を及ぼす可能性が高いものは「開示すべき重要な不備」とされ、期末日までに是正されないと、内部統制は有効でないと評価・報告することになります。
不備には、全社的な内部統制の不備（会社全体の仕組みの欠陥）と、業務プロセスに係る内部統制の不備（個別業務での統制の欠陥）があります。いずれも、財務報告への影響の大きさに応じて「開示すべき重要な不備」にあたるかを判断します。
重要な不備が見つかった場合は、原因となっている統制を設計・運用の両面から見直し、是正状況を記録して再評価します。期中に発見して期末日までに是正できれば、有効と評価できる余地があります。だからこそ、評価を期末直前にまとめて行うのではなく、計画的に前倒しで進めることが大切です。
内部統制監査報告書の意見類型（無限定適正・限定付適正・不適正・意見不表明）
監査法人は、内部統制監査の結果を「内部統制監査報告書」にまとめ、意見を表明します。意見には4つの類型があり、どれが表明されるかで内部統制の評価が適正と認められたかどうかが分かります。
- 無限定適正意見：内部統制報告書が、全ての重要な点において適正に表示していると認められる場合の意見です。
- 限定付適正意見：評価範囲・評価手続・評価結果に不適切な点があり、その影響が重要ではあるものの、報告書全体を虚偽の表示とするほどではない場合に、除外事項を付して表明されます。
- 不適正意見：不適切な点の影響が、報告書全体として虚偽の表示に当たるほど重要だと判断された場合の意見です。
- 意見不表明：重要な監査手続を実施できなかったなどで、意見表明の基礎を得られなかった場合に、意見を表明しない旨とその理由が記載されます。
金融庁の基準では、無限定適正意見について次のように定められています。
監査人は、経営者の作成した内部統制報告書が、一般に公正妥当と認められる内部統制の評価の基準に準拠し、財務報告に係る内部統制の評価について、全ての重要な点において適正に表示していると認められると判断したときは、その旨の意見（この場合の意見を「無限定適正意見」という。）を表明しなければならない。
出典：財務報告に係る内部統制の評価及び監査の基準（意見書 別添）｜企業会計審議会（金融庁）
目指すのは無限定適正意見です。限定付適正意見や不適正意見は、評価範囲や評価結果に問題があったことを示し、意見不表明は監査に必要な手続が実施できなかったことを示します。いずれも投資家や取引先への説明に影響するため、評価と是正を計画的に進めておくことが欠かせません。
J-SOX対応・内部統制監査への備えを効率化するツール
ここまで見てきたとおり、SOX監査（内部統制監査）への対応は、評価範囲の決定、3点セットなどの文書化、整備・運用状況の評価、監査法人のレビュー対応と、作業量の多い継続的な業務です。これらを表計算ソフトと手作業だけで回すと、更新漏れや証跡の散在が起きやすくなります。文書化や評価、証跡の管理を支えるツールを使うと、属人的な運用から一歩進めやすくなります。
以下は、J-SOX対応（内部統制の文書化・評価）に用途を絞ったツールの比較です。提供形態や対応範囲を確認する手がかりとしてご覧ください。
| サービス名 | smoove J-SOX | iGrafx SOX+ |
|---|---|---|
| 提供形態 | クラウド（SaaS） | インストール型（デスクトップ）中心 |
| 文書化（3点セット作成） | ● | ● |
| 整備・運用状況の評価 | ● | ×文書化に特化 |
| 全社的な内部統制の評価 | ● | ×文書化に特化 |
| 監査法人のクラウドレビュー | ● | ×文書化に特化 |
| 無料トライアル | あり（1週間） | 要お問い合わせ（評価・相談窓口） |
| 料金 | 要お問い合わせ （規模・ID数に応じたプラン） | 要お問い合わせ （ライセンス購入型） |
| 対象規模 | IPO準備企業〜東証プライム上場企業 | 上場企業中心 |
| 特徴 | 公認会計士監修 文書化から評価・全社統制までクラウドで一元管理 | 業務可視化ツールiGrafxがベース 3点セット間の整合を自動維持 |
| 詳細情報 | サービス詳細を見る | 公式サイト |
※提供形態・対応範囲・料金は2026年10月時点の各社公式情報にもとづく目安です。料金が非公開のサービスは「要お問い合わせ」と記載しています。iGrafx SOX+は内部統制の文書化（3点セットの作成・維持）に用途を絞ったツールで、「×（文書化に特化）」は評価・監査法人レビュー機能が公式情報で確認できないことを示します。最新の対応範囲・料金は各社公式サイトでご確認ください。
ここからは、上記2つのツールを個別に紹介します。用途や提供形態で向き不向きが分かれるため、自社がクラウドで評価まで一元化したいのか、文書化を軸に自社環境へ導入したいのかを目安に読み比べてください。
smoove J-SOX（株式会社WARC）
smoove J-SOXは、J-SOX（内部統制報告制度）対応に特化したクラウド型のサービスです。業務記述書・フローチャート・リスクコントロールマトリクスといった文書の作成から、整備・運用状況の評価、全社的な内部統制の評価までを一つの画面で進められるよう設計されています。
評価項目と証憑（証跡）を紐づけて管理できるため、監査法人からの指摘にどの統制が対応しているかをたどりやすい点が特徴です。クラウド上で監査法人がレビューできる機能も備えており、IPO準備の段階から上場後の継続的な運用まで幅広く使えます。手作業で散らばりがちな評価作業と証跡を一か所にまとめたい企業に向いています。
iGrafx SOX+（株式会社サン・プラニング・システムズ）
iGrafx SOX+は、内部統制の文書化（3点セットの作成・維持）に強みを持つ国産のツールです。業務フローを可視化し、そこにリスクとコントロールを紐づけてリスクコントロールマトリクスを管理する、といった文書間の整合を保ちながら更新できる点が特徴です。
クラウド型のsmoove J-SOXに対し、こちらはインストール型を軸とする選択肢で、自社の環境に合わせて導入したい場合に候補になります。業務フローの変更が文書全体に反映される仕組みのため、毎期の文書更新にかかる手間を抑えたい企業に向いています。料金や最新の対応範囲は公式サイトで確認できます。
ここで取り上げたのはJ-SOX対応に用途を絞ったツールです。内部統制やリスク管理まで含めたGRC（ガバナンス・リスク・コンプライアンス）ツール全体を見比べて選びたい場合は、以下の記事で主要26製品の対応範囲や選び方を整理しています。
まとめ
SOX監査（内部統制監査）とは、企業が作成した財務報告に係る内部統制の評価結果を、監査法人が確かめて意見を表明する監査です。日本では金融商品取引法にもとづく内部統制報告制度（J-SOX）として、経営者による評価と監査法人による監査の二本立てで運用され、対象は上場会社、根拠は金融商品取引法第24条の4の4と第193条の2第2項です。
対応は、評価範囲の決定、業務プロセスの文書化、整備・運用状況の評価、監査法人の内部統制監査、報告書の提出という流れで進みます。2024年4月改訂以後は、評価範囲を数値基準で機械的に決めず、リスクを踏まえて判断し監査人と共有することが求められます。作業量が多く継続的な業務のため、文書化・評価・証跡管理を支えるツールの活用もあわせて検討してみてください。
一括ダウンロードする
SOX監査・J-SOXに関するよくある質問（FAQ）
Q. SOX監査（内部統制監査）とは何ですか？
A. SOX監査（内部統制監査）とは、企業が作成した財務報告に係る内部統制の評価結果を、監査法人（公認会計士等）が確かめて意見を表明する監査です。日本では金融商品取引法にもとづく内部統制報告制度（J-SOX）として、経営者による評価と監査法人による監査の二本立てで運用されます。根拠は同法第24条の4の4（報告書の提出）と第193条の2第2項（監査）です。
出典・参考資料（1件）
Q. SOX法とJ-SOXは何が違うのですか？
A. SOX法は2002年に成立した米国の連邦法、J-SOXは金融商品取引法にもとづく日本の内部統制報告制度の通称で、監査の方式が異なります。最も実務に効く違いがダイレクトレポーティング（直接報告業務）の有無です。米国は監査人が内部統制そのものを直接検証して報告しますが、J-SOXはこれを採用せず、監査人は経営者の評価結果を前提にその適正性へ意見を述べます。
Q. 内部統制監査・内部監査・会計監査はどう違いますか？
A. 内部統制監査と会計監査はどちらも監査法人が行う法定監査、内部監査は社内が行う法定監査ではない評価活動です。内部統制監査（金商法193条の2第2項）は内部統制の評価結果の適正性を、会計監査（同条第1項）は財務諸表そのものの適正性を確かめます。内部監査は、内部統制のモニタリングの一環として社内部門が整備・運用状況を評価するものです。
出典・参考資料（1件）
Q. SOX監査（内部統制監査）の対象になるのはどんな企業ですか？
A. 内部統制報告書の提出義務を負うのは上場会社本体で、金融商品取引法第24条の4の4にもとづき、2008年4月1日以後開始する事業年度から適用されています。評価は連結ベース（当該会社の属する企業集団及び当該会社）で行うため連結子会社も評価範囲に含まれますが、子会社自体が内部統制報告書を提出するわけではなく、親会社である上場会社の評価範囲に入るという関係です。
出典・参考資料（1件）
Q. IPO準備企業もSOX監査（内部統制監査）を受ける必要がありますか？
A. 資本金100億円未満かつ負債総額1,000億円未満の新規上場会社は、金融商品取引法第193条の2第2項第4号により、上場後3年間は内部統制監査（監査証明）を受けることが免除されます。ただし免除されるのは監査であって、内部統制報告書の提出義務は免除されません。新規上場企業も報告書自体は上場初年度から提出する必要があります。
出典・参考資料（1件）
Q. J-SOXの3点セットは必ず作成しなければならないのですか？
A. 3点セット（業務記述書・フローチャート・リスクコントロールマトリクス）は実務上の通称で、必ずこの様式で作成することを法令や基準が義務づけているわけではありません。金融庁の実施基準では、必要に応じて作成する参考例と位置づけられ、自社の業務フロー図や規程を活用して補足する形でも足ります。監査で見られるのは、リスクと統制が適切に把握・記録され、統制が機能しているかどうかです。
Q. 2024年4月の改訂でSOX監査（内部統制監査）の評価範囲や監査は何が変わったのですか？
A. 2024年4月1日以後開始する事業年度から、評価範囲を「売上高等のおおむね3分の2」などの数値基準で機械的に決めず、リスクを踏まえて判断することが明確化されました。範囲を決めるのは経営者であり、監査人は指導的機能の一環として計画段階や状況の変化時に協議すると示されました。前年と同じ範囲で済ませず、事業の変化を踏まえて見直し、監査人と共有しておくことが勘所です。
Q. SOX監査（内部統制監査）で不備が見つかるとどうなりますか？
A. 統制が有効に機能していない「不備」のうち、財務報告への影響が大きいものは「開示すべき重要な不備」とされ、期末日までに是正されないと内部統制は有効でないと報告することになります。見つかった場合は、原因の統制を設計・運用の両面から見直し、是正状況を記録して再評価します。期中に発見して期末日までに是正できれば有効と評価できる余地があるため、計画的に前倒しで進めることが大切です。
J-SOX対応・GRCツールの料金・資料を一括チェック
MCB FinTechカタログでは、内部統制の文書化・評価・証跡管理を支えるGRC・J-SOX対応ツールの最新資料を無料で一括請求できます。対応範囲や提供形態、料金体系など、比較に必要な情報をまとめて把握できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
