4.3J-SOX（内部統制報告制度）

内部統制報告制度（J-SOX）は、金融商品取引法に基づき、上場企業の経営者に「自社の財務報告に係る内部統制が有効に機能しているか」を自己評価させ、その結果を内部統制報告書として開示させる制度です。そして、その報告書が適正かどうかを外部の監査人（監査法人）が監査します。システム監査人・IT監査人がこの制度に関わるのは、財務報告の多くがITシステムで処理される現代において、IT統制が財務報告の信頼性を左右するからです。この節では、J-SOXの枠組みと、対象範囲の合理的な絞り込み、不備の重要度分類を踏まえ、監査人が「どこに重点を置いて評価するか」を判断する視点を養います。

4.3.1J-SOXの枠組み

• 内部統制報告制度（J-SOX）＝金融商品取引法により、上場企業に財務報告に係る内部統制の有効性を経営者が自己評価し、内部統制報告書を有価証券報告書と併せて提出することを義務づける制度。目的は財務報告の信頼性の確保であり、業務全般ではなく「財務報告に係る」範囲に焦点を当てる点が特徴。
• J-SOXには二重の関与がある。まず経営者が内部統制を自己評価して報告書を作成し（経営者の責任）、次に外部の監査人（監査法人）が財務諸表監査と一体でその内部統制報告書を監査する（監査人の責任）。経営者評価と監査は役割が分離しており、監査人が経営者に代わって内部統制を整備・運用することはない（独立性の維持）。

4.3.2対象範囲の絞り込みと不備の分類

• J-SOXの経営者評価はトップダウン型のリスクアプローチによる。全業務を一律に評価するのではなく、財務報告に重要な影響を及ぼす範囲（重要な事業拠点・勘定科目・業務プロセス）を財務的な重要性の観点から絞り込み、そこに評価資源を集中する。全社的な内部統制（統制環境等）を評価したうえで、その結果を踏まえ業務プロセスに係る内部統制を評価する。
• 内部統制の不備は重要度で分類される。財務報告に重要な虚偽記載をもたらす可能性が高い不備は開示すべき重要な不備（material weakness）とされ、内部統制報告書で「内部統制は有効でない」旨の開示につながる。単なる不備（重要でないもの）と開示すべき重要な不備の区別は、財務報告への影響の重要性と発生可能性の観点から判断される。

あるシステム監査人（IT監査の担当者）が、上場企業B社のJ-SOX対応を支援する社内監査の一環で、販売管理システムのIT統制を評価しているとします。B社の内部監査部門は「全ての業務システムのIT統制を漏れなく同じ深さで評価すべきだ」と考え、経理・販売・人事・在庫・社内ポータルまで全システムを一律に精査しようとしています。ここで監査人が下すべき判断は、J-SOXの対象は「財務報告に係る」内部統制であり、トップダウン型のリスクアプローチで財務的重要性の高い範囲に絞り込むべきというものです。例えば売上高に直結する販売管理システムや連結上重要な拠点の会計システムは対象範囲の中心になりますが、財務報告への影響が乏しい社内ポータルの一部機能まで同じ深さで評価するのは、資源配分として合理的でありません。次に、販売管理システムの評価で「受注金額の自動計算ロジックにテストが不十分な変更が入り、特定条件で売上が過大計上され得る」という不備を発見したとします。監査人はこれを財務報告への影響の重要性（金額的インパクト）と発生可能性の観点から評価し、重要な虚偽記載をもたらす可能性が高ければ開示すべき重要な不備として扱う必要があります。ここでのひっかけは2つあります。1つは「全システムを一律に評価するのが網羅的で良い監査だ」という誤解——J-SOXは財務的重要性に基づく絞り込み（トップダウン）が原則です。もう1つは「システムのバグは全てIT部門の技術問題でJ-SOXとは無関係」という誤解——財務報告の数値を歪め得るIT統制の不備は、まさにJ-SOXが対象とする内部統制の不備です。監査人は財務報告の信頼性という目的に照らして評価の深さと不備の重要度を判断します。

4.3.3この節のまとめ

• J-SOX＝金融商品取引法に基づき、経営者が財務報告に係る内部統制を自己評価し内部統制報告書を提出、監査人がそれを監査する制度
• 経営者評価はトップダウン型リスクアプローチで財務的重要性の高い範囲に絞り込む（全業務一律ではない）
• 財務報告に重要な虚偽記載をもたらす可能性が高い不備は開示すべき重要な不備として扱われる