業務プロセス統制の文書化（3点セット）
企業法務・内部統制・監査の要点

業務プロセス統制の文書化（3点セット）とは、一般に、業務プロセスに係る内部統制を説明・評価するために作成される「業務の流れ図」「業務記述書」「リスク・コントロール・マトリックス（RCM）」の3種類の文書を指します。ただし、法令や金融庁・企業会計審議会の基準が、常にこの名称や様式での作成を一律に求めているわけではありません。

実務では、財務報告に係る内部統制の評価、監査人との協議、内部監査、IPO準備、グループ会社管理、委託先管理、システム変更管理、証跡管理を成立させる基礎資料として使われます。重要なのは、文書を作ること自体ではなく、取引の発生から承認、記録、処理、報告までの流れを可視化し、虚偽表示・不正・誤謬・権限逸脱・証跡欠落・IT依存リスクを統制活動と結び付けて説明できる状態を作ることです。

次の重要ポイントは、3点セットが何をつなぐ資料かを示しています。読者にとって重要なのは、会計・監査だけでなく、法務、内部監査、コンプライアンス、IT、事業部門、子会社管理が同じ業務実態を見られる点です。ここから、3点セットを単なる提出物ではなく、責任分界と改善の土台として読む必要があることが分かります。

次の比較一覧は、企業法務の観点から3点セットが持つ主な機能を整理しています。なぜ重要かというと、問題発生後に「誰が、どの証拠に基づき、どの統制に依拠していたか」を説明する必要があるためです。各項目から、証拠構造、責任分界、再発防止までを文書化段階で設計する視点を読み取ってください。

日本のJ-SOXは、金融商品取引法に基づく内部統制報告制度として理解されています。金融商品取引法第24条の4の4は、一定の有価証券報告書提出会社に対し、財務計算に関する書類その他の情報の適正性を確保するために必要な体制について評価した内部統制報告書を、有価証券報告書と併せて提出する仕組みを置いています。

会社法上も、取締役の職務執行が法令・定款に適合することを確保する体制や、株式会社および企業集団の業務の適正を確保するために必要な体制が問題になります。したがって、3点セットは直接にはJ-SOX対応の資料であっても、取締役会、監査役等、善管注意義務、監督義務、グループガバナンスの議論と無関係ではありません。

次の時系列は、3点セットをめぐる主要な基準・実務指針の動きを整理しています。時期を押さえることが重要なのは、評価対象年度や監査人との協議で、どの基準を前提に文書化を見直すかが変わるためです。日付と適用開始時期の順番から、2023年改訂と2025年監査実務指針の位置付けを読み取ってください。

次の表は、法令・基準ごとに3点セットとの関係を比較しています。読者にとって重要なのは、3点セット自体が条文上の提出書類ではなくても、経営者評価、監査、会社法上の体制整備を支える証拠になる点です。列の対応から、どの場面でどの説明が求められやすいかを確認してください。

作成の出発点は、経営者または内部統制責任者が、文書化の目的、対象範囲、責任者、スケジュール、利用ツール、レビュー手続を決めることです。法務部門は、文書の保存期間、アクセス権限、秘密情報管理、弁護士相談記録との分離、社内規程との整合、委託先契約との整合を確認します。

次の時系列は、3点セットを作成し、維持するまでの10段階を示しています。順番が重要なのは、対象プロセスの選定やウォークスルーを飛ばすと、現場実態と文書がずれやすくなるためです。各段階で何を固め、次の段階に何を引き渡すかを読み取ってください。

次の表は、評価対象プロセスを選ぶ際の観点を整理しています。なぜ重要かというと、すべての業務を同じ粒度で文書化すると、更新不能な資料が増えるためです。金額、リスク、変化、過去不備、IT依存、法務・規制の観点を組み合わせ、優先順位を読み取ってください。

次の判断の流れは、作成した3点セットをそのまま承認してよいかを確認する順番を示しています。重要なのは、形式が整っているだけでは足りず、現場実態、証跡、規程、システム、例外処理まで一致しているかを見る点です。上から順に確認し、分岐では不足があれば差し戻すと読み取ってください。

現代の業務プロセスは、ERP、販売管理、購買管理、在庫管理、人事給与、会計、ワークフロー、電子契約、クラウドストレージ、BI、RPA、AI支援ツールなどに依存しています。ITを利用した内部統制は、システム環境全体に関するIT全般統制と、入力チェック・自動計算・自動承認などの業務処理統制に分けて考える必要があります。

次の表は、3点セット上の記載とIT統制の関係を示しています。なぜ重要かというと、「自動処理」と書くだけでは、マスタ、権限、変更管理、連携エラーを評価できないためです。各行から、業務処理統制を支えるIT全般統制まで確認する必要があることを読み取ってください。

次の比較一覧は、IT統制の文書化でよく起きる問題と影響を整理しています。読者にとって重要なのは、会計監査だけでなく、個人情報保護、営業秘密管理、サイバーセキュリティ、電子帳簿保存、訴訟証拠、行政調査にも影響する点です。問題と影響の組み合わせから、IT・法務・内部監査が連携すべき領域を読み取ってください。

次の一覧は、法務・コンプライアンスの観点で3点セットに組み込むべき重点論点を示しています。重要なのは、財務報告に直接見えない契約・規制・証跡管理が、引当金、偶発債務、売上取消、行政処分、開示に影響し得る点です。各項目から、どの統制に法務部門が関与すべきかを読み取ってください。

3点セットで最も多い問題は形骸化です。前年度ファイルをコピーし、日付だけ更新する、旧システム名が残る、電子ワークフロー化されたのに承認印が証跡欄に残る、といった状態では、監査対応にも経営管理にも使いにくくなります。

次の一覧は、よくある不備と改善方向を整理しています。重要なのは、不備を単なる記載ミスとして片付けず、統制の整備・運用・評価可能性に影響する問題として扱う点です。各項目から、どの改善策を3点セットに反映すべきかを読み取ってください。

次の表は、3点セットの品質を評価する観点を整理しています。なぜ重要かというと、見た目が整っていても、正確性、完全性、評価可能性、更新可能性が弱ければ、監査や不祥事対応で使えないためです。良い状態と悪い状態を比べ、自社資料のどこに改善余地があるかを読み取ってください。

次の表は、成熟度を5段階で整理しています。段階を分けることが重要なのは、いきなり最高水準を目指すより、現状がどこにあり、次に何を整えるべきかを決めやすいためです。レベル1から5へ進むにつれて、文書が存在する状態から、経営管理に活用される状態へ進むことを読み取ってください。

監査人に対しては、3点セットの形式ではなく、評価対象プロセスをどのように選定したか、重要なリスクをどのように識別したか、キーコントロールをどのように選定したか、統制が設計上有効といえる理由は何か、運用証跡は何かを説明できることが重要です。

次の一覧は、監査対応で説明すべき事項を整理しています。なぜ重要かというと、監査人は資料の美しさではなく、経営者評価の根拠として、評価範囲、統制識別、証跡、不備判断の整合を確認するためです。項目ごとに、事前に用意すべき説明と証跡を読み取ってください。

Q1. 3点セットは法律上必ず作成しなければなりませんか。

一般的には、法律が「業務の流れ図、業務記述書、RCM」という名称・様式での作成を一律に義務付けているわけではないとされています。ただし、内部統制評価と監査を実務上成立させるためには、業務プロセスの流れ、リスク、統制、証跡を説明する資料が必要になる可能性があります。具体的な開示・監査対応は、会社の状況に応じて弁護士、公認会計士等の専門家へ相談する必要があります。

Q2. 業務の流れ図と業務記述書は両方必要ですか。

一般的には、重要プロセスでは両方を整備することが望ましいとされています。ただし、会社規模、プロセスの複雑性、IT環境、監査人との協議状況によって合理化できる可能性があります。具体的な粒度は、評価対象とリスクに応じて専門家と確認する必要があります。

Q3. RCMは誰が作るべきですか。

一般的には、内部統制担当または経理が中心になり、現場部門、法務、IT、内部監査が関与する形が多いとされています。リスクは現場、会計影響は経理、法令・契約リスクは法務、システム依存はIT、統制評価は内部監査が知るため、複数部署でレビューする必要があります。

Q4. どの程度細かく書けばよいですか。

一般的には、第三者が読んで、誰が、いつ、何を、何と照合し、どの基準で判断し、どの証跡を残すかが分かる粒度が必要とされています。ただし、全画面操作まで書く必要があるとは限りません。重要リスクとキーコントロールを評価できる粒度を、会社の実態に応じて決める必要があります。

Q5. 監査人から修正を求められた場合はどう考えますか。

一般的には、監査人の指摘は重視されます。ただし、会社は経営者評価の責任主体として、リスク、統制、証跡、代替統制、費用対効果を踏まえて合理的に判断する必要があります。意見が分かれる場合は、指摘の趣旨を確認し、統制目的を満たす別の方法があるかを協議することが考えられます。

Q6. 法務部門はどこまで関与すべきですか。

一般的には、法務部門が全てのRCMを作成する必要はありません。ただし、契約条件、決裁権限、規制対応、個人情報、秘密情報、委託先管理、不祥事対応、証跡保全、取締役会報告に関係する統制には関与する必要があります。具体的な役割分担は、会社の組織体制に応じて定める必要があります。

Q7. 内部統制不備が見つかった場合、3点セットはどう更新しますか。

一般的には、不備の原因を分析し、リスク記述、統制内容、証跡、担当者、頻度、例外処理、IT設定、規程、教育を見直します。是正後は、業務の流れ図、業務記述書、RCM、評価調書、不備管理表を整合させる必要があります。

Q8. 電子契約やワークフローを導入すれば3点セットは不要になりますか。

一般的には、不要にはならないとされています。電子化により証跡は取りやすくなる一方、承認ルート、権限設定、代理承認、アクセス権限、ログ保管、契約原本管理、データ改ざん防止、システム変更管理を文書化する必要があります。具体的な対応は、IT統制と契約管理の状況に応じて確認する必要があります。

業務プロセス統制の文書化（3点セット）は、単なるJ-SOX対応書類ではありません。業務の流れ図は業務の流れを示し、業務記述書は手順と証跡を説明し、RCMはリスクと統制を対応させます。3つが整合して初めて、会社は、自らの業務プロセスについて、どのリスクを認識し、どの統制により低減し、どの証跡により説明できるかを明らかにできます。

次の重要ポイントは、3点セットの最終目標をまとめたものです。重要なのは、資料を作ることではなく、業務、リスク、統制、証跡、責任、改善を説明できる状態を作ることです。この状態が実現すると、内部統制は形式的な監査対応から、企業価値を守るガバナンス・インフラへ変わります。