J-SOX 3点セット
業務記述書・業務の流れ図・RCM

J-SOX対応でよくいう「3点セット」とは、一般に次の3種類の文書を指す。

次の一覧は、J-SOX 3点セットの要旨に関係する項目を整理したものです。読み手にとって重要な確認順序や相互の違いを押さえ、自社資料で不足している点を見つけてください。

重要な点は、3点セットという名称そのものが法律条文で固定的に定義されたものではないということである。金融庁・企業会計審議会の内部統制基準・実施基準は、業務プロセスについて取引の流れや会計処理の過程を必要に応じて図や表で整理し、虚偽記載リスクと統制の対応を検討することを求める枠組みを示しており、その参考例として「業務の流れ図」「業務記述書」「リスクと統制の対応」が示されている。実務ではこれが、業務の流れ図、業務記述書、RCMという3点セットとして定着している。

したがって、J-SOX対応の3点セット（業務記述書・業務の流れ図・RCM）は、形式的な提出物ではなく、経営者が財務報告に係る内部統制を整備・運用し、有効性を評価するための実務的な証拠体系である。監査人に見せるためだけの資料ではなく、経営者、CFO、法務、経理、内部監査、IT、現場部門が、同じ業務実態と同じリスク認識を共有するための共通言語である。

2.1 3点セットの目的

J-SOX対応の3点セット（業務記述書・業務の流れ図・RCM）の目的は、単に監査法人に提出する資料をそろえることではない。主目的は次の5つである。

次の判断の流れは、3点セットを「作成物」ではなく評価に使う資料として見る順番を示しています。順番がずれると、先に様式を埋めても重要リスクや証跡が後から不足しやすいため重要です。上から下へ、業務実態を確認し、リスクを特定し、統制と証跡で説明できるかを読み取ってください。

第一に、業務実態を把握することである。受注、出荷、検収、売上計上、請求、入金、債権管理といった業務は、現場では当然のように処理されていても、経営者や法務・経理・監査人には見えにくいことがある。業務記述書と業務の流れ図は、暗黙知を明文化する。

第二に、財務報告上のリスクを識別することである。例えば、売上プロセスでは架空売上、売上の前倒し計上、請求漏れ、単価誤り、返品・値引の未反映、債権回収可能性の見積り誤り等が問題になる。RCMは、これらのリスクを会計上の要件、すなわち実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性等と結びつける。

第三に、リスクを低減する統制を特定することである。承認、照合、システム制御、職務分掌、例外レポート確認、マスタ変更承認、棚卸、証憑保存などが、どのリスクをどの程度低減しているかを明確にする。

第四に、統制の整備・運用評価を可能にすることである。統制が設計上リスクを十分に低減しているか、実際に運用されているか、証跡が残っているかを評価するには、統制内容、実施者、頻度、証拠、例外対応が明確でなければならない。

第五に、不備の是正と継続改善を可能にすることである。内部統制の不備が見つかった場合、3点セットがあれば、どの業務、どのリスク、どの統制、どの証跡、どの部門に問題があるかを特定しやすい。

2.2 3点セットの関係を一言で表す

3点セットの関係は、次のように整理できる。

業務記述書は「文章で説明する」文書、業務の流れ図は「図で見せる」文書、RCMは「リスクと統制を対応させる」文書である。

同じ業務プロセスを3つの角度から見るため、3点セットの間に矛盾があってはならない。業務記述書には承認があると書いてあるが、業務の流れ図には承認点がない。業務の流れ図にはシステム照合があるが、RCMには統制として登録されていない。RCMには月次レビューとあるが、業務記述書には誰が何を見るか記載されていない。これらは典型的な不整合であり、J-SOX対応の品質を大きく下げる。

4.1 業務の流れ図の定義

業務の流れ図とは、業務プロセスを図として表現し、部門、担当者、システム、証憑、承認、分岐、データ連携を可視化する文書である。金融庁の実施基準でも、参考例として「業務の流れ図」が示されている。

業務記述書は文章で詳細を説明するが、文章だけでは部門間の責任分界、データの受け渡し、承認点、例外処理の分岐が見えにくい。業務の流れ図は、業務プロセスの全体像を短時間で把握するための資料であり、ウォークスルー、監査人協議、内部監査、システム変更影響分析において特に有用である。

4.2 業務の流れ図に入れるべき要素

J-SOX対応の業務の流れ図には、少なくとも次の要素を含めるべきである。

次の一覧は、J-SOX 3点セットの業務の流れ図に関係する項目を整理したものです。読み手にとって重要な確認順序や相互の違いを押さえ、自社資料で不足している点を見つけてください。

4.3 業務の流れ図作成の実務ルール

業務の流れ図は美しい図である必要はないが、読み手が誤解しない図でなければならない。専門実務では次のルールが重要である。

第一に、部門別のスイムレーンを用いる。誰が何をしているかが分からない業務の流れ図は、職務分掌の検討に使えない。特に営業部門と経理部門、申請者と承認者、システム管理者と業務ユーザーは分けて表示する。

第二に、統制点を明示する。単なる業務処理と統制活動を区別するため、承認、照合、レビュー、例外チェック、システム制御には統制IDを付す。これによりRCMとの対応が明確になる。

第三に、データ連携を明示する。販売管理システムから会計システムへ自動連携されるのか、Excelで加工されるのか、手入力されるのかは、リスクの大きさに直結する。自動連携であればIT全般統制やインターフェース統制、手入力であれば入力誤り・改ざんリスクの検討が必要になる。

第四に、例外処理を省略しない。通常取引だけを書いた業務の流れ図は、実務上もっとも危険な例外処理を見落とす。返品、値引、キャンセル、月末修正、手動仕訳、権限外承認、システム障害時の代替処理を明示する。

4.4 業務の流れ図の悪い例

典型的な悪い業務の流れ図は、次のようなものである。

• 「受注」から「売上」まで矢印が一本でつながっているだけで、誰が処理するか分からない。
• システムの自動処理と人の確認が区別されていない。
• 承認があるのに承認者、承認基準、証跡がない。
• RCMの統制IDと対応していない。
• 例外処理が「必要に応じ対応」とだけ記載されている。
• 前年度の流れを流用し、組織変更・システム変更を反映していない。

J-SOX対応の業務の流れ図では、図を見た第三者が、どこでリスクが発生し、どこでリスクが低減されるかを理解できることが重要である。

6.1 手順1 ― 評価範囲を決める

3点セットを作る前に、まずJ-SOXの評価範囲を決める必要がある。評価範囲は、会社並びに連結子会社及び持分法適用会社について、財務報告の信頼性に及ぼす影響の重要性を考慮して決定される。2023年改訂後は、金額的影響だけでなく、質的影響や発生可能性、全社的な内部統制の評価結果を踏まえた合理的な範囲決定がより重視される。

評価範囲が曖昧なまま3点セットを作ると、不要な業務に過剰な文書化を行う一方、本当に重要な業務プロセスを見落とす危険がある。したがって、最初に対象会社、対象拠点、対象業務、対象勘定科目、対象システムを明確にする。

6.2 手順2 ― 対象プロセスを分解する

次に、対象業務をプロセスとサブプロセスに分解する。例えば販売プロセスは、受注、与信、出荷、売上計上、請求、入金、債権管理、返品・値引に分けられる。購買プロセスは、購買申請、発注、検収、仕入計上、請求書照合、支払に分けられる。決算・財務報告プロセスは、決算整理仕訳、連結パッケージ、連結仕訳、開示資料作成、レビュー、承認に分けられる。

この分解は、業務の流れ図の構成、業務記述書の章立て、RCMのサブプロセス区分と一致させるべきである。

6.3 手順3 ― 現場ヒアリングとウォークスルーを行う

3点セットは、机上で作成してはならない。現場担当者にヒアリングし、実際の証憑、システム画面、承認ログ、例外処理、月次レビュー資料を確認しながら作成する必要がある。

ウォークスルーでは、典型的な取引を一件選び、取引開始から会計記録・報告までを追跡する。例えば一つの注文について、契約書、注文書、受注入力、与信確認、出荷指図、出荷報告、検収、売上計上、請求、入金消込までを実際にたどる。これにより、業務記述書・業務の流れ図・RCMが実態を反映しているかを確認できる。

6.4 手順4 ― 業務記述書を作る

現場ヒアリングの結果を文章化する。ここで重要なのは、操作手順を長々と書くことではなく、財務報告に影響する業務判断、承認、証跡、システム連携、例外処理を明確化することである。

特に、法務が関与する契約承認、規程承認、取締役会決議、委託先管理、権限規程、文書保存ルールは、後工程のRCMに影響するため、記述の精度が重要である。

6.5 手順5 ― 業務の流れ図を作る

業務記述書をもとに、業務の流れを図示する。業務の流れ図は、業務記述書を補完するものであり、独立して別の内容を示すものではない。図にしたときに、処理の重複、承認漏れ、職務分掌の不備、システム連携のリスク、例外処理の曖昧さが見つかることが多い。

6.6 手順6 ― RCMを作る

業務の流れ図と業務記述書をもとに、各サブプロセスの財務報告リスクを洗い出し、そのリスクを低減する統制を対応づける。リスク識別では、実在性、網羅性、権利と義務、評価、期間配分、表示といった要件を意識する。

統制を記載するときは、統制が本当にそのリスクを低減しているかを検討する。単に「部長承認がある」だけでは、何を承認しているのか、承認基準は何か、証跡は残るのか、承認者は十分な情報を持っているのかが分からない。J-SOXで評価可能な統制にするには、統制の実施内容を明確に定義する必要がある。

6.7 手順7 ― キーコントロールを選定する

RCMに記載した統制のすべてを同じ重みで評価するわけではない。財務報告上の重要リスクを十分に低減するために重要な統制をキーコントロールとして選定する。

キーコントロールの選定では、統制が対象にするリスクの重要性、他の統制との重複、統制の頻度、統制証跡、IT依存度、職務分掌、過去の不備、監査人の指摘、業務変更の有無を考慮する。キーコントロールが多すぎると評価負荷が過大になり、少なすぎると重要リスクを説明できなくなる。

6.8 手順8 ― 整備評価と運用評価を行う

整備評価では、統制の設計がリスクを十分に低減できるかを確認する。例えば、承認者が取引内容を理解せず形式的に押印しているだけであれば、設計上の有効性に疑問がある。

運用評価では、統制が対象期間を通じて実際に運用されたかを証跡により確認する。統制が設計上は有効でも、証跡が残っていない、承認が後付けである、例外が放置されている、担当者変更後に実施されていない場合は、運用上の不備となり得る。

6.9 手順9 ― 不備を評価し、是正する

不備が見つかった場合、その不備が単なる軽微な不備か、財務報告に重要な影響を及ぼす可能性が高い開示すべき重要な不備かを評価する。内部統制報告制度では、経営者が内部統制の有効性を評価し、内部統制報告書に結果を記載する。金融庁のQ&Aも、内部統制報告書の各記載内容は会社の実情に応じて記載することが適当であり、例示は参考であると説明している。

3点セットは、不備の発生箇所、原因、是正策、再発防止策を検討するための基礎資料になる。例えば、承認漏れが発生した場合、権限規程が不明確なのか、電子承認システム設定が誤っているのか、担当者教育が不足しているのか、証跡保存が不十分なのかを切り分ける。

8.1 監査人は3点セットの何を見るか

監査人は、経営者が決定した評価範囲の妥当性、業務プロセスの理解、リスク識別、統制上の要点、整備・運用評価の合理性を検討する。3点セットは、その検討の入口となる資料である。

監査人は、3点セットを見て次のような点を確認する。

• 評価範囲が財務報告上のリスクを適切に反映しているか。
• 業務記述書・業務の流れ図・RCMが相互に整合しているか。
• 財務報告上の重要リスクが漏れていないか。
• 統制がリスクを十分に低減しているか。
• キーコントロールの選定が合理的か。
• 統制証跡が実在し、運用評価に利用できるか。
• IT統制や委託先統制が適切に考慮されているか。
• 不備の評価と是正状況が合理的か。

日本公認会計士協会は、2025年2月に財務報告内部統制監査基準報告書第1号の改正を公表し、2025年4月1日以後開始する連結会計年度及び事業年度に係る内部統制監査から適用することとしている。監査実務の指針は改正が続くため、企業側も監査人との協議を通じて最新の実務要求を確認する必要がある。

8.2 監査人対応で避けるべき姿勢

監査人対応で避けるべき姿勢は、「前年踏襲だから問題ない」「他社も同じ様式だから問題ない」「監査法人が言ったからそうした」という姿勢である。J-SOXにおける内部統制の整備・運用・評価の責任は経営者にある。監査人は独立した立場で監査を行う者であり、経営者に代わって内部統制を設計する者ではない。

したがって、監査人からのコメントを待つだけでなく、会社自身が評価範囲、リスク、統制、証跡、不備評価を説明できる状態にしておくことが重要である。

10.1 販売・売上プロセス

販売・売上プロセスは、J-SOXで最も重要な業務プロセスの一つである。売上高、売掛金、契約資産、返品引当、貸倒引当、リベート、消費税、収益認識に関係し、財務報告への影響が大きい。

主なリスクは、架空売上、売上の前倒し・遅延計上、単価誤り、値引・返品の未反映、請求漏れ、入金消込誤り、貸倒見積り誤りである。法務上は、契約成立、検収、返品権、価格調整、代理人取引か本人取引か、複数要素契約などが財務報告に影響し得る。

販売プロセスの3点セットでは、契約・注文・出荷・検収・売上・請求・入金の各証憑がどのように連携するかを明確にする。

10.2 購買・債務プロセス

購買プロセスでは、発注権限、検収、仕入計上、請求書照合、支払承認、買掛金管理が中心となる。主なリスクは、架空仕入、未検収仕入、費用計上漏れ、支払重複、支払先誤り、単価誤り、期末未払計上漏れである。

法務担当は、購買契約、業務委託契約、下請取引、支払条件、検収条件、成果物の権利帰属、解除条項などを確認する。特に業務委託契約では、実際の検収・成果物確認と会計処理が一致しているかが重要である。

10.3 在庫プロセス

在庫プロセスでは、入出庫、棚卸、評価、滞留品、廃棄、原価計算が中心となる。主なリスクは、在庫の実在性、網羅性、評価の妥当性、原価配賦誤り、棚卸差異未処理である。

業務の流れ図では、購買・製造・販売との連携、倉庫・物流委託先、システム在庫と実地棚卸の照合、棚卸差異の承認、評価減の判断を明確にする。RCMでは、棚卸計画、棚卸立会、差異分析、滞留品レビュー、マスタ管理を統制として記載する。

10.4 固定資産プロセス

固定資産プロセスでは、取得、検収、資産計上、減価償却、除却、減損、リース、資産現物管理が中心となる。主なリスクは、費用と資産の区分誤り、取得価額誤り、償却方法誤り、除却漏れ、減損兆候の見落としである。

法務担当は、設備購入契約、リース契約、不動産契約、工事請負契約、保守契約、所有権移転条件を確認する。会計判断に影響する契約条件が、業務記述書とRCMに反映されているかが重要である。

10.5 人件費プロセス

人件費プロセスでは、入退社、給与計算、勤怠、賞与、退職給付、社会保険、役員報酬が中心となる。主なリスクは、架空従業員への支払、勤怠入力誤り、給与計算誤り、賞与引当・退職給付見積り誤り、役員報酬承認不備である。

法務・労務担当は、就業規則、賃金規程、雇用契約、労働時間管理、役員報酬決議、出向契約を確認する。人事マスタ変更権限、給与計算レビュー、支払承認、入退社情報の連携が統制上重要である。

10.6 決算・財務報告プロセス

決算・財務報告プロセスは、すべての業務プロセスの結果が集約される領域である。決算整理仕訳、見積り、連結、税金計算、開示資料作成、取締役会承認、監査対応が含まれる。

主なリスクは、決算仕訳誤り、見積り誤り、連結消去誤り、開示漏れ、注記誤り、承認不足、後発事象の見落としである。3点セットでは、誰が決算資料を作成し、誰がレビューし、どのチェックリストを用い、どのように承認し、どの証跡を残すかを詳細に記載する。

12.1 前年コピーによる形骸化

最も多い失敗は、前年の3点セットをコピーして日付だけ更新することである。組織変更、システム変更、承認権限変更、業務委託先変更、会計方針変更、新規取引開始、M&A、海外子会社追加があったにもかかわらず、3点セットが更新されていない場合、内部統制の実態を反映しない資料になる。

12.2 業務記述書と業務の流れ図の不一致

業務記述書では経理部長が承認すると書いてあるが、業務の流れ図では営業部長が承認している。業務の流れ図では法務審査があるが、業務記述書には記載がない。こうした不一致は、ウォークスルーや監査人レビューで指摘されやすい。

12.3 RCMのリスクが抽象的すぎる

「誤った処理が行われる」「不正が発生する」といった抽象的なリスクでは、統制が有効か判断できない。リスクは、財務報告のどの要件に影響し、どの勘定科目・開示に影響するのかを具体化する必要がある。

12.4 統制証跡が残っていない

承認やレビューを実施していても、証跡が残っていなければ運用評価が困難になる。口頭確認、暗黙のチェック、メール本文だけの承認、押印日不明の紙資料、レビューコメントのないExcelは、J-SOX評価上の弱点になりやすい。

12.5 キーコントロールが多すぎる

すべての承認・チェックをキーコントロールにすると、評価負荷が膨大になる。重要なリスクを低減する統制に絞り込むことが必要である。ただし、絞り込みすぎて重要リスクを説明できない状態も避けなければならない。

12.6 例外処理が管理されていない

例外処理は不正や誤謬が生じやすい。緊急出荷、手動売上計上、マスタの一時変更、支払先変更、権限外承認、システム障害時の手作業処理などは、RCMに明示して統制を設定する必要がある。

14.1 小規模組織では職務分掌が課題になりやすい

中小企業や上場準備会社では、人数が限られるため、申請、承認、記録、支払、マスタ管理が同じ担当者に集中しやすい。この場合、理想的な職務分掌をそのまま導入できないことがある。

その場合でも、代替統制を検討する必要がある。例えば、経営者レビュー、月次の例外レポート確認、支払先変更の二重承認、システム権限の限定、外部専門家によるレビューなどでリスクを低減できる場合がある。ただし、経営者レビューは「見ている」だけでは不十分であり、何を確認し、どの異常値を検討し、どの証跡を残すかを明確にする必要がある。

14.2 上場準備では早期の文書化が重要

上場準備会社では、上場直前に3点セットを作ろうとしても、業務実態が整っていない、証跡が残っていない、権限規程が実態と合っていない、システム権限が過剰である、といった問題が顕在化しやすい。

3点セットは、上場申請のための形式文書ではなく、上場会社としての内部統制を整備するためのプロジェクト文書である。早期に作成し、ウォークスルー、内部監査、監査法人との協議、改善を繰り返すことが重要である。

16.1 不正リスクの観点

J-SOX対応は、誤謬だけでなく不正リスクにも関係する。不正売上、架空仕入、循環取引、キックバック、横領、在庫水増し、経費不正、手動仕訳による利益操作などは、財務報告に重大な影響を及ぼし得る。

3点セットでは、不正が起こりやすいポイントを明確にする必要がある。特に、例外処理、手動仕訳、マスタ変更、権限集中、締め処理後の修正、経営者による統制無視、関連当事者取引、海外子会社、委託先は注意が必要である。

次の注意要素の一覧は、不正や会計問題が起こりやすい領域をまとめたものです。平時に見落とすと、問題発生時に影響範囲の特定や監査人説明が遅れるため重要です。各項目では、通常処理から外れる場面、権限が集中する場面、第三者に処理を依存する場面を重点的に読み取ってください。

16.2 危機対応時に3点セットが役立つ理由

不正や会計問題が発生した場合、第三者委員会、社内調査、監査法人、監査役等、取締役会、証券取引所、金融庁、投資家対応が必要になることがある。その際、3点セットが整備されていれば、問題の発生プロセス、統制不備、影響範囲、是正策を迅速に把握できる。

逆に、3点セットが形骸化していると、調査初期に業務実態の把握から始めなければならず、対応が遅れる。企業法務と危機管理の観点からも、3点セットは平時の文書ではなく有事の証拠基盤である。

以下は、業務記述書の骨子例である。

次の一覧は、J-SOX 3点セットの業務記述書テンプレートに関係する項目を整理したものです。読み手にとって重要な確認順序や相互の違いを押さえ、自社資料で不足している点を見つけてください。

Q1. 3点セットは法律上必ず作成しなければならないのですか

一般的には、3点セットという名称や固定様式が法律で義務付けられているわけではないとされています。ただし、経営者が財務報告に係る内部統制を評価するには、業務プロセス、リスク、統制、証跡を把握・記録する必要があります。会社の規模、評価範囲、監査人との協議により必要な資料は変わるため、具体的な対応は弁護士、公認会計士、監査法人等の専門家へ相談する必要があります。

Q2. 業務記述書と業務の流れ図は両方必要ですか

一般的には、文章と図は機能が異なるため、複雑なプロセスでは両方を作成する方が実務上の理解と監査対応が容易とされています。ただし、会社の規模、プロセスの複雑性、評価範囲、既存資料の品質によって結論は変わる可能性があります。具体的な資料構成は、監査人や専門家と協議して決める必要があります。

Q3. RCMはどの程度詳細に書くべきですか

一般的には、財務報告上の重要リスクを説明でき、統制の整備・運用評価が可能な程度に詳細である必要があるとされています。「確認する」「承認する」だけでは足りず、誰が、何を、何と照合し、どの基準で、どの証跡を残すかを記載することが重要です。具体的な粒度は、プロセスの重要性や監査人との協議によって変わります。

Q4. 監査人から指摘されないようにするには何を確認しますか

一般的には、指摘を避けること自体を目的にするのではなく、会社自身が評価範囲、リスク、統制、証跡、不備評価を説明できる状態にすることが重要とされています。特に、3文書間の整合、証跡の実在、例外処理、IT依存、評価範囲の根拠を確認します。具体的な監査対応は、会社の状況と監査人の方針により変わります。

Q5. 法務部門はどこまで関与すべきですか

一般的には、法務部門は契約条件、権限規程、職務分掌、委託先管理、文書保存、取締役会・監査役等のガバナンス、不正・紛争対応に関係する部分へ関与することが望ましいとされています。ただし、全てのRCMを法務が作成する必要があるかは会社の体制により異なります。具体的な役割分担は、経理、内部監査、IT、専門家と協議する必要があります。

Q6. システムを導入すれば3点セットは不要になりますか

一般的には、システムを導入しても3点セットまたは相当資料は不要にならないとされています。どの業務リスクをどのシステム統制が低減しているかを説明する必要があるためです。システム導入後は、業務の流れ、権限、マスタ、データ連携、ログ、例外処理を3点セットに反映する必要があります。

Q7. 子会社にも3点セットは必要ですか

一般的には、親会社グループの評価範囲に含まれる子会社では、対象プロセスについて3点セットまたは相当資料が必要になることが多いとされています。子会社の規模やリスクに応じて簡素化できる場合もありますが、財務報告上の重要リスクを説明できる資料は必要です。具体的な対応はグループ方針と専門家の助言に基づき検討します。

制度・基準

• 金融庁・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準」および同実施基準
• 金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について」
• 金融庁「内部統制府令ガイドライン」
• 金融庁「内部統制報告制度に関するQ&A」

法令・様式

• e-Gov法令検索「金融商品取引法」
• e-Gov法令検索「財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令」
• e-Gov法令検索「内部統制報告書 第一号様式」

監査実務

• 日本公認会計士協会「財務報告内部統制監査基準報告書第1号『財務報告に係る内部統制の監査』の改正」