内部統制とは？中小企業が業務・権限・証跡を整える進め方

内部統制というと、上場企業の監査や細かな規程を思い浮かべるかもしれません。しかし、根にあるのは日々の業務です。請求金額を誰が確定するか、顧客へ送る前に何を見るか、退職者のアカウントを誰が止めるか。こうした仕事の進め方が、会社の目的に沿って機能している状態を作ります。

金融庁の基本的枠組みは、内部統制を4つの目的を達成するため、組織内のすべての人によって遂行されるプロセスとしています。完全にミスをなくす保証ではなく、目的の達成について合理的な保証を得るための仕組みです。

内部統制の4つの目的

2023年に公表された改訂では、基本的枠組みの「財務報告の信頼性」が、非財務情報を含む「報告の信頼性」へ広げられました。ただし、金融商品取引法上の内部統制報告制度が対象とするのは、引き続き財務報告に係る内部統制です。一般的な内部統制の枠組みと、法定の報告制度を同じものとして扱わないことが大切です。

内部統制を構成する6つの基本的要素

4つの目的を実現するための見方が、次の6要素です。1つだけ導入して終わるものではありません。

例えば承認ボタンを作っても、承認者が何を見るか知らず、古いExcelを根拠に承認していれば機能しません。役割、リスク、情報、確認、ITを一続きで考えます。

J-SOX、会社法、日常の内部統制を分ける

J-SOXは財務報告に係る内部統制の評価・報告制度

金融庁が案内する内部統制報告制度では、経営者が財務報告に係る内部統制を評価し、報告書を提出します。これは一般的な4目的すべてを外部報告する制度ではありません。

会社法にも業務の適正を確保する体制がある

会社法は、取締役会設置会社や大会社等について、業務の適正を確保するための体制に関する決定を定めています。会社の機関設計や規模で条文の適用が変わるため、自社の法的義務は専門家へ確認してください。

日常業務では義務の有無だけで判断しない

法定報告の対象でなくても、二重支払い、未請求、誤送信、権限の残存を防ぐ必要はあります。中小企業では、監査対応のために書類を増やすより、実際の業務が止まらず、間違いに気づけることから始めます。

中小企業の内部統制は、役割を分けられない前提で作る

人数が少ない会社では、申請、入力、承認、実行をすべて別の人へ分けられません。無理に大企業の組織図を写すと、実在しない役職と運用されない規程が増えます。

分けられない業務は、経営者による月次確認、銀行やシステムからの通知、別担当の抜き取り確認、変更ログ、外部専門家の確認などで補います。重要なのは、同じ人が複数の役割を持つことを見えない状態にしないことです。

決裁を現場へ降ろす範囲は職務権限規程の作り方、AIを含む外部反映の承認は人の承認を残す場所で詳しく扱っています。

内部統制を1業務から整える6手順

最初に作る内部統制台帳の7項目

立派な規程集を先に作らず、選んだ1業務を次の7項目で1枚にします。

台帳と実際の画面・記録が一致するかを確認します。システム移行前のデータ確認はデータ監査の進め方、申請と承認をシステムへ載せる場合は承認ワークフローの作り方が参考になります。

IT・AIを使うときの内部統制

ITは、同じルールを繰り返し適用し、記録を残す助けになります。一方で、権限設定が広すぎる、元データが古い、自動処理が重複する、変更した人が分からないといったリスクも生みます。

AIには、記録の整理、差異候補の抽出、期限通知、承認資料の下書きを任せられます。AIが次の作業を提案しても、金額、契約、顧客対応、外部公開、権限変更は人が承認します。AIがどの資料を見て何を出したかを定期的に確認し、古い資料を正しい情報として使っていないかを見ます。

権限の確認は社内ツールの権限漏れ、変更後の検証はAI出力の第三者レビューで分けて説明しています。

ミスを責めるより、全体を直せる記録を残す

内部統制が形だけになる会社は、ミスが出るたびに担当者へ注意し、同じ流れを残します。見るべきなのは、誰が間違えたかだけではありません。どの入力で、どの判断基準が足りず、どの承認で気づけなかったかを確認します。

月次では、差し戻し件数、二重処理、未処理、期限超過、権限変更、参照資料の更新をまとめて見ます。同じ原因によるミスが複数発生していれば、個別の修正ではなく、元データ、受付項目、承認条件、手順をまとめて直します。

一次情報・公式情報

• 金融庁「内部統制の基本的枠組み」
• 金融庁「財務報告に係る内部統制の評価及び監査の基準等の改訂」
• e-Gov法令検索「会社法」
• 日本公認会計士協会「内部統制」
• 経済産業省「財務報告に係るIT統制ガイダンス」

内部統制のよくある質問