「J-SOXと内部統制は、どこが違う?」
「IT統制って、自分の仕事と関係ある?」
経費を申請すると、上司の承認ボタンを1つ挟む。あの一手間こそ、内部統制の入口です。
内部統制とは、組織が自分でルールを決め、自分で守り、自分で点検する仕組みです。誰かが外から縛るのではなく、決める・守る・点検の三役を組織の内側で回し続けます。
この記事では、身近な承認の場面から統制の正体をつかみ、4つの目的と6つの基本要素を押さえ、IT統制の2つの層とJ-SOXの位置づけまで順にたどります。ITパスポート ストラテジ系の頻出テーマにそのまま効きます。
1. 「承認」の一場面に、内部統制は隠れている
あなたの同僚が10万円の経費を申請したとします。もし承認も点検もなく、そのまま会社のお金が動いたら何が起きるか。水増しや私的流用を止める仕組みが、どこにもありません。だから会社は「申請する人」と「承認する人」を分け、記録を残し、後から点検できるようにします。
この「一人に権限を集めない・記録を残す・後で確かめる」という積み重ねが、内部統制の本体です。経営層だけのものでも、管理部門だけのものでもありません。申請するあなたも、承認する上司も、点検する監査担当も、全員が同じ仕組みの一部を担います。
2. 内部統制が狙う4つの目的
あなたが試験でも実務でも出会うのが、内部統制の4つの目的です。内部統制は、次の4点を達成するために設計されます。金融庁の基準がこの4点を挙げており、ITパスポートでもそのまま問われます。
| 4つの目的 | ねらい |
|---|---|
| 業務の有効性・効率性 | 仕事のムダを減らし、成果につなげる |
| 財務報告の信頼性 | 外に出す数字を、信用できる状態にする |
| 事業活動に関わる法令等の遵守 | ルール違反を未然に防ぐ |
| 資産の保全 | 現金・在庫・データなど会社の財産を守る |
大事なのは、4つを別々に追うのではなく組み合わせて機能させることです。数字だけ整えても（財務報告の信頼性）、現場で資産が抜き取られては意味がありません。逆に法令だけ守っても、業務がムダだらけでは会社は回りません。4目的は互いを補い合って、はじめて効きます。こうした経営全体を監督する上位の枠組みが コーポレートガバナンスとは で、内部統制はその中で実務を支える土台にあたります。
3. 目的を支える6つの基本要素
4つの目的にたどり着くため、あなたが次に押さえたい土台が6つの基本要素です。統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応の6つが、金融庁の基準で定められています。
順に噛み砕くと、土台となる社風や方針が統制環境、起こりうる危険を洗い出して手を打つのがリスクの評価と対応、承認や二重チェックなど日々の手続きが統制活動、必要な情報を関係者へ届けるのが情報と伝達、仕組みが働いているか継続的に見張るのがモニタリング、そして全体を支えるITへの対応です。リスクの評価と対応の進め方は リスクマネジメントとは で扱う特定・分析・評価の流れとそのまま重なります。
6要素のうち、モニタリングが独立した立場から機能しているかを点検する専門の仕組みが システム監査とは です。内部統制とセットで問われやすいので、合わせて押さえておくと理解が深まります。
4. システムが担うIT統制の2つの層
あなたの会社の業務がほぼシステム上で動くいま、IT統制は内部統制の心臓部です。IT統制は、大きく2つの層に分かれます。土台を整える層と、個別の処理を正しくする層です。
| 2つの層 | 守る範囲 | 具体例 |
|---|---|---|
| IT全般統制 | システム共通の土台 | アクセス権限の付与・剥奪、開発・保守の管理、バックアップ |
| IT業務処理統制 | 個々の業務処理の正しさ | 入力チェック、金額の上限チェック、二重承認、エラー検知 |
両者は片方だけでは綻びます。権限管理（IT全般統制）が甘ければ、正しく作られた上限チェック（IT業務処理統制）も、権限を悪用されれば素通りされます。逆に土台が堅くても、申請画面に金額の検算がなければ、桁の打ち間違いはそのまま通ります。情報資産そのものの守り方は 情報セキュリティマネジメントとは と重なり、IT統制とセキュリティ施策はセットで設計されます。
5. J-SOXと財務報告の信頼性
あなたもニュースや業務資料で見かけるJ-SOXは、金融商品取引法に基づく内部統制報告制度の通称です。上場企業が対象で、財務報告の信頼性を確保する内部統制を整え、その評価結果を報告書として開示することを求めます。
つまりJ-SOXは、4つの目的のうち「財務報告の信頼性」に強く焦点を当てた制度です。内部統制という広い考え方の中の、特定の目的にスポットライトを当てた法制度、と位置づけると混同しません。中小企業や非上場企業はJ-SOXの直接の対象ではありませんが、不正やミスを防ぐという内部統制の考え方そのものは、規模を問わず役に立ちます。
内部統制は、作った瞬間から形骸化に向かいます。よくある失敗が、立派な文書を整えた時点で満足し、点検を止めてしまうことです。承認フローが図にあるのに実際は素通り、剥奪ルールがあるのにアカウントは残ったまま。書かれた姿と動いている姿のズレが、統制の穴になります。定期的に「本当に回っているか」をあなた自身の目で確かめる——それが、内部統制を生かし続ける道です。
次のステップ
内部統制がストラテジ系のどこに位置づくかは、ITパスポートの試験範囲と勉強法ガイド で全体像から確かめられます。出題の並びが見えると、用語が記憶に定着しやすくなります。
理解を得点に変えたいなら、ITパスポート ストラテジ系の問題集 で、内部統制の設問を数問解くと、理解のあいまいな箇所がはっきりします。