内部統制報告書とは？作成から監査までを解説

「内部統制報告書」と聞くと、複雑な手続きやコストのかかる義務という印象をお持ちではないでしょうか。しかし、この報告書の本質を理解し正しく活用すれば、業務の無駄をなくし、不正を未然に防ぎ、企業の社会的信用を飛躍的に高める強力な経営ツールへと変わります。

このプロセスを習得することで、単なるコンプライアンス担当者ではなく、企業の持続的成長を支える戦略家としての評価を確立できるでしょう。

この記事を最後までお読みいただくことで、内部統制報告書の目的、作成プロセス、そして監査のポイントを体系的に理解できます。明日から自信を持って実務の指揮を執り、経営陣や監査法人と対等に議論し、企業のガバナンス強化に貢献している自分に気づくはずです。

「専門用語が多くて難しそう」「どこから手をつければいいかわからない」という不安を感じるかもしれません。ご安心ください。

本記事では、専門家でない方にも理解できるよう、具体的な手順や事例を交えながら、一つひとつ丁寧に解説します。この記事で示すステップに沿って進めるだけで、質の高い内部統制報告書を作成できるようになります。

内部統制報告制度の基礎知識：なぜこの報告書は重要なのか

内部統制報告書を正しく理解するためには、まずその背景にある制度の目的と法的根拠を知ることが不可欠です。ここでは、報告書が持つ本質的な重要性について掘り下げていきます。

内部統制報告書の目的と本質

内部統制報告書とは、企業の経営者が自社の内部統制システムが有効に機能しているかどうかを自ら評価し、その結果を報告する公式な文書です。この報告書の主な目的は、企業の財務報告が信頼できるものであることを、客観的な評価を通じて証明することにあります。

過去に多発した企業の不祥事や粉飾決算は、投資家や社会全体の信頼を大きく損ないました。これらの事件の多くは、社内のチェック機能、すなわち内部統制が適切に働いていなかったことが根本的な原因でした。

そこで、単に決算書という結果だけを報告させるのではなく、その決算書が作成されるまでのプロセスが健全であることを経営者自らが保証する仕組みが求められました。これが内部統制報告制度の核心です。

この報告書は、企業の透明性を高め、投資家が安心して投資判断を行えるようにするための重要な情報基盤となります。経営者が「私たちの会社の財務情報は、このようなしっかりとした社内ルールとチェック体制のもとで作られています」と公式に宣言するものであり、企業の誠実さを示す試金石ともいえるでしょう。

法的根拠：金融商品取引法とJ-SOX

内部統制報告書の提出は、日本の金融商品取引法によって定められた法的な義務です。この制度は、一般的に「J-SOX（ジェイソックス）」という通称で知られています。

この「J-SOX」という名称は、2002年にアメリカで制定されたサーベンス・オクスリー法（通称SOX法）をモデルとしていることから、「日本版SOX法」という意味で呼ばれるようになりました。

アメリカでエンロン事件などの大規模な不正会計事件が相次いだことを受け、企業経営者の責任を厳格化し、財務報告の信頼性を確保するためにSOX法が導入されました。日本もこの国際的な潮流を受け、同様の目的で2008年から内部統制報告制度を導入したのです。

ここで重要なのは、「J-SOX法」という名称の法律自体は存在しないということです。あくまで金融商品取引法の一部として規定された「内部統制報告制度」が正式な名称です。

この制度は単なる努力目標ではなく、違反した場合には5年以下の懲役または500万円以下の罰金（法人の場合は5億円以下の罰金）といった厳しい罰則が科される可能性がある、強制力のあるルールです。

提出が義務付けられている企業

内部統制報告書の提出義務があるのは、金融商品取引所に上場しているすべての企業です。この義務は、親会社単体だけでなく、子会社や関連会社を含む連結ベースで適用されます。

つまり、海外の子会社や外部委託先であっても、企業の財務報告に重要な影響を与える場合は評価の範囲に含まれることになり、グローバルに事業を展開する企業にとっては、グループ全体での体制構築が求められます。

特に注意が必要なのは、新規上場（IPO）した企業に関する規定です。新規上場企業は、上場後3年間に限り、公認会計士または監査法人による内部統制報告書の「監査」が免除される特例があります。しかし、これはあくまで外部監査が免除されるだけであり、経営者自身が内部統制を評価し、内部統制報告書を作成・提出する義務は免除されません。

この点を誤解し、上場後に体制構築を始めようとすると、初年度の報告書提出に間に合わないという事態に陥りかねません。したがって、IPOを目指す企業にとって、上場準備段階からJ-SOXに対応できる内部統制システムを構築しておくことは、避けては通れない重要なプロセスです。

内部統制を支える「4つの目的」と「6つの基本的要素」

内部統制は、単に報告書を作成するためだけの仕組みではありません。企業が健全に成長し続けるための経営管理の枠組みそのものです。金融庁が示す基準では、内部統制が達成すべき「4つの目的」と、それを実現するための「6つの基本的要素」が定義されています。

内部統制が目指す4つの目的

内部統制は、以下の4つの目的を達成するために業務に組み込まれるプロセスであり、これらは互いに密接に関連し合っています。

業務の有効性及び効率性

事業活動の目的を達成するため、業務の無駄をなくし、資源（ヒト・モノ・カネ・情報）を合理的に使用することを目指します。

報告の信頼性

財務報告や非財務報告が、偽りなく正確であることを確保します。J-SOXが最も重視するのがこの目的ですが、他の3つの目的が達成されて初めて、報告の信頼性も担保されます。

事業活動に関わる法令等の遵守

法律や規則、社会規範などを守り、企業倫理に則った活動を徹底することです。コンプライアンス違反は、企業の存続を揺るがす重大なリスクとなります。

資産の保全

会社の資産（現金、在庫、知的財産、顧客情報など）が、不正や誤謬によって失われることなく、正当な手続きのもとで取得、使用、処分されることを確保します。

これら4つの目的は、いわばテーブルの4本の脚のような関係にあります。どれか1本でも欠ければ、テーブル全体が不安定になります。「報告の信頼性」というJ-SOXの中心的な目的も、効率的な業務、法令遵守、そして資産の保全という他の3つの目的がしっかりと支えていてこそ達成できるのです。

成功の鍵を握る6つの基本的要素

4つの目的を達成するために、企業は以下の6つの基本的要素を組織内に整備し、運用する必要があります。

統制環境

組織の気風を決定づける最も重要な基盤です。経営者の誠実性や倫理観、経営方針、取締役会や監査役の機能、適切な組織構造や人事方針などが含まれます。過去の不正事例の多くは、この統制環境の不備、例えば「上司の意向に逆らえない企業風土」などに起因しています。どんなに優れたルールがあっても、それを守る文化がなければ形骸化してしまいます。

リスクの評価と対応

組織目標の達成を阻害する要因（リスク）を識別、分析、評価し、そのリスクに対して適切な対応（回避、低減、移転、受容など）を選択する一連のプロセスです。

統制活動

経営者の方針や指示が確実に実行されるための具体的なルールや手続きです。権限の分担、承認手続き、業務プロセスの相互牽制などがこれにあたります。

情報と伝達

必要な情報が識別・把握され、組織内外の適切な人へ、正確かつタイムリーに伝えられる仕組みです。この要素が他の5つの要素を相互に結びつけ、内部統制システム全体を機能させます。

モニタリング

内部統制が有効に機能しているかを継続的に監視・評価するプロセスです。日常業務に組み込まれたチェック（日常的モニタリング）と、内部監査部門などによる独立した立場からの評価（独立的評価）があります。

ITへの対応

業務プロセスや内部統制において、ITを有効に活用し、ITにまつわるリスク（システム障害、情報漏洩、サイバー攻撃など）に適切に対応することです。

これら6つの要素はすべて重要ですが、特に統制環境は他の5つの要素が有効に機能するための前提条件となります。経営者が率先して倫理観の高い企業文化を醸成することが、実効性のある内部統制の第一歩です。

実践編：内部統制報告書の作成プロセス

内部統制の理論を理解したところで、次はその実践方法を見ていきましょう。ここでは、内部統制の評価から報告書の提出までの具体的な流れと、その過程で作成される重要文書について解説します。

評価から提出までの全体像

内部統制報告書の作成・提出は、以下のステップで進められます。

1. 評価対象範囲の決定

まず、財務報告に重要な影響を及ぼす可能性のある拠点や業務プロセスを特定します。この際、やみくもに全業務を対象とするのではなく、「トップダウン型のリスク・アプローチ」という考え方が重要になります。これは、まず全社的な内部統制の有効性を評価し、その上で財務報告への影響が大きい重要なリスク領域に絞って評価を進めるという効率的な手法です。

2. 内部統制の整備・運用状況の評価

決定した評価範囲について、内部統制の状況を可視化し、評価します。この過程で中心的な役割を果たすのが、後述する「3点セット」です。

3. 内部統制の不備の把握と是正

評価の過程で発見された不備は、その重要度に応じて分類し、改善策を立案・実施します。財務報告に重要な影響を及ぼす可能性が高い不備は「開示すべき重要な不備」として扱われます。

4. 内部統制報告書の作成

評価結果に基づき、金融庁が定める様式（第一号様式）に従って内部統制報告書を作成します。

5. 公認会計士または監査法人による監査証明の取得

作成した内部統制報告書が適正であるかについて、外部の監査人による監査を受け、意見を表明してもらいます。これを「監査証明」と呼びます。

6. EDINETを通じた提出・公表

監査証明を受けた内部統制報告書は、有価証券報告書とあわせて、金融庁の電子開示システム「EDINET」を通じて提出され、一般に公表されます。

内部統制を可視化する「3点セット」

内部統制の評価を客観的かつ効率的に進めるために、実務上「3点セット」と呼ばれる3つの文書が作成されます。これらは報告書本体に添付して提出する義務はありませんが、評価の根拠となる極めて重要な資料であり、外部監査人が監査を行う際の主要なレビュー対象となります。

業務記述書

評価対象となる業務プロセスの流れを文章で記述したものです。「いつ、どこで、誰が、何を、どのように」行うのか（5W1H）を明確に記載し、担当者や使用する帳票、システムなどを具体的に記述します。これにより、業務の全体像を正確に把握します。

フローチャート

業務記述書の内容を、記号などを用いて図式化したものです。業務の流れ、書類の動き、承認プロセス、システムの処理などが視覚的に表現されるため、業務プロセス上のリスクが存在する箇所を直感的に理解しやすくなります。

リスク・コントロール・マトリクス（RCM）

3点セットの中で最も重要な文書です。フローチャートや業務記述書から識別された「財務報告の虚偽記載につながるリスク」と、そのリスクを低減するために設けられている「コントロール（統制活動）」を一覧表形式で対応付けたものです。RCMにより、各リスクに対して適切なコントロールが整備・運用されているかを網羅的に評価できます。

報告書の主要な構成項目

内部統制報告書は、金融庁の定める様式に基づき、主に以下の5つの項目で構成されます。

財務報告に係る内部統制の基本的枠組みに関する事項

ここでは、代表者および最高財務責任者（CFO）が財務報告に係る内部統制の整備・運用に責任を有していること、評価にあたって準拠した基準の名称、そして内部統制には固有の限界があり虚偽記載を完全に防止・発見できない可能性があること、の3点を宣言します。

評価の範囲、基準日及び評価手続に関する事項

評価の前提条件として、評価の基準となる日（通常は事業年度の末日）、どの拠点や業務プロセスを評価対象としたかという評価範囲とその決定方法の概要、そしてどのように評価を実施したかという評価手続の概要を記載します。

評価結果に関する事項

内部統制の有効性に関する経営者の最終的な結論を表明する、報告書の核心部分です。「有効である」「有効でない」といった結論を明確に記載します。

付記事項

基準日（事業年度末日）の翌日から内部統制報告書の提出日までの間に、内部統制の有効性の評価に重要な影響を及ぼす事象（後発事象）が発生した場合に、その内容を記載します。

特記事項

基準日時点では「開示すべき重要な不備」が存在したものの、報告書の提出日までにその不備を是正するための措置を実施した場合に、その内容を記載します。

監査、不備への対応、そして企業価値への貢献

内部統制報告書は、作成して提出するだけで終わりではありません。その信頼性を担保するための外部監査、そして評価の過程で発見された問題点への適切な対応が不可欠です。これら一連の活動が、最終的に企業の価値向上へとつながります。

内部統制報告書と内部統制監査報告書の違い

内部統制報告制度では、2種類の報告書が登場します。両者の違いを正しく理解することが重要です。

• 内部統制報告書
  経営者が自社の内部統制を評価し、その結果をまとめた「自己評価レポート」です。
• 内部統制監査報告書
  独立した第三者である公認会計士または監査法人が、経営者の作成した内部統制報告書を監査し、その内容が適正かどうかについて意見を表明する「監査人の意見書」です。

この関係は「二重責任の原則」に基づいています。つまり、内部統制を整備・運用・評価する一次的な責任は経営者にあり、監査人は経営者の評価結果が妥当かどうかを検証する責任を負います。監査人は直接的に企業の内部統制を評価するのではなく、あくまで経営者の「評価プロセスと結果」を監査するのです。

このため、企業側が作成する評価の記録（3点セットなど）の品質が、監査結果に直結します。

項目	内部統制報告書	内部統制監査報告書
作成者	企業の経営者	独立した公認会計士または監査法人
目的	自社の内部統制の有効性について自己評価結果を報告する	経営者の内部統制報告書が適正かについて意見を表明する
記載内容	評価の枠組み、範囲、手続き、および評価結果（有効か否か）	監査意見（無限定適正意見、限定付適正意見など）
根拠	経営者による内部統制評価	監査法人による内部統制監査
法的性格	経営者による宣誓・報告	外部専門家による証明・意見

「開示すべき重要な不備」が発見された場合の対応

評価の過程で「開示すべき重要な不備」が発見された場合、それは企業の財務報告の信頼性に重大な問題があることを意味します。このような事態に直面した場合、企業は迅速かつ適切な対応を取る必要があります。

1. 不備の識別と評価
   発見された不備が、財務報告に与える影響の大きさ（金額的重要性）や性質（質的重要性）を分析し、「開示すべき重要な不備」に該当するかを判断します。金額的な目安としては、連結税引前利益のおおむね5%などが参考にされます。
2. 是正計画の策定と実施
   不備の根本原因を特定し、具体的な改善計画を策定して実行します。
3. 期末日までの是正
   この是正措置が事業年度の末日（基準日）までに完了し、改善後の統制が有効に機能していることが確認できれば、内部統制報告書において「有効である」と結論づけることができます。
4. 期末日までに是正できなかった場合
   是正が間に合わなかった場合は、内部統制報告書の「評価結果」において「有効でない」と記載し、その不備の内容と是正できなかった理由を明記する必要があります。
5. 訂正報告書の提出
   提出済みの内部統制報告書に誤りがあったことが後日判明した場合は、「訂正内部統制報告書」を提出し、評価結果を訂正する必要があります。

関係者別の視点と役割

内部統制報告書は、組織内のさまざまな立場の人々、そして外部の投資家にとって異なる意味を持ちます。

経営者の役割と責任

経営者は、内部統制の整備・運用に関する最終的な責任を負います。経営者の倫理観や姿勢（いわゆる「トーン・アット・ザ・トップ」）が、組織全体の統制環境を決定づける最も重要な要素です。短期的な利益のために内部統制を無視する「経営者による内部統制の無効化（マネジメント・オーバーライド）」は、最も警戒すべきリスクの一つです。

経理担当者の留意点

経理・財務部門の担当者は、内部統制の実務における最前線にいます。日々の業務において、職務分掌や承認プロセスといった定められた統制活動を遵守することが求められます。また、3点セットの作成や、内部・外部監査人への説明など、評価プロセスの中心的な役割を担うことも多く、正確な業務遂行と記録の維持が不可欠です。

投資家のチェックポイント

投資家は、企業の財務情報の信頼性やガバナンスの質を評価するために内部統制報告書を活用します。報告書は金融庁のEDINETで誰でも閲覧可能です。特に注目すべきは「評価結果に関する事項」です。

「有効でない」という結論は、重大なリスクが存在することを示唆します。その場合、不備の内容や経営者の是正方針を詳しく確認し、あわせて提出される「内部統制監査報告書」における監査人の意見と照らし合わせることが、賢明な投資判断につながります。

2024年4月適用開始：内部統制基準の改訂ポイント

2023年4月に金融庁より公表され、2024年4月1日以降に開始する事業年度から適用される内部統制基準の改訂は、近年のビジネス環境の変化に対応するための重要なアップデートです。主な改訂ポイントは以下の通りです。

「報告の信頼性」への範囲拡大

従来の「財務報告の信頼性」から「報告の信頼性」へと目的の範囲が拡大されました。これは、サステナビリティ情報（ESG）など、非財務情報の重要性が高まっている現代の要請を反映したものです。

リスク評価の深化

不正リスクを評価する際の考慮事項が明記され、リスクは常に変化するものであるという前提のもと、適時・適切な再評価の重要性が強調されました。

IT統制の強化

クラウドサービスの利用拡大などを背景に、ITの外部委託に関する管理や、サイバーセキュリティの確保の重要性が追記されました。

評価範囲決定の合理性

売上高の3分の2といった画一的な基準を機械的に適用するのではなく、事業の特性やリスクを十分に考慮した上で評価範囲を決定し、その判断理由を報告書に記載することが求められるようになりました。

これらの改訂は、内部統制報告制度が形骸化することを防ぎ、現代の企業が直面するリアルなリスクに実効的に対応できるよう促すものです。

結論：信頼の礎としての内部統制報告書

本記事では、内部統制報告書の目的や法的根拠といった基礎知識から、具体的な作成プロセス、監査との関係、そして最新の制度改訂までを網羅的に解説しました。

内部統制報告制度は、過去の企業不祥事を教訓に、企業の財務報告に対する信頼を確保するために導入された法的な要請です。その根幹には、「4つの目的」と「6つの基本的要素」から成る体系的な経営管理のフレームワークが存在します。

この報告書を作成するプロセスは、単なる書類作成作業ではありません。自社の業務プロセスを見つめ直し、リスクを洗い出し、より強く、より効率的な組織へと変革していくための貴重な機会です。

そして、経営者が自らの責任でその有効性を宣言し、独立した監査人がその正当性を証明することで、株主、取引先、従業員、そして社会全体からの信頼を獲得するための礎となります。

健全な内部統制システムを構築し、それを内部統制報告書を通じて適切に開示することは、リスクや罰則から会社を守るための「守り」の活動であると同時に、企業の持続的な成長と価値向上を実現するための「攻め」の投資でもあるのです。