内部統制とは何か｜3点セットと開示すべき重要な不備が起きる理由まで一気にわかる

「内部統制」という言葉を、決算短信や求人票で見かけたことがある方は多いと思います。ただ、実際に何をする制度なのか、正確に説明できる人は少ないのではないでしょうか。私も元IT企業の広報として決算説明会の資料を何度も配った経験がありますが、正直なところ「監査法人が細かくチェックする、面倒な仕組み」くらいの理解しかありませんでした。改めて金融庁の基準を読み直してみると、思っていたものとはずいぶん違う制度だと分かりました。この記事では、内部統制が何のために作られ、なぜ2008年に義務化され、実際にどんな不備が多いのかを、金融庁と証券取引等監視委員会の一次資料をもとに整理します。

• 内部統制は不正を見つける仕組みではなく起きにくくする仕組み
• 2008年にJ-SOX法として義務化されたきっかけは国内外の粉飾決算事件
• 開示すべき重要な不備の原因トップはコンプライアンス意識の欠如
• 情報・通信業は上場会社の比率より違反者の比率が高い

内部統制とは何か｜4つの目的と6つの基本要素

私はこの記事を書くまで、内部統制を「不正をした人を見つけるための監視カメラのような仕組み」だと思っていました。ところが金融庁が定めた基準を読むと、そう単純な話ではありませんでした。

金融庁の「財務報告に係る内部統制の評価及び監査の基準」によると、内部統制とは、業務の有効性及び効率性、財務報告の信頼性、事業活動に関わる法令等の遵守、資産の保全という4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスと定義されています。そして、この4つの目的を支えるのが、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、IT（情報技術）への対応という6つの基本的要素です。

「不正を見つける」ではなく「起きにくくする」仕組み

簡単に言い換えると、内部統制は誰かの不正を摘発するための道具ではなく、真面目に働いている人でも間違えたり、権限が特定の役員に集中した結果として不正が起きやすくなったりする状況そのものを、業務の仕組みの中で防ぐための設計図です。見つけるための制度ではなく、そもそも起きにくくするための制度だと考えると、後で紹介する「開示すべき重要な不備」の原因ランキングも腑に落ちやすくなります。

なぜ2008年に義務化されたのか｜カネボウとエンロン、J-SOX法まで

日本で内部統制報告制度が始まったのは、2008年4月1日以後に開始する事業年度からです。きっかけになったのは、国内外で相次いだ不正会計事件でした。

アメリカの企業改革法を参考にした「日本版」

2001年にアメリカでエンロン社の巨額不正会計が発覚し、2002年に企業改革法（米国SOX法）が制定されました。日本でも2005年にカネボウの粉飾決算事件が起きたことなどを受けて、財務報告の信頼性を確保する制度が必要だという議論が進み、2008年に内部統制報告制度、通称J-SOX法として結実しています。上場企業に対して、経営者自身が財務報告に係る内部統制の有効性を評価し、その結果を「内部統制報告書」として金融商品取引法のもとで提出することを義務付けた制度です。報告書の提出にあたっては、公認会計士等による監査証明も必要になります。

2011年オリンパス、2015年東芝でも問題は起きた

制度ができたからといって、不正会計がなくなったわけではありません。証券取引等監視委員会の資料でも、2011年のオリンパスの損失隠し、2015年の東芝の不正会計が、内部統制の実効性に関わる主要な事案として並んでいます。経営者と監査人の共謀、長年の損失計上の先送り、歴代社長による予算達成要求を背景とした不適正な会計処理など、原因はさまざまです。制度は「仕組み」を用意しますが、その仕組みを本当に機能させるかどうかは、結局のところ経営トップの意識にかかっている部分が大きいのだと、この年表を見て感じました。

対象になるのは誰か｜上場企業と新規上場の3年間免除

内部統制報告制度の対象は、金融商品取引所に株式を上場している会社です。本社だけでなく、子会社や関連会社、在外子会社、業務を委託している外部委託先までを含めて評価の範囲に入ります。

新しく株式を証券取引所に上場する会社にとって、内部統制の整備はIPO準備の一大イベントです。以前IPOの仕組みを解説した記事でも触れましたが、上場審査では事業計画だけでなく、社内の管理体制そのものが厳しく見られます。上場初年度の決算において、資本金額が100億円以上または負債額が1,000億円以上である会社は、監査証明の免除を選択できません。逆に言えば、資本金100億円未満かつ負債1,000億円未満の新規上場企業については、上場から3年間は内部統制報告書の監査証明を受けなくてよい選択肢が用意されています。

資本金100億円・負債1,000億円という線引き

この基準を見て、私は上場したばかりの会社に対する現実的な配慮なのだと感じました。上場準備の負担がただでさえ大きい中で、いきなりフル装備の内部統制監査を求めるのは酷だという判断があるのでしょう。

会社法の内部統制とは基準が違う

ここで紛らわしいのが、会社法にも「内部統制システム」という言葉が出てくることです。会社法の内部統制は、原則として大会社、つまり資本金5億円以上または負債総額200億円以上の会社を対象にしており、上場しているかどうかは問いません。一方、J-SOX法の内部統制報告制度はあくまで上場企業が対象です。同じ「内部統制」という言葉でも、根拠になる法律も対象範囲も別物だと知っておくと、混同せずに済みます。

「3点セット」はどう作る？業務記述書・フローチャート・RCM

内部統制の実務でよく耳にするのが「3点セット」という言葉です。業務記述書（業務の内容・手順・実施者を文章で説明したもの）、業務の流れ図つまりフローチャート（取引の発生から会計処理までの流れを図にしたもの）、リスクと統制の対応、通称RCM（どんなリスクにどんな統制が対応しているかを一覧にした表）の3つを指します。

金融庁自身「必ずこの様式による必要はない」と言っている

ここが意外な切り口だと思うのですが、金融庁の基準そのものに「これは、必要に応じて作成するとした場合の参考例として掲載したものであり、また、企業において別途、作成しているものがあれば、それを利用し、必要に応じそれに補足を行っていくことで足り、必ずしもこの様式による必要はないことに留意する」と明記されています。つまり3点セットは、法律で義務づけられた必須書式ではなく、あくまで「わかりやすく整理するならこういう形もありますよ」という参考例です。すでに業務フローの資料や規程集を持っている会社なら、それに補足するだけで足りるケースもあります。この一文を読んだとき、資格試験のテキストで「絶対に作る書類」として教わった私の記憶と食い違っていて、少し驚きました。

内部統制報告書はどう作られ、どう提出されるのか

実際の流れを、シンプルな図にまとめました。

内部統制報告書は、有価証券報告書と同じタイミングで金融庁の電子開示システムEDINETを通じて提出され、誰でも閲覧できる状態になります。評価の結果、内部統制が有効だと結論づけられれば「有効」、そうでなければ「開示すべき重要な不備」の内容とともに「有効でない」旨が記載されます。

「開示すべき重要な不備」とは何か｜原因ランキングトップ5

内部統制が「有効でない」と判断される基準には、金額的重要性と質的重要性の2つがあります。金融庁の内部統制報告制度に関するQ&Aでは、金額的重要性の目安として「連結税引前利益について、おおむねその5%程度」という数値基準の例が示されています。あくまで一つの目安であり、会社の規模や業種によって適切に用いるべきものとされていますが、実務ではよく参照される数字です。

では、実際にはどんな理由で「開示すべき重要な不備」に至っているのでしょうか。証券取引等監視委員会が2024年3月にまとめた資料では、2021年7月から2022年6月に提出された内部統制報告書（訂正を含む）をもとに、提出会社における不備の原因が集計されています。

判断基準は「税引前利益のおおむね5%」

この表を見て、私は数字を二度見しました。最も多い原因は、複雑な会計処理のミスではなく、コンプライアンス意識の欠如。19件。内部監査の体制不備と役員への権限集中が、同じ15件で並んでいます。結局のところ、内部統制がうまく機能するかどうかは、システムの精緻さより人の意識で決まる部分が大きいのだと、この順位を見て痛感しました。

不備が集中する業種はどこか｜情報・通信業が突出する理由

業種別に見ると、傾向がさらにはっきりします。2006年度から2022年度までの累計で、証券取引等監視委員会から勧告を受けた件数が多い業種は次の通りです。

特に情報・通信業は、上場会社全体に占める業種別の構成割合が約15%であるのに対し、違反行為者の業種別割合は約21%に達しています。

無形資産という「目に見えない」勘定科目のリスク

なぜ情報・通信業に偏るのでしょうか。証券取引等監視委員会の分析では、ソフトウェアなどの無形固定資産が、不適正な会計処理に利用されやすい勘定科目だと指摘されています。無形固定資産は、工場の設備や在庫のように目で見て状態を確認することができず、資産計上額の中に将来の収益予測という不確実な要素が多く含まれます。しかも価値の劣化が早く、いったん問題が表面化すると一度に多額の損失が発生しやすいという特徴もあります。目に見える在庫なら棚卸しで数を数えれば済みますが、目に見えない資産の価値を適正に見積もり続けるプロセスこそが、内部統制の腕の見せどころなのだと私は思います。

内部統制を整えるのにいくらかかるのか｜監査法人費用の相場

これから上場を目指す会社にとって、内部統制の整備は決して安い投資ではありません。IPO準備段階の監査報酬は、年間1,500万円〜3,000万円程度を見込むのが一般的とされ、証券取引所の審査では原則として2期分の監査済み財務諸表が必要になるため、最低でも2年間の監査契約を結ぶ必要があります。

IPO全体の費用でみると、売上高30億円未満の小規模企業で5,000万円〜1億円程度、30億円〜100億円規模の中規模企業で1億円〜3億円程度、100億円以上の大規模企業では3億円以上が目安とされています。内部統制の構築は、この中でも継続的に発生し続ける費用の代表格です。

投資家が明日できる確認方法

ここまでは会社側の負担の話でしたが、内部統制報告書は投資家にとっても無料で使える情報源です。金融庁の電子開示システムEDINETでは、気になる上場企業の名前で検索すると、有価証券報告書とあわせて内部統制報告書を閲覧できます。「評価結果」の欄を見れば、その会社の内部統制が「有効」と結論づけられているか、もし「開示すべき重要な不備」があるならどんな内容かまで、誰でも読むことができます。投資先を選ぶときに決算書の数字だけを見ている方は、次の機会にこの欄にも目を通してみてはいかがでしょうか。

内部統制のデメリット・注意点

ここまで制度の仕組みを見てきましたが、良いことばかりではありません。

1つ目は、先ほど見た通りの金銭的なコストです。監査法人への報酬に加えて、書類の作成・保存、システムの整備にも継続的な費用がかかります。

2つ目は、現場の事務負担です。業務記述書やフローチャートを整備し、それを毎年更新し続けるだけでも、経理・総務部門の作業量は増えます。

3つ目は、形骸化のリスクです。書類を揃えること自体が目的化してしまい、決められたチェックリストをこなすだけの作業になってしまうと、本来の「不正が起きにくい仕組みを作る」という目的から離れてしまいます。書類は完璧でも、統制環境そのものが機能していなければ意味がないというのは、オリンパスや東芝の事例が示す通りです。非効率に見える書類作業ではありますが、それでも先ほどの原因ランキングを思い出すと、権限の集中や子会社任せの管理を防ぐ数少ない歯止めとして機能している面もあるのだと感じます。

中小企業や非上場企業にも関係あるのか｜取り入れる際の判断軸

内部統制報告制度そのものが法律で義務づけられているのは上場企業だけです。では、非上場の中小企業には無関係かというと、そうとも言い切れません。

上場を目指すなら早めの整備が必要

将来的にIPOを目指している会社であれば、上場申請の直前になって慌てて整備を始めるのでは間に合いません。上場準備には2〜3年程度の期間がかかると言われており、内部統制の構築もその期間の中で並行して進める必要があります。

非上場でもM&Aやデューデリジェンスで見られる

また、中小企業が事業承継や売却を検討する場面でも、買い手側のデューデリジェンス（買収監査）では社内の管理体制が細かく確認されます。M&Aの仕組みを解説した記事でも触れていますが、経営者に権限が集中し、記録が整理されていない会社は、それだけで買い手からの評価が下がりかねません。上場を目指すかどうかにかかわらず、社内の権限と記録を整理しておくことには意味があります。

判断の軸をまとめると、上場を目指しているか、取引先や金融機関から信用調査を求められる機会が増えているか、将来の事業承継やM&Aを見据えているか、という3点で考えると、自社にとって内部統制の考え方をどこまで取り入れるべきかが見えやすくなります。

よくある誤解

誤解1　内部統制は上場企業だけの話で、自分には関係ない
法律上の義務は上場企業に限られますが、非上場の中小企業でもM&Aのデューデリジエンスや金融機関の融資審査で、社内の管理体制について聞かれることがあります。上場していないから無関係とは言い切れません。

誤解2　業務記述書・フローチャート・RCMの「3点セット」を作らないと制度違反になる
金融庁の基準そのものに、3点セットは必要に応じて作成する参考例であり、必ずしもこの様式による必要はないと明記されています。既存の業務資料に補足する形でも足りるとされています。

誤解3　内部統制報告書で「有効」と書かれていれば不正は絶対に起きない
2011年のオリンパス、2015年の東芝のように、制度が導入された後でも大きな不正会計は起きています。内部統制はリスクを減らす仕組みであって、不正の発生をゼロにすることを保証する制度ではありません。

まとめ：内部統制は「見つける仕組み」ではなく「起きにくくする仕組み」

内部統制は、2008年にJ-SOX法として義務化されて以来、上場企業とその関係会社に、財務報告の信頼性を保つための仕組みづくりを求めてきました。4つの目的と6つの基本的要素という枠組みは複雑に見えますが、その本質は「不正を見つける監視カメラ」ではなく「そもそも不正が起きにくい状態を業務の中に作り込む設計図」だということが、金融庁と証券取引等監視委員会の資料を読むと見えてきます。開示すべき重要な不備の原因トップがコンプライアンス意識の欠如だったという事実は、制度がどれだけ精緻でも、最後は人の意識にかかっているという、当たり前だけれど忘れがちなことを思い出させてくれます。投資先を選ぶときも、自社の体制を見直すときも、書類の形式より先に、権限が誰かに集中していないか、子会社の管理が任せきりになっていないかを、まず確認してみてはいかがでしょうか。なお、この記事の内容は2026年9月時点の金融庁・証券取引等監視委員会の公表資料に基づいています。制度や数値基準は見直される可能性があるため、最新の内容は金融庁の公式サイトで確認することをおすすめします。