J-SOXとは｜3点セットと統制活動

「J-SOXのために承認フローを整えてください」と言われたとき、何をどこまでやれば足りるのかがはっきりしないまま作業が始まることがあります。

原因は、J-SOXという呼び方にあります。これは通称であって、法令にこの名前の制度はありません。正しくは金融商品取引法の内部統制報告制度です。そして基準の原文を読むと、承認フローの位置づけは明確に書かれています。

統制活動には、権限及び職責の付与、職務の分掌等の広範な方針及び手続が含まれる。

つまり稟議や承認ルートは、内部統制の6つの基本的要素のうち「統制活動」そのものです。付随的なものではありません。

本記事では金融庁・企業会計審議会の意見書を一次資料として、J-SOXの枠組み、3点セットの位置づけ、そして2024年4月から適用された改訂点を整理します。

この記事の要点

• J-SOXは通称です。正しくは金融商品取引法に基づく内部統制報告制度で、上場会社を対象に2008年4月1日以後開始する事業年度から適用されています。
• 内部統制の目的は4つ。業務の有効性及び効率性／報告の信頼性／事業活動に関わる法令等の遵守／資産の保全です。
• 基本的要素は6つ。統制環境／リスクの評価と対応／統制活動／情報と伝達／モニタリング（監視活動）／IT（情報技術）への対応。
• 承認フローは「統制活動」に当たります。 基準は統制活動を「経営者の命令及び指示が適切に実行されることを確保するために定める方針及び手続」と定義し、権限及び職責の付与、職務の分掌を含むと明記しています。
• 実施基準は、各担当者の権限及び職責を明確にし、その範囲で業務を遂行する体制の整備が重要だとしています。これが職務権限規程と承認ルートの設計そのものです。
• 「3点セット」（業務記述書・フローチャート・RCM）は実務上の呼称で、法令が様式を定めたものではありません。義務なのは内部統制報告書の提出です。
• 2023年4月7日に基準・実施基準が改訂され、令和6（2024）年4月1日以後開始する事業年度における評価及び監査から適用されています。内部統制監査報告書の形式的な改訂を除けば2011年以来の改訂です。
• 改訂では、「財務報告の信頼性」が、「報告の信頼性」に改められ、リスク評価における不正リスクの考慮、ITの委託業務に係る統制とサイバーリスクへの言及が加わりました。
• 評価範囲について、「売上高等のおおむね3分の2」や「売上、売掛金及び棚卸資産の3勘定」を機械的に適用すべきでないことが明記されました。
• ワークフローシステム自体は、「ITへの対応」の側で評価されます。承認ルートが正しくても、設定を誰でも変えられるなら統制は成立しません。

J-SOXとは何か

J-SOXは、米国のSOX法（サーベンス・オクスリー法）になぞらえた通称です。日本の法令上は、金融商品取引法に基づく内部統制報告制度を指します。

上場会社の経営者が、財務報告に係る内部統制を自ら評価して内部統制報告書を作成・提出し、公認会計士等がそれを監査する、という制度です。意見書によれば、この制度は平成20（2008）年4月1日以後開始する事業年度に適用されて以来、15年余りが経過しています。

4つの目的

基準は内部統制を、次の4つの目的が達成されているという合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスと定義しています。

目的	内容
業務の有効性及び効率性	事業活動の目的達成のため、業務の有効性と効率性を高める
報告の信頼性	組織内及び組織の外部への報告（非財務情報を含む）の信頼性を確保する
事業活動に関わる法令等の遵守	事業活動に関わる法令その他の規範の遵守を促進する
資産の保全	資産の取得・使用・処分が正当な手続及び承認の下に行われるようにする

なお制度としての内部統制報告制度は、このうち、「財務報告の信頼性」の確保が目的であることが意見書で強調されています。

6つの基本的要素

• 統制環境 — 組織の気風を決定し、他の要素の基礎をなす。例示に権限及び職責が含まれる
• リスクの評価と対応
• 統制活動 ← 承認フローはここ
• 情報と伝達
• モニタリング（監視活動）
• IT（情報技術）への対応 ← ワークフローシステムはここ

承認フローは「統制活動」そのもの

ここが本記事の中心です。基準の原文を引きます。

統制活動とは、経営者の命令及び指示が適切に実行されることを確保するために定める方針及び手続をいう。 統制活動には、権限及び職責の付与、職務の分掌等の広範な方針及び手続が含まれる。このような方針及び手続は、業務のプロセスに組み込まれるべきものであり、組織内の全ての者において遂行されることにより機能するものである。

さらに注として、こう書かれています。

例えば、明確な職務の分掌、内部牽制、並びに継続記録の維持及び適時の実地検査等の物理的な資産管理の活動等を整備し、これを組織内の各レベルで適切に分析及び監視していくことが重要になる。

そして実施基準側には、より踏み込んだ記述があります。

経営者においては、不正又は誤謬等の行為が発生するリスクを減らすために、各担当者の権限及び職責を明確にし、各担当者が権限及び職責の範囲において適切に業務を遂行していく体制を整備していくことが重要となる。

これは職務権限規程と承認ルートの設計の説明そのものです。 「J-SOXのために承認フローを整える」という作業は、付随的な事務ではなく、統制活動の中核を作る作業にあたります。

実務に落とすと、次のものがすべて統制活動として評価対象になります。

整備するもの	対応する基準の文言
職務権限規程（決裁金額の基準）	権限及び職責の付与
承認ルート（誰が何段階で承認するか）	職務の分掌
発注と検収と支払の担当者を分ける	職務の分掌、内部牽制
代理承認の設計	権限及び職責の範囲
承認履歴の保存	継続記録の維持

金額基準の決め方は職務権限規程の作り方｜決裁金額の決め方に、代理承認で証跡を壊さない設計は代理承認の設計に整理しています。発注・検収・支払の分離については検収とは｜検収書と支払期日の数え方もあわせてご覧ください。

「3点セット」は法令上の義務ではない

J-SOX対応というと必ず出てくるのが3点セットです。

文書	内容
業務記述書	業務の内容と手順を文章で記述する
フローチャート	業務の流れを図で表す
リスクコントロールマトリクス（RCM）	リスクと、それに対応する統制を対応表にする

この3つは実務上の呼称であって、法令が様式を定めたものではありません。 義務として課されているのは内部統制報告書の提出であり、その評価の過程でどう文書化するかは各社の設計に委ねられています。

ただし作らなくてよいという意味ではありません。 評価の対象と結論を監査人へ説明する必要がある以上、業務の流れとリスク・統制の対応関係を示す記録は実質的に必要になります。3点セットは、その説明をやりやすくするために広く使われている形式です。

承認フローとの関係で重要なのはRCMです。 リスク（例：権限のない者が発注する）に対して、どの統制が効いているか（例：金額に応じた承認ルートで部長承認を必須にしている）を書く表だからです。承認ルートの設計が曖昧だと、RCMに書けません。

なお、本サイトのkintone監査ログの限界を内部統制でどう埋めるかでは、IT統制の文脈で「アクセス権限管理・変更管理・操作履歴」の3点に触れていますが、これはJ-SOXの3点セットとは別のものです。

2024年4月からの改訂

2023年4月7日、企業会計審議会が基準・実施基準の改訂について意見書を公表しました。内部統制監査報告書の形式的な改訂を除けば、2011年以来の改訂です。

改訂基準及び改訂実施基準は、令和6（2024）年4月1日以後開始する事業年度における財務報告に係る内部統制の評価及び監査から適用する。

主な改訂点のうち、承認フローの設計に関係するものを挙げます。

「財務報告の信頼性」から「報告の信頼性」へ

目的の表現が改められ、非財務情報を含む報告の信頼性を指すことが明確になりました。ただし金融商品取引法上の内部統制報告制度は、あくまで「財務報告の信頼性」の確保が目的である点も同時に強調されています。

不正リスクの考慮

「リスクの評価と対応」について、COSO報告書の改訂を踏まえ、リスクを評価する際に不正に関するリスクを考慮することの重要性と考慮すべき事項が明示されました。

承認フローの文脈では、「承認者を外した申請が通る余地があるか」「申請者が自分で承認できる経路が存在しないか」といった点が、不正リスクとして検討対象になります。

ITへの対応の強化

ITの委託業務に係る統制の重要性が増していること、サイバーリスクの高まり等を踏まえた情報システムに係るセキュリティの確保が重要であることが記載されました。

クラウドのワークフローシステムを使っている場合、その事業者の統制をどう確認するかがここに当たります。

評価範囲の機械的適用の否定

実務でいちばん影響が大きかったのがここです。意見書は、評価対象とする重要な事業拠点や業務プロセスを選定する指標について、例示されている、「売上高等のおおむね3分の2」や「売上、売掛金及び棚卸資産の3勘定」を機械的に適用すべきでないことを記載した、としています。

従来この数値を目安として評価範囲を決めていた会社は、なぜその範囲なのかを自社の判断として説明する必要が強まりました。

ワークフローシステムに問われること

承認ルートの設計が統制活動なら、それを載せるシステムは「ITへの対応」の側で評価されます。

問われること	なぜ
アクセス権限の管理	承認ルートの設定を誰が変更できるか
変更管理	いつ、誰が、どう変えたかの記録
操作ログ	承認した事実が後から改ざんされていないこと
委託先の統制	クラウドなら事業者側のプロセス

承認ルートが正しくても、設定を誰でも変えられるなら統制は成立しません。 Garoonの設定画面が管理権限を持つユーザーのみであること、Create!Webフローや desknet’s NEO が「申請時に経路を変更させない設定」を持つことは、この観点では機能差ではなく統制上の差になります。

製品ごとの実装はワークフローシステム比較に整理しています。

よくある質問（FAQ）

J-SOXとは何の略ですか？

米国のSOX法（サーベンス・オクスリー法）になぞらえた通称です。法令上は金融商品取引法に基づく内部統制報告制度を指します。上場会社の経営者が財務報告に係る内部統制を評価して内部統制報告書を提出し、公認会計士等が監査する制度で、2008年4月1日以後開始する事業年度から適用されています。

承認フローはJ-SOXのどこに当たりますか？

6つの基本的要素のうち「統制活動」にあたります。基準は統制活動を「経営者の命令及び指示が適切に実行されることを確保するために定める方針及び手続」と定義し、権限及び職責の付与、職務の分掌等を含むと明記しています。職務権限規程、承認ルート、代理承認の設計、承認履歴はすべてここに当たります。

3点セットは作らないといけませんか？

法令上の義務ではありません。 業務記述書・フローチャート・RCMという3点セットは実務上の呼称で、法令が様式を定めたものではありません。義務なのは内部統制報告書の提出です。ただし評価の対象と結論を監査人に説明する必要がある以上、業務の流れとリスク・統制の対応関係を示す記録は実質的に必要になります。

内部統制の6つの基本的要素とは何ですか？

統制環境／リスクの評価と対応／統制活動／情報と伝達／モニタリング（監視活動）／IT（情報技術）への対応の6つです。あわせて目的は4つあり、業務の有効性及び効率性／報告の信頼性／事業活動に関わる法令等の遵守／資産の保全とされています。

2024年に何が変わりましたか？

2023年4月7日に基準・実施基準が改訂され、令和6（2024）年4月1日以後開始する事業年度から適用されています。「財務報告の信頼性」が「報告の信頼性」に改められ、リスク評価における不正リスクの考慮、ITの委託業務に係る統制とサイバーリスクへの言及が加わりました。あわせて、評価範囲を決める際に、「売上高等のおおむね3分の2」や「3勘定」を機械的に適用すべきでないことが明記されています。

ワークフローシステムを入れればJ-SOX対応は終わりますか？

終わりません。システムは、「ITへの対応」の側で評価されるもので、何を承認対象とし、誰にどの権限を与えるかという統制活動の設計は自社の仕事です。加えてシステム側では、アクセス権限の管理、変更管理、操作ログ、クラウドなら委託先の統制が問われます。

上場していなくてもJ-SOXは関係ありますか？

内部統制報告制度の対象は上場会社です。ただし上場審査の過程で内部統制の整備状況は確認されますし、会社法上の内部統制システム構築義務（大会社等）とも考え方は重なります。上場を目指す段階から職務権限規程と承認ルートを整えておく実務的な意味はあります。

RCMには承認フローをどう書けばよいですか？

リスクと、それに対応する統制を対応させて書きます。たとえば「権限のない者が発注する」というリスクに対し、「金額が一定以上の場合に部長承認を必須とする経路を設定している」という統制を記載します。承認ルートの設計が曖昧だとRCMに書けないため、先に職務権限規程で金額基準を決めるのが順序です。

1Approvalでの実現方法

1Approvalは、いま使っている承認ワークフロー（Microsoft 365、Teams、Google Workspace、kintone）の上で、承認が降りた時点で発注や手配まで完了させる仕組みです。

J-SOXの文脈での位置づけは、次のとおりです。

	担うもの
ワークフローシステム	承認の記録（統制活動の実行とその証跡）
1Approval	承認と実行が食い違わない状態をつくる

承認を電子化しても、承認済みの内容を見ながら誰かが別のサイトで注文し直す工程が残っていると、「承認した内容」と「実際に買ったもの」が一致している保証がありません。この突合を人が手で行っている限り、統制としては弱い状態が続きます。

• 承認と発注の間が消える — 承認した内容がそのまま手配になります
• 申請の入口が1つになる — 何をどこで買うかに関わらず同じ場所から申請できます
• 費用が法人一括請求にまとまる — 従業員の立替と領収書の回収が発生しません
• 既存の承認基盤をそのまま使う — 承認フローを置き換えません

統制活動を設計するのは自社の仕事です。 1Approvalが担うのは、設計した統制が実行の段階で崩れないようにする部分です。

まとめ

J-SOXは通称で、正しくは金融商品取引法の内部統制報告制度です。2008年4月1日以後開始する事業年度から適用されています。

稟議・承認フローは、6つの基本的要素のうち「統制活動」そのものです。 基準は統制活動に権限及び職責の付与、職務の分掌が含まれると明記し、実施基準は各担当者の権限及び職責を明確にし、その範囲で業務を遂行する体制の整備が重要だとしています。職務権限規程も承認ルートも代理承認の設計も、すべてここに当たります。付随的な事務ではありません。

「3点セット」（業務記述書・フローチャート・RCM）は実務上の呼称で、法令が様式を定めたものではありません。 義務は内部統制報告書の提出です。ただし評価を説明する記録は実質的に必要で、とくにRCMは承認ルートの設計が曖昧だと書けません。

2023年4月7日の改訂基準は、令和6（2024）年4月1日以後開始する事業年度から適用されています。不正リスクの考慮、ITの委託業務とサイバーリスクへの言及、そして評価範囲の機械的な適用を否定した点が、実務に効いています。

そしてシステムは「ITへの対応」の側です。承認ルートが正しくても、設定を誰でも変えられるなら統制は成立しません。

まず自社の職務権限規程と、実際の承認ルートが一致しているかを確認してください。 規程にない経路で決裁が通っているなら、文書を直すより先にそこが問題です。

主な参照先

• 財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）｜企業会計審議会・令和5年4月7日
• 企業会計審議会（金融庁）
• 金融商品取引法（e-Gov法令検索）

※本記事は2026年10月時点で確認した公開情報をもとに整理したものです。基準・実施基準の引用は上記の意見書本文によります。本記事は一般的な情報提供であり、個別の案件に対する助言ではありません。自社の評価範囲や文書化の方法については、監査人および専門家にご確認ください。