内部統制とは？4つの目的や基本的要素・進め方をわかりやすく解説

内部統制とは、企業の経営目標を達成するために必要なルール・仕組みを整備して、適切に運用できるようにすることです。粉飾決算や個人情報の流出といった重大事故が発生してしまえば、リカバリーコストは莫大なものになってしまいます。

内部統制の整備は、大企業や上場企業に義務付けられていますが、不祥事は企業規模にかかわらず起こる可能性があります。

本記事では、内部統制とはなにか、その目的や構築ステップについて解説します。

内部統制とは

内部統制とは、企業の経営目標を達成するために必要なルール・仕組みを整備して、適切に運用できるようにすることです。

企業会計審議会（金融庁）の「財務報告に係る内部統制の評価及び監査の基準」では、以下のように定義されています。

内部統制とは、基本的に、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びIT（情報技術）への対応の6つの基本的要素から構成される。

（中略）

内部統制の目的を達成するため、経営者は、内部統制の基本的要素が組み込まれた プロセスを整備し、そのプロセスを適切に運用していく必要がある。それぞれの目的を達成するには、全ての基本的要素が有効に機能していることが必要であり、それぞれの基本的要素は、内部統制の目的の全てに必要になるという関係にある。

内部統制の目的・要素・事業の関係は、キューブ型の図で表現されます。

4つの目的それぞれが達成されるためには、6つの基本的要素すべてが欠かせません。そして、6つの基本的要素は事業や部署、業務それぞれの単位で必要な考え方です。

コーポレートガバナンスとの違い

内部統制と混同される言葉として「コーポレートガバナンス」があります。内部統制は、コーポレートガバナンスを実現するための一つの手段です。

『現代コーポレートガバナンス』（日本経済新聞出版）によると、内部統制とコーポレートガバナンスの関係は以下のように表されています。

コーポレートガバナンスは、会社が株主をはじめ幅広いステークホルダーの利益に資する適切な意思決定を行うために、経営者を規律付ける仕組みである。だが、経営者の意思決定が着実に実行されるには、組織内の統制がとれていなければならない。また、不祥事の防止、リスク管理は企業価値の維持・向上に欠かせない。このように、内部統制は会社のガバナンス、企業価値の向上に密接に関わっている。

内部監査との違い

内部監査とは、企業内の独立した部門が業務や会計、内部統制の運用状況を評価・検証する活動です。法令違反や不正の予防、業務改善を目的に、現場の実態とルールが合っているかを定期的に確認します。

内部統制は業務を適正に行うための仕組みであり、内部監査はその仕組みが正しく機能しているかをチェックする役割を担っています。

コンプライアンスとの違い

コンプライアンスとは、法令や社内規定、社会的規範に従って業務を遂行することを指します。企業としての基本的な姿勢や価値観を示すものであり、全社員に求められる意識でもあります。

内部統制は、コンプライアンスを実現するために必要なルールや体制を整えるものであり、実務レベルでの運用を支える仕組みです。

内部統制報告制度（J-SOX）とは

内部統制報告制度とは、上場企業に対して、財務報告の信頼性を確保するための内部統制の整備・運用状況を評価・報告することを義務付けた制度で、2008年に施行されました。日本版SOX法、J-SOX法とも呼ばれます。J-SOXで評価の対象となるのは「財務報告の信頼性」であり、有価証券報告書に虚偽や誤りがないことを担保することが目的です。

企業は原則として事業年度ごとに「内部統制報告書」を作成し、公認会計士または監査法人の監査を受けたうえで、有価証券報告書とともに提出する必要があります（金融商品取引法第24条）。

内部統制の4つの目的

内部統制を実施する目的は以下の4点です。

これらの目的は独立したものではなく、相互に重なり合い、関連する関係にあります。

詳しく内容を見ていきましょう。

1．業務の有効性及び効率性

企業が設定した目標にどれだけ到達し（有効性）、目標に向けて時間・人員・コストなどの資源がどれだけ合理的に使用されたのか（効率性）、という程度を高めることです。

一言で言えば、「会社の業務をより無駄なく、より正確に実施すること」を指します。

例）
・監査役や内部監査人による業務監査
・顧客満足度調査の数値結果を向上させようとする活動
・設備購入時の稟議

2．財務報告の信頼性

財務諸表や関連する開示情報に虚偽記載が無いようにし、信頼性を確保することです。

例）
・経理部長や経理担当取締役による財務諸表チェック・承認
・業務システムから会計システムへの財務情報の定期的な自動転送

企業は、事業活動の取りまとめとなる財務数値を株主、取引先、金融機関といった各ステークホルダーに対して報告する必要があります。

3．事業活動に関わる法令等の遵守

談合、リコール隠し、耐震偽装などに見られるように、重大な法令違反を起こしたために大きな損失を被り、企業存続の危機に陥ったという事例は少なくありません。企業には、事業活動に関わる法令等の遵守（コンプライアンス）を徹底していくための仕組みを構築していくことが求められています。

このとき守るべきルールには、国内外の法律や規則のほか、東京証券取引所の規則・会計基準や、組織の定款、業界団体が公表する行動規範なども含まれます。内部統制により、こういった法令、基準、行動規範等の遵守のための仕組みを構築し、遵守を促進することが目的です。

例）
・労働基準法を守るための人事部による労働時間の管理
・個人情報保護法を守るための情報管理状況チェック

4．資産の保全

企業は多額の資産を保有して事業活動を行います。その範囲は有形・無形にかかわらず、工場や事業所といった設備、商品や原材料といった棚卸資産、現金、生産技術（ノウハウ）、機密情報なども含まれます。

資産を正当な手続きと承認のもとで運用し、無駄な減少を防ぐことが目的です。

例）
・物品購買時における上長承認の稟議
・新規取引先に対する取引開始前の与信調査

内部統制を構成する6つの要素

次に、内部統制を構成する6つの要素について見ていきましょう。

6つの構成要素も単独で存在するのではなく、相互に関連し合います。それぞれの要素について解説します。

1．統制環境

「統制環境」は、内部統制の6つの構成要素のうち、他5要素の基盤となる要素です。実施基準や組織構造、組織風土などを指します。優れたリスク評価の仕組みやIT環境があったとしても、それを運用する人に意識が備わっていなければ期待した効果は得られません。統制環境の状態が悪ければ、他5つの基本的要素が適切に機能しません。

統制環境には、次のような事項が挙げられます。

2．リスクの評価と対応

リスクの評価と対応とは、組織目標の達成を妨げる可能性のある外部・内部の要因を識別し、それらを分析・評価したうえで適切な対策を講じるプロセスです。

リスクは外的要因と内的要因に分けられます。

外的要因	内的要因
・天災 ・盗難 ・為替や資源相場の変動	・システム故障 ・会計処理の誤り ・個人情報の流出、漏洩

こういった組織内外で生じる可能性のあるリスクに対して最小のコストで、資産・活動・稼働力などを保護するために、対応としては主に「回避」「移転」「低減」「保有」のいずれかの方針が取られます。

3．統制活動

統制活動は、経営者の命令・指示が適切に実行されることを確保するために定める方針や手続きです。統制活動には、権限や職責の付与、職務分掌というように広範な範囲が含まれています。

統制活動は経営レベルだけでなく、企業のあらゆる階層、業務プロセスのさまざまな段階に組み込まれて遂行されることで機能します。例えば、人事規程やシステム管理規程、組織の部門ごとに定められる業務手順マニュアルなどがあります。

4．情報と伝達

情報と伝達とは、必要な情報が識別、把握及び処理され、組織内外及び関係者相互に正しく伝えられるのを確保することを指します。内部統制の他の要素を相互に結びつけ、内部統制の運用を有効にする機能を持ちます。

企業によっては、社内システムに一度掲載された情報が更新されることなく掲載され続けていたり、経営陣に報告された内容に間違いがあったりといったケースが見られます。こういった場合、情報と伝達に改善の余地があると言えるでしょう。

5．モニタリング

モニタリングは、内部統制が有効に機能しているかどうかを継続的に監視・評価・是正するプロセスです。内部統制は一度構築すれば永遠に機能し続けるというものではありません。

モニタリングの結果、内部統制上の問題が発見された場合、内容に応じて適切な責任者に報告し改善する必要があります。モニタリングには、この報告までの一連のプロセスが含まれます。

モニタリングには、通常業務に組み込まれる「日常的モニタリング」と、独立の立場から行われる「独立的評価」の2種類があります。

6．ITへの対応

ITへの対応とは、組織目標を達成するためにあらかじめ適切な方針や手続きを定めておき、業務の実施において組織の内外のITに対し適切に対応することです。

現代において内部統制の目的を達成するためにはITへの対応は不可欠です。特に、日本企業は一般的にITの統制が弱いと言われています。ITへの対応を内部統制の要素としているのは日本独自の特徴です。

内部統制に関わる人・組織の役割

内部統制は、経営陣だけに関係するものではありません。従業員なども含めた組織によって運用するものであり、それぞれの役割があります。ここでは、内部統制を運用する上での組織と、その役割について解説します。

1．経営陣・取締役会

経営陣の役割は、内部統制の整備と運用です。従業員に対し、内部統制の目的や目標を示し、有効に機能するよう整備する必要があります。

取締役会は、会社における最高意思決定機関です。内部統制に関しても、取締役会が整備や運用に対する方針決定の役割を担います。経営陣による不正防止を監視することも、取締役会の役割です。

ただし、内部統制とは経営目標達成のための仕組みであり、その運用責任はあくまでも経営陣です。最終的な評価と報告は、経営陣が行います。

2．監査役・監査役会

監査役や監査役会の役割は、内部統制のモニタリングです。監査役会とは、取締役会による業務執行を監督する機関で、企業とは独立した立場として企業の業務プロセスを監督します。

会社法では、監査役会は「半数以上の社外監査役を含む3名以上の監査役で組織される合議体で常勤監査役を選定しなければならない」と定められています。

内部統制においても、監査対象のひとつとしてプロセスの有効性や問題を評価します。内部統制の整備や運用状況を監視し、検証するとともに、改善方法についてアドバイスすることも、監査役の役割です。

3．従業員

従業員は内部統制の仕組みを理解し、それぞれの業務に落とし込む必要があります。そのため、内部統制の目的や必要性を理解することが大切です。

また、内部監査も従業員の役割のひとつです。監査役と同様に、内部統制における業務プロセスの有効性や問題を評価し、必要に応じてアドバイスします。業務を理解している従業員ならではの視点で評価することが求められます。

内部統制の運用は、全従業員で取り組む必要があることを理解しましょう。

内部統制の進め方

本章では、実際に内部統制を社内に構築していくための5つのステップを紹介します。

STEP1．内部統制の方針策定

内部統制の基本方針は、会社法の規定により取締役会で決定することとされています。経営者は決定した方針を、全社レベルのみならず、部署、業務、機能といった各単位で実施するための計画・方針を立てます。

具体的には、全社、部署、業務といった各単位に責任者を置き、評価範囲や管理体制、スケジュールなどを確認します。

STEP2．現状確認

次に、全社・部署・業務といった各単位の責任者の下で、既存の規定や慣行、暗黙の了解になっている決まりなどをリストアップします。

内部統制の整備状況は、適宜記録・保存します。このとき、後述する業務記述書、フローチャート、リスク・コントロール・マトリックスの活用が有効です。各ルールを洗い出した後、それぞれのリスクを分類・分析・評価し、組織目標に対して不利な影響のあるものを適切に是正します。

STEP3．評価

策定した統制内容をルール化し、周知徹底のもと運用をおこないます。運用状況は記録し、モニタリングの根拠資料とします。

全社レベル・業務レベル・決算財務報告レベルの区分に応じて、各担当者のもと統制の有用性や効率性を評価します。

STEP4．見直し

評価によって識別された課題や不備について対応を検討し、改善を施します。新しい処理のプロセスは必要に応じて、書類にも更新します。

なお、不備は内部統制報告の実施までに有効なものとなるように改善していくことが求められます。

STEP5．報告

最後に、内部統制報告書の作成を行います。内部統制報告書は、提出や監査が義務づけられており、制度を理解することが大切です。内部統制報告制度については次の章で解説します。

内部統制に必要な3点セット

内部統制報告書には、以下の事項を記載する必要があります。

フォーマットや表現方法、利用ソフトなどは各社で自由に決められますが、一般的には「業務記述書」「フローチャート」「リスク・コントロール・マトリックス」のいわゆる"3点セット"が使われています。

1．業務記述書

業務記述書とは、取引の発生から会計処理に至るまでの、それぞれの業務の内容や手順・担当者・利用しているシステムなどを言語化し、文章で示した書類です。リスクコントロールの把握や、業務内容の理解促進などを目的に作成します。

例えば、物品の受注であれば、何について誰がどのような方法で受注するかといったことを以下のように言語化します。

2．業務フローチャート

フローチャートは、部門ごとの業務フローを視覚的に図示した書類です。一つの販売プロセスにおいて、複数の部門や他の業務が関わることは多くあります。

フローチャートに起こすことで、業務や決済の流れを視覚化し、無理や無駄がないかを洗い出すこともできます。

3．リスク・コントロール・マトリックス

リスク・コントロール・マトリックスとは、業務記述書やフローチャートで把握されたリスクと、そのリスクへの対処方法（統制）を一覧にした書類です。

リスクと対処方法（統制）の関係の明確化を目的に作成されます。

また、リスク・コントロール・マトリックス上で、適正な財務諸表を作成するための要件（アサーション）や、運用状況の評価対象となる統制上の要点（キーコントロール）も表示します。

まとめ

内部統制の目的や要素、構築ステップについて解説しました。内部統制は、事業規模に関わらず企業の信頼獲得やはたらきやすい環境の実現に役立つ取り組みです。

全社レベル、事業レベル、部署レベルで一貫した内部統制を実施できれば、社内に限らず対外的にも価値のある取り組みとなり得ます。

中心となるのは経営者や役員陣であることが多いですが、構築・運用には全従業員が関わるため、全社的な参加意識の醸成もあわせて進めましょう。

よくあるご質問

Q1.内部統制とは？

A1.内部統制とは、企業の経営目標を達成するために必要なルール・仕組みを整備して、適切に運用できるようにすることです。内部統制には4つの目的と6つの構成要素があります。

>>内部統制とは

Q2.内部統制の整備で得られるメリットは？

A2.内部統制の整備で得られるメリットには「コスト削減・業務負担の軽減」「社会的信用の獲得」「従業員のはたらく環境改善」が挙げられます。内部統制は大企業や上場企業に構築が義務付けられていますが、そうでない企業にとっても整備する意味があります。

>>内部統制の整備で得られるメリット

Q3.内部統制報告制度（J-SOX）の3点セットとは？

A3.金融商品取引法では、上場企業や関連会社には内部統制報告書の提出・監査が義務付けられている「財務報告に係る内部統制報告制度（J-SOX）」が存在します。「業務記述書」「フローチャート」「リスク・コントロール・マトリックス」が内部統制報告制度の3点セットと言われています。

>>内部統制報告書の作成方法