内部統制とは｜4つの目的と6つの基本的要素

「内部統制のために」という前置きで依頼が来たとき、何を指しているのかが人によって違う、という経験はないでしょうか。

ある人は監査対応の文書作成を指し、別の人は承認ルートの整備を指し、また別の人は「内部統制部門がやること」だと思っている。話がかみ合わないのは、内部統制という言葉が広いからではなく、定義を確認しないまま使っているからです。

基準には明確な定義があります。

内部統制とは、基本的に、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の４つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びＩＴ（情報技術）への対応の６つの基本的要素から構成される。

一文に、押さえるべきことがすべて入っています。4つの目的、6つの基本的要素、そして内部統制が業務に組み込まれたプロセスであること。

本記事では、この定義を分解したうえで、会社法と金融商品取引法で内部統制の意味が違うこと、そして基準自身が認める4つの限界までを整理します。

この記事の要点

内部統制は部署でも文書でもなくプロセス。基準は「業務に組み込まれ、組織内の全ての者によって遂行される」と書いている
目的は4つ。業務の有効性及び効率性／報告の信頼性／法令等の遵守／資産の保全
2023年の改訂で「財務報告の信頼性」が報告の信頼性に変わった。組織内への報告と非財務情報が含まれる
資産の保全は、資産の取得・使用・処分が「正当な手続及び承認の下に」行われることと定義されている。承認フローはここに直結する
基本的要素は6つで、それぞれが4つの目的すべてに必要という関係にある
会社法の内部統制と金商法の内部統制は別物。前者は体制整備の決定義務、後者は上場会社の報告・監査制度
基準は内部統制に4つの固有の限界があることを明記している。経営者による無効化もそこに含まれる

内部統制は「プロセス」である

定義のうち、実務でいちばん効くのはこの部分です。

業務に組み込まれ、組織内の全ての者によって遂行されるプロセス

組み込まれている、という点が重要です。業務とは別に内部統制という活動があるのではなく、日々の発注・承認・記録・確認そのものが内部統制です。「内部統制の作業をする時間がない」という言い方が成り立たないのは、このためです。

組織内の全ての者という点も同じです。内部統制部門や監査部門だけが担うものではありません。基準は、内部統制が「社内規程等に示されることにより具体化されて、組織内の全ての者がそれぞれの立場で理解し遂行することになる」としています。

そして基準は、整備と運用の状況が「適切に記録及び保存される必要がある」とも書いています。記録が残らない業務は、やっていても評価の対象になりません。何を証拠として残すかは証憑とは｜証憑書類の種類と保存期間で整理しています。

4つの目的

基準は4つの目的をそれぞれ定義しています。

目的	基準の定義（要約）
業務の有効性及び効率性	事業活動の目的の達成のため、業務の有効性及び効率性を高めること
報告の信頼性	組織内及び組織の外部への報告（非財務情報を含む）の信頼性を確保すること
事業活動に関わる法令等の遵守	事業活動に関わる法令その他の規範の遵守を促進すること
資産の保全	資産の取得、使用及び処分が正当な手続及び承認の下に行われるよう、資産の保全を図ること

4つは独立していますが、基準は「それぞれに独立しているが、相互に関連している」と注記しています。

「財務報告」ではなく「報告」になった

2つ目に注目してください。改訂前は財務報告の信頼性でした。現在の基準は報告の信頼性で、括弧書きで非財務情報を含むと明示しています。

これは用語の整理ではなく、範囲の拡大です。

組織の外部への報告だけでなく、組織内への報告も対象
財務情報だけでなく、非財務情報も対象

サステナビリティ情報や人的資本の開示が増えている状況を踏まえた改訂です。「内部統制は経理の話」という理解のままだと、実務の範囲を取り違えます。

なお、改訂された基準・実施基準は令和6（2024）年4月1日以後開始する事業年度から適用されています。

資産の保全は、承認の話である

4つ目の定義をもう一度読んでください。

資産の取得、使用及び処分が正当な手続及び承認の下に行われるよう、資産の保全を図ること

承認という語が、目的の定義そのものに入っています。

発注を誰が承認するか、金額でルートが変わるか、承認者が不在のときどうするか。こうした設計は、内部統制の付随作業ではなく、4つの目的のうち1つを直接構成しています。金額基準の決め方は職務権限規程の作り方｜決裁金額の決め方で扱っています。

6つの基本的要素

基準は基本的要素を「内部統制の目的を達成するために必要とされる内部統制の構成部分をいい、内部統制の有効性の判断の規準となる」と定義しています。

要素	内容
統制環境	組織の気風を決定し、他の5つの基礎をなす基盤。誠実性及び倫理観、経営者の意向及び姿勢、監査役等の機能などを含む
リスクの評価と対応	目的の達成を阻害する要因を識別・分析し、対応を選択する
統制活動	経営者の命令・指示が適切に実行されることを確保する方針と手続。権限及び職責の付与、職務の分掌を含む
情報と伝達	必要な情報が識別・把握・処理され、関係者に正しく伝えられる
モニタリング	内部統制が有効に機能していることを継続的に評価する。日常的モニタリングと独立的評価がある
ITへの対応	他の5要素をITによってより有効に機能させる

ここで押さえるべきは順番ではなく関係です。基準はこう書いています。

それぞれの目的を達成するには、全ての基本的要素が有効に機能していることが必要であり、それぞれの基本的要素は、内部統制の目的の全てに必要になるという関係にある。

6つのうち1つでも欠けると、4つの目的すべてに影響するという構造です。承認ルートを整えても（統制活動）、それが機能しているかを誰も見ていなければ（モニタリング）、統制としては成立しません。モニタリングの2種類と、見つけた問題を報告する仕組みについては内部統制のモニタリングとは｜2種類と報告の仕組みで扱っています。

統制活動の詳細、特に承認フローがここに当たる理由はJ-SOXとは｜3点セットと統制活動で、職務の分掌については職務分掌とは｜分けられないときの補完統制で扱っています。

会社法の内部統制と、金商法の内部統制は別物

ここが、社内で話がかみ合わなくなる最大の原因です。「内部統制」という同じ言葉で、2つの異なる制度が呼ばれています。

	会社法	金融商品取引法（J-SOX）
根拠	362条4項6号・5項など	内部統制報告制度
対象	大会社である取締役会設置会社など	上場会社
義務の中身	体制の整備についての決定	内部統制報告書の提出と監査
範囲	業務全般の適正	報告（財務報告）に係る部分

会社法362条4項6号が挙げているのは、次の事項です。

取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務並びに当該株式会社及びその子会社から成る企業集団の業務の適正を確保するために必要なものとして法務省令で定める体制の整備

そして5項で、こう定めています。

大会社である取締役会設置会社においては、取締役会は、前項第六号に掲げる事項を決定しなければならない。

義務づけられているのは「決定」です。 体制を整備すること自体ではなく、どういう体制を整備するかを取締役会が決めること。ここを読み違えると、「会社法が求める内部統制」の範囲を過大にも過小にも見積もります。

なお大会社は、最終事業年度の貸借対照表で資本金5億円以上、または負債の合計額200億円以上のいずれかに該当する株式会社です（会社法2条6号）。上場しているかどうかとは別の基準なので、非上場でも会社法の内部統制の対象になります。

逆に、J-SOXは上場会社の制度です。非上場の大会社に内部統制報告書の提出義務はありません。「うちは上場していないから内部統制は関係ない」という理解は、会社法側を見落としています。

基準は、内部統制に限界があると書いている

内部統制の解説で省かれやすいのが、この部分です。基準は4つの固有の限界を明記しています。

（１）内部統制は、判断の誤り、不注意、複数の担当者による共謀によって有効に機能しなくなる場合がある。（２）内部統制は、当初想定していなかった組織内外の環境の変化や非定型的な取引等には、必ずしも対応しない場合がある。（３）内部統制の整備及び運用に際しては、費用と便益との比較衡量が求められる。（４）経営者が不当な目的の為に内部統制を無視又は無効ならしめることがある。

実務上、効いてくるのは（3）と（4）です。

（3）費用と便益との比較衡量。 基準自身が、コストに見合わない統制は求めていません。「統制なので必要です」という説明だけで承認段数を増やすのは、基準の立場とも合いません。何を省けるかを議論してよい、という根拠になります。

（4）経営者による無効化。 これは仕組みで防ぎきれない部類です。だからこそ基準は、内部統制が目的の達成にとって「絶対的なものではない」と書いたうえで、各要素が一体となって機能することで「合理的な範囲で」達成しようとするものだとしています。

「内部統制を整えれば不正は起きない」とは、基準のどこにも書かれていません。

どこから手をつけるか

6要素すべてに一度に着手することはできません。実務の順番としては、次の考え方が機能します。

記録が残る経路に業務を通す（情報と伝達／統制活動）。口頭やチャットで流れている依頼を、申請として残す
権限と職責を文書にする（統制活動）。誰がいくらまで決められるかを決める
見る仕組みを置く（モニタリング）。残った記録を定期的に確認する担当と頻度を決める

1を飛ばして2から始めると、規程はあるが運用実態が分からない状態になります。記録が無いと、2が守られているかを3で確認できないためです。

特定の人しか分からない業務が残っている場合の優先順位は、属人化とは｜解消すべきものと放置してよいもので整理しています。

よくある質問（FAQ）

内部統制とJ-SOXは同じものですか？

違います。内部統制は仕組みそのもので、J-SOXはそのうち報告に係る部分について、上場会社に評価と報告を義務づける制度の通称です。J-SOXは法令上の正式名称ではなく、正しくは金融商品取引法の内部統制報告制度です。

非上場企業にも内部統制は必要ですか？

J-SOXの対象にはなりませんが、会社法上の義務は別です。大会社である取締役会設置会社は、体制の整備について取締役会で決定しなければなりません。大会社は資本金5億円以上または負債200億円以上が基準で、上場の有無とは関係ありません。

内部統制の4つの目的は何ですか？

業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の4つです。2023年の改訂で、2つ目が「財務報告の信頼性」から「報告の信頼性」に変わり、組織内への報告と非財務情報が含まれるようになりました。

6つの基本的要素のうち、どれが最も重要ですか？

基準は優先順位をつけていません。「それぞれの基本的要素は、内部統制の目的の全てに必要になるという関係にある」としており、1つでも欠ければ目的の達成に影響します。ただし統制環境は他の5つの基礎をなすものと位置づけられています。

内部統制は誰の仕事ですか？

基準は「組織内の全ての者によって遂行されるプロセス」と定義しています。経営者は整備と運用の責任を負いますが、特定の部署だけが担うものではありません。

内部統制を整えれば不正は防げますか？

防ぎきれません。基準は固有の限界として、判断の誤りや共謀、想定外の事象への非対応、費用と便益の比較衡量、そして経営者による無視・無効化の4つを挙げ、内部統制は目的の達成にとって絶対的なものではないと明記しています。

承認フローは内部統制のどこに当たりますか？

基本的要素でいえば統制活動です。また目的でいえば、資産の保全の定義が「資産の取得、使用及び処分が正当な手続及び承認の下に行われるよう」と書かれており、承認は目的の定義に直接含まれています。

内部統制のために文書を作る必要がありますか？

上場会社がJ-SOX対応で作成する業務記述書・フローチャート・リスクコントロールマトリクスは、法令上の義務ではありません。一方で基準は、整備及び運用の状況が適切に記録及び保存される必要があるとしています。求められているのは特定の様式ではなく、記録が残ることです。

1Approvalでの実現方法

6つの基本的要素のうち、1Approvalが直接関わるのは統制活動と情報と伝達、そしてモニタリングの一部です。

申請と承認を1つの経路に通すと、誰がいつ何を承認したかが記録として残ります。基準が求める「整備及び運用状況の適切な記録及び保存」が、業務を回すことと同時に満たされる形になります。承認ルートを金額や部門で分岐させられるため、職務権限規程で決めた内容を運用に落とすこともできます。

一方で、1Approvalが扱えない要素もはっきりしています。統制環境は組織の気風に関わるもので、システムで作れるものではありません。リスクの評価と対応も、何をリスクと見るかを決めるのは自社です。モニタリングについても、記録を残すところまでは担えますが、それを定期的に見る担当と頻度を決めるのは運用側の仕事です。

記録が残っていても誰も見ていなければ、モニタリングは機能しません。導入の際は、記録を確認する頻度と担当をあわせて決めてください。

まとめ

内部統制は、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスです。部署の名前でも、監査のために作る文書でもありません。

目的は4つ。業務の有効性及び効率性、報告の信頼性、法令等の遵守、資産の保全。2つ目は2023年の改訂で「財務報告」から広がり、組織内への報告と非財務情報を含むようになりました。そして資産の保全の定義には「正当な手続及び承認の下に」という文言が入っています。

基本的要素は6つで、それぞれが4つの目的すべてに必要という関係にあります。承認ルートを整えただけでは足りず、それが機能しているかを見る仕組みまで含めて1組です。

そして、会社法と金商法の内部統制は別物です。非上場でも大会社なら会社法側の対象になります。

最後に、基準自身が4つの固有の限界を認めていることを押さえてください。特に「費用と便益との比較衡量が求められる」という一文は、過剰な承認段数を見直す根拠になります。統制だから必要、で止めずに、何を省けるかを議論してください。

主な参照先

※本記事は2026年10月時点で確認した公開情報をもとに整理したものです。基準の引用は上記の意見書本文、条文の引用はe-Gov法令検索の本文によります。本記事は一般的な情報提供であり、個別の案件に対する助言ではありません。自社の内部統制の整備・評価については、監査人および専門家にご確認ください。

※記載されている会社名・製品名は各社の商標または登録商標です。