内部統制実施基準とは？2024年改正対応と企業価値を高める実践法について解説

内部統制の強化は、一部ではコストや手間のかかる義務的な対応と捉えられがちです。しかし、2024年4月から適用が開始された新しい内部統制の実施基準を正しく理解し、戦略的に活用することは、単なるコンプライアンス対応以上の意味を持ちます。

それは、貴社の企業価値を飛躍的に高める「攻めの経営」の基盤を築くことに他なりません。

今回の改正は、変化の激しい現代社会において、企業がステークホルダーからの信頼を勝ち取り、持続的な成長を遂げるための重要な指針となります。不確実性が増す時代だからこそ、盤石な内部統制は、企業のレジリエンス、すなわち回復力やしなやかさそのものと言えるでしょう。

本記事を通じて、複雑な改正内容を経営層に自信を持って説明し、現場をリードするための知識を習得できます。改正の背景にある本質的な意図を深く理解し、自社の状況に合わせて何をすべきかを具体的に描けるようになります。

漠然とした不安を解消し、内部統制を組織の強みへと変えるための明確なビジョンと実行力を手に入れましょう。

この記事では、金融庁が示す基準の要点を一つひとつ丁寧に解き明かし、実務に落とし込むための具体的なステップを体系的に解説します。ここに示された道筋をたどることで、着実に改正に対応し、自社の内部統制を次のレベルへと引き上げることが可能です。

義務から戦略へ、内部統制を企業成長のエンジンに変えるための知識を提供します。

揺るぎない基盤を築く：内部統制と実施基準の全体像

内部統制の改正内容を深く理解するためには、まずその土台となる基本的な考え方を再確認することが不可欠です。内部統制とは、単に社内のルールや手続きを指すものではありません。それは、企業が健全に目標を達成するために、組織の全構成員が遂行する「プロセス」そのものです。このプロセスが目指すものと、それを支える構造を理解することが、すべての始まりとなります。

なぜ内部統制は必要なのか？その根幹をなす4つの目的

金融庁は、内部統制が達成すべき目的を4つ定義しています。これらは個別に存在するのではなく、相互に深く関連し合いながら、企業の健全な運営を総合的に支えるものです。

業務の有効性及び効率性

事業活動の目的を達成するために、ヒト・モノ・カネ・情報といった経営資源を無駄なく、かつ効果的に活用することを目指します。例えば、過剰な在庫を抱えることなく生産計画を最適化したり、冗長な承認プロセスを合理化して意思決定を迅速化したりする取り組みがこれに該当します。

報告の信頼性

企業が作成し開示する報告書が、信頼できるものであることを保証する目的です。これには、投資家が意思決定の根拠とする有価証券報告書などの財務情報だけでなく、近年その重要性が増しているサステナビリティ情報といった非財務情報も含まれます。2024年の改正では、この点が特に重要な論点として強調されました。

事業活動に関わる法令等の遵守

法律、政令、規則、さらには社会的な規範などを遵守して企業活動を行うことを指します。コンプライアンス違反は、罰金や事業停止命令といった直接的な損害のみならず、企業の社会的評価を著しく傷つけ、事業の存続そのものを危うくする可能性があります。

資産の保全

企業の資産を適切に取得、使用、処分し、不正な利用や紛失、盗難などから保護することを目的とします。対象となる資産には、現金や設備といった有形資産だけでなく、知的財産権や顧客情報といった無形資産の保護も含まれ、その範囲は広範にわたります。

これら4つの目的は、互いに密接に連携しています。例えば、法令遵守を怠り大規模なリコールが発生した場合、多額の損失が生じて資産が損なわれます。同時に、リコール引当金の計上が必要となるため、財務報告の信頼性にも直接的な影響を及ぼすでしょう。

さらに、その対応に追われることで、本来の業務の有効性や効率性も著しく低下します。このように、一つの綻びが組織全体に影響を及ぼすため、4つの目的を一体として捉え、バランスよく達成することが極めて重要です。

組織を支える6本の柱：6つの基本的要素

4つの目的を達成するための具体的な構成要素として、金融庁は「6つの基本的要素」を定めています。これらは、内部統制という堅牢な建物を構築するための、6本の柱に例えることができます。

統制環境

組織の気風や文化を決定づける、最も重要な土台となる要素です。経営者の誠実性や倫理観、取締役会による監督機能の実効性、適切な組織構造や人事方針などが含まれます。たとえ優れたルール（統制活動）が存在していても、経営者がそれを軽視するような風土（統制環境の不備）があれば、内部統制全体が機能不全に陥る可能性があります。

リスクの評価と対応

組織の目標達成を阻害する可能性のある内外の要因（リスク）を識別し、その影響度や発生可能性を分析・評価した上で、適切な対応策を講じる一連のプロセスです。リスクへの対応策には、リスクの発生を未然に防ぐ「回避」、影響を低減させる「低減」、保険などを活用して他者に移転する「移転」、そしてリスクを許容する「受容」といった選択肢があります。

統制活動

評価されたリスクを低減するために、具体的な業務プロセスの中に組み込まれる方針や手続きを指します。例えば、「上長による承認」「職務権限の分担」「システムへのアクセス権限設定」「定期的な実地棚卸と残高照合」などがこれに該当します。

情報と伝達

組織内外の必要な情報が適切に識別・把握され、関係者に正確かつタイムリーに伝達される仕組みのことです。経営方針が現場の従業員に正しく伝わること、そして現場で発生した問題が経営層に迅速かつ正確に報告されること、その両方向のコミュニケーションが重要となります。

モニタリング

内部統制が有効に機能しているかを継続的に監視・評価する活動を指します。日常の業務プロセスの中で行われる「日常的モニタリング」と、内部監査部門などによって独立した立場から定期的に行われる「独立的評価」の二種類に大別されます。

ITへの対応

現代の企業活動に不可欠な情報技術（IT）に対して、適切に対応することを指します。業務プロセスに組み込まれたITシステムそのものの信頼性を確保することや、巧妙化するサイバーセキュリティの脅威から情報を守るための対策などが含まれます。

これら6つの要素は、すべてが相互に連携し、有効に機能して初めて、内部統制の4つの目的を達成することができます。特に「統制環境」は他の5つの要素すべての基盤となるため、その整備が内部統制を構築する上での第一歩となります。

グローバル標準との連携：COSOフレームワークとJ-SOXの関係

日本の内部統制基準は、全く独自に構築されたものではありません。その根底には、内部統制のグローバルスタンダードとして広く認知されている「COSOフレームワーク」という考え方が存在します。COSOは米国の民間組織が公表したフレームワークであり、世界中の多くの企業で内部統制の指針として採用されています。

日本の内部統制報告制度、通称「J-SOX」も、このCOSOフレームワークを基礎として構築されています。

日本の6つの基本的要素のうち5つは、COSOの5つの構成要素（統制環境、リスク評価、統制活動、情報と伝達、モニタリング活動）とほぼ一対一で対応しています。日本の制度における際立った特徴は、現代のビジネス環境を色濃く反映し、「ITへの対応」を独立した要素として明示的に掲げている点です。これは、ITがビジネスの根幹を成す現代において、その統制の重要性を特に強調する日本の規制当局の姿勢の表れと言えるでしょう。

このように、J-SOXは国際的なベストプラクティスに準拠しており、その深い理解はグローバルな事業展開においても不可欠です。

2024年の地殻変動：内部統制実施基準の主要な改正点を徹底解説

2008年の制度導入以来、約15年ぶりとなる今回の大規模な改正は、2024年4月1日以降に開始する事業年度から適用されます。この改正は、経済社会の構造変化や企業を取り巻くリスクの複雑化に対応し、内部統制報告制度の実効性をさらに高めることを目的としています。

ここでは、企業が優先的に対応すべき主要な変更点を、その影響とともに詳しく解説します。

「財務報告」から「報告」の信頼性へ：拡大する責任の範囲

今回の改正で最も象徴的な変更点は、内部統制の目的の一つが「財務報告の信頼性」から「報告の信頼性」へと変更されたことです。この変更は、現代の投資家やステークホルダーが企業の価値を判断する際に、財務諸表の数値データだけでなく、ESG（環境・社会・ガバナンス）やサステナビリティに関する非財務情報を重視するようになった時代の潮流を的確に反映したものです。

企業は今後、有価証券報告書などで開示する重要な非財務情報についても、その正確性や網羅性を担保する仕組みを構築することが求められます。ただし、金融商品取引法に基づく現在の内部統制報告制度（J-SOX）の直接的な対象は、引き続き「財務報告の信頼性」の確保が中心であることも明記されています。

とはいえ、この変更は企業の開示責任が将来的にさらに拡大していく方向性を示唆しており、先進的な企業は非財務情報の収集・開示プロセスの統制強化に今から着手することが望ましいでしょう。

新たな脅威への対峙：不正リスクとIT統制の強化

今回の改正では、現代企業が直面する二大脅威、すなわち「不正」と「サイバーリスク」への対応が強く求められています。この二つの脅威は、個別の問題としてではなく、相互に密接に関連する課題として捉え、統合的に対策を講じる必要があります。

不正リスクへの対応強化

「リスクの評価と対応」の項目において、不正に関するリスクを評価時に明確に考慮することの重要性が明記されました。

具体的には、不正が発生する要因とされる「動機・プレッシャー」「機会」「姿勢・正当化」、いわゆる「不正のトライアングル」を考慮してリスクを評価することが求められます。これは、単なるミス（誤謬）だけでなく、意図的な不正行為の発生を未然に防ぐための統制を、より意識的に設計・運用する必要があることを意味します。

IT統制の重要性の増大

現代の不正行為の多くがITシステムを介して行われるという現実を踏まえ、IT統制の強化も同時に要求されています。

主なポイントとして、大量の情報をシステムで自動処理する場合のデータや処理プロセスの信頼性確保、クラウドサービス利用やリモートアクセスの普及といった環境変化、そして増大するサイバーリスクに対応するための情報セキュリティ確保の重要性が追記されました。

また、外部の専門会社に業務を委託するケースの増加に伴い、委託業務に係る統制の重要性も明記されています。

重要なのは、これら二つの強化点を連動させて考えることです。例えば、不正なデータ改ざんという不正リスクを防ぐためには、システムへのアクセス権限管理や操作ログの監視といったIT統制が極めて有効な対策となります。

企業のITセキュリティ戦略は、もはや情報システム部門だけの課題ではなく、不正防止という全社的なリスク管理の中核をなすものと位置づける必要があります。

形骸化からの脱却：評価範囲の決定における新たなアプローチ

J-SOX対応において、どの事業拠点や業務プロセスを評価の対象とするかという「評価範囲の決定」は、実務上の大きな論点の一つです。従来は、「連結売上高のおおむね3分の2をカバーする事業拠点」といった定量的な基準が目安として用いられることが多くありました。

しかし、今回の改正では、こうした基準を機械的に適用するだけでは不十分であり、財務報告への影響を質的な側面からも十分に勘案して評価範囲を決定すべきであると明確にされました。

例えば、売上規模は小さくても、複雑な金融取引を行っている子会社や、のれんなどの重要な会計上の見積りが発生する事業は、質的な重要性が高いと判断し、評価対象に加えることを検討する必要があります。

経営者は、なぜその評価範囲を選択したのか、その判断理由を合理的に説明する責任を負います。そして、その決定プロセスや根拠について、必要に応じて監査人と事前に協議することが適切であるとされています。これにより、内部統制の評価が形骸化することを防ぎ、真にリスクの高い領域に資源を集中させることが可能になります。

J-SOX対応の実務とは

改正された実施基準の概念を理解した上で、次はその内容を具体的な実務に落とし込む方法について解説します。J-SOX対応は、定められた手順に沿って体系的に進めることが成功の鍵となります。

トップダウン型リスクアプローチの実践

J-SOXでは、「トップダウン型リスクアプローチ」という評価手法が採用されています。この手法は、まず会社全体の内部統制（全社的な内部統制）の有効性を評価し、その結果を踏まえて、財務報告に重要な虚偽記載を生じさせるリスクが高い業務プロセスに絞って詳細な評価を行うという考え方に基づいています。

このアプローチの核心は、効率性と有効性の両立にあります。まず、組織全体の基盤である「統制環境」が健全かどうかを評価します。経営層の意識が高く、倫理的な文化が根付いている、つまり全社的な内部統制が有効であると判断されれば、個々の業務プロセスの統制もある程度信頼できると想定できます。

逆に、全社的な内部統制に不備がある場合は、より広範な業務プロセスを慎重に検証する必要があります。このように、全体像を把握してから個別の詳細に焦点を当てることで、評価作業の負担を軽減しつつ、重要なリスクを見逃さないようにするのです。

必須文書「3点セット」の作成と活用

J-SOX対応の実務では、内部統制を可視化し、評価するために「3点セット」と呼ばれる文書を作成することが一般的です。

フローチャート

業務の流れを、標準化された記号や図を用いて視覚的に表現した文書です。誰が、いつ、どのような作業を行っているのかが一目でわかるため、業務プロセスの全体像を直感的に理解するのに役立ちます。

業務記述書

フローチャートの内容を、文章で補足説明するための文書です。業務の目的、担当部署、具体的な作業内容、使用する帳票や情報システムなどを詳細に記述し、業務の理解を深めます。

リスク・コントロール・マトリックス（RCM）

業務プロセスに潜在するリスクと、そのリスクに対応する統制活動（コントロール）を一覧表形式で整理した文書です。具体的には、「どのようなリスクがあるか（例：売上の架空計上）」「そのリスクを防ぐために何をしているか（例：出荷実績と請求書の上長による照合・承認）」といった関係性を明確にします。

この3点セットは、単に監査人に提出するための形式的な書類ではありません。特にRCMは、J-SOX対応の心臓部とも言える戦略的なツールです。RCMの作成プロセスを通じて、自社の業務にどのようなリスクが潜んでいるかを体系的に洗い出し、それに対するコントロールが十分に機能しているかを客観的に評価することができます。

RCMは自社のリスク管理体制を映し出す鏡であり、継続的な業務改善活動の出発点となるべき重要な文書なのです。

監査人との円滑な連携が成功の鍵

内部統制の評価は、最終的に公認会計士または監査法人による監査を受けることになります。そのため、監査人との円滑なコミュニケーションは、J-SOX対応を成功させる上で極めて重要です。

特に、今回の改正によって経営者の判断の裁量が大きくなった「評価範囲の決定」については、計画の早い段階で監査人と協議を行うことが強く推奨されます。経営者が決定した評価範囲の妥当性について、監査人の専門的な見解を事前に確認しておくことで、期末近くになってから評価範囲の不備を指摘され、大規模な手戻りが発生するリスクを回避できます。

監査人は企業の敵ではなく、財務報告の信頼性を共に高めるパートナーとして、積極的に対話し、その専門的な知見を活用することが、効率的で質の高い内部統制の構築につながります。

コンプライアンスの先へ：内部統制を企業価値向上のエンジンとする

これまで見てきたように、内部統制の実施基準への対応は、決して単なるコストや負担として捉えるべきではありません。むしろ、適切に整備・運用された内部統制は、企業の持続的な成長を支える強力なエンジンとなり得ます。

優れた内部統制システムは、まず経営の意思決定の質を高めることに貢献します。信頼性の高い情報がタイムリーに経営層へ伝達されることで、より的確で迅速な経営判断が可能になります。また、業務プロセスを可視化し、リスクを評価する過程で、非効率な業務や無駄な手続きが明らかになり、業務改善や生産性向上に直接つながることも少なくありません。

さらに、強力な内部統制は、投資家や金融機関、取引先といった多様なステークホルダーからの信頼を獲得するための基盤となります。財務報告の透明性が高く、不正や不祥事が起きにくい組織であるという評価は、資金調達を有利に進め、良好な取引関係を築く上で大きなアドバンテージとなるでしょう。

そして何よりも、従業員が公正なルールのもとで安心して働ける環境は、エンゲージメントを高め、優秀な人材を惹きつけ、定着させる力になります。

J-SOX対応への投資は、未来の企業価値を高めるための戦略的な投資です。コンプライアンスという守りの側面だけでなく、ガバナンスを強化し、組織の競争力を高めるという攻めの側面を意識することで、その価値を最大限に引き出すことができるでしょう。

まとめ

本記事では、2024年4月から適用が開始された新しい内部統制の実施基準について、その全体像から改正の要点、そして実務対応までを網羅的に解説しました。最後に、これからの時代を勝ち抜くレジリエントな組織を築くために、経営者や実務担当者が押さえるべき重要ポイントを再確認します。

内部統制の本質を理解する

内部統制は、4つの目的（業務の有効性・効率性、報告の信頼性、法令遵守、資産の保全）を、6つの基本的要素（統制環境、リスク評価、統制活動、情報と伝達、モニタリング、IT対応）を通じて達成するための全社的なプロセスであることを常に意識してください。

3つの主要な改正点を押さえる

今回の改正で特に重要なのは、以下の3点です。これらは現代の企業経営における重要課題を反映しています。

• 「報告の信頼性」への範囲拡大（非財務情報への意識）
• 不正リスクとIT統制の強化
• リスクに基づく実質的な「評価範囲の決定」

具体的な行動計画に着手する

明日からでも始めるべき具体的なアクションは明確です。

• リスク評価プロセスの見直しを実施する。
• 評価範囲の妥当性を再検討し、選定理由を文書化する。
• 監査人と早期に協議の場を設ける。

内部統制は、もはや企業の成長を縛る枷ではありません。それは、不確実な未来という大海を航海するための、信頼性の高い海図であり、頑丈な船体そのものです。この新しい基準を道しるべとして、貴社の内部統制を、真の企業価値創造の源泉へと昇華させてください。