4.3J-SOX（内部統制報告制度）

内部統制報告制度（J-SOX）は、金融商品取引法に基づき、上場企業の経営者に「自社の財務報告に係る内部統制が有効に機能しているか」を自己評価させ、その結果を内部統制報告書として開示させる制度です。そして、その報告書が適正かどうかを外部の監査人（監査法人）が監査します。システム監査人・IT監査人がこの制度に関わるのは、財務報告の多くがITシステムで処理される現代において、IT統制が財務報告の信頼性を左右するからです。この節では、J-SOXの枠組みと、対象範囲の合理的な絞り込み、不備の重要度分類を踏まえ、監査人が「どこに重点を置いて評価するか」を判断する視点を養います。

4.3.1J-SOXの枠組み

• 内部統制報告制度（J-SOX）＝金融商品取引法により、上場企業に財務報告に係る内部統制の有効性を経営者が自己評価し、内部統制報告書を有価証券報告書と併せて提出することを義務づける制度。目的は財務報告の信頼性の確保であり、業務全般ではなく「財務報告に係る」範囲に焦点を当てる点が特徴。
• J-SOXには二重の関与がある。まず経営者が内部統制を自己評価して報告書を作成し（経営者の責任）、次に外部の監査人（監査法人）が財務諸表監査と一体でその内部統制報告書を監査する（監査人の責任）。経営者評価と監査は役割が分離しており、監査人が経営者に代わって内部統制を整備・運用することはない（独立性の維持）。

4.3.2対象範囲の絞り込みと不備の分類

• J-SOXの経営者評価はトップダウン型のリスクアプローチによる。全業務を一律に評価するのではなく、財務報告に重要な影響を及ぼす範囲（重要な事業拠点・勘定科目・業務プロセス）を財務的な重要性の観点から絞り込み、そこに評価資源を集中する。全社的な内部統制（統制環境等）を評価したうえで、その結果を踏まえ業務プロセスに係る内部統制を評価する。
• 内部統制の不備は重要度で分類される。財務報告に重要な虚偽記載をもたらす可能性が高い不備は開示すべき重要な不備（material weakness）とされ、内部統制報告書で「内部統制は有効でない」旨の開示につながる。単なる不備（重要でないもの）と開示すべき重要な不備の区別は、財務報告への影響の重要性と発生可能性の観点から判断される。