• １．内部統制報告制度（J-SOX）とは
• ２．内部統制の評価方法
• ３．内部統制の3点セットとは？概要と作成の目的
• ４．3点セット作成の流れとポイント
• 　　４－１．業務プロセス評価範囲の検討
• 　　４－２．業務記述書・フローチャートの作成
• 　　４－３．リスクとコントロールとは？
• 　　４－４．リスクコントロールマトリクス（RCM）の作成
• ５．業務プロセスにおける整備のポイント
• － よくあるご質問

　

金融商品取引法に規定される内部統制の構築・運用については、「全社的な内部統制」と「業務プロセスに係る内部統制」の2つに分類することができます。全社的な内部統制については、経営者自身がチェックリストによる評価を行い、業務プロセスにかかる内部統制については、業務記述書、フローチャート、リスクコントロールマトリクス（RCM）のいわゆる3点セットを作成し、業務を可視化することで評価できる状態にします。


▲内部統制の分類と整備事項

業務プロセスに分類されるもののうち、決算・財務報告にかかる業務プロセスは全社的観点の評価が適切といえます。そのため、全社的な内部統制と同様にチェックリストで評価します。売上・売掛金・棚卸資産などの固有の業務プロセスは3点セットを作成して評価することが一般的です。

業務プロセスに係る内部統制の3点セット「業務記述書」、「フローチャート」、「リスクコントロールマトリクス（RCM）」とは何でしょうか？
3点セット作成の目的は財務報告の信頼性確保です。業務記述書およびフローチャートで業務プロセスを可視化し、リスクコントロールマトリクスで可視化された各業務におけるリスクの把握と統制（コントロール）方法を明確にします。

内部統制の実施において3点セットの作成は必須ではありません。しかし評価できる状態にするためには、業務プロセスの可視化が望ましく、実務上は作成が一般的です。

【業務記述書】

5W1H（いつ、どこで、誰が、何を、なぜ、どのように）にのっとり、業務の流れを言語化した書類です。使用しているシステムや帳票などの名称は正しく記載する必要があります。


▲業務記述書（例）
金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」より抜粋

【フローチャート】

業務記述書の内容を図におこした書類です。フローチャートの形式にすることで、業務の流れ、関連部署、取引の発生から集計・記帳といった会計処理の過程とそこに関わるシステムおよびデータの流れが視覚的にわかりやすくなります。
業務記述書の内容と比較し、必ず整合性が取れているようにしましょう。


▲フローチャート（例）
金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」より抜粋

【リスクコントロールマトリクス（RCM）】

業務プロセスにおいて、不正やミスといった業務リスクと、そのリスクに対応するコントロール（内部統制手続）を一覧にしたものです。コントロールがすべてのリスクに対応しているかという網羅性と実際に有効に機能するかという有効性を評価することを目的として作成します。


▲リスクコントロールマトリクス（例）
金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」より抜粋

3点セットを作成する前に、まずは業務プロセスの評価範囲を検討します。
全社的な内部統制は基本的にすべての事業拠点を評価対象にします。しかし業務プロセスの評価については、前連結会計年度の連結売上高のおおむね2/3というのが一般的な目安であり、必要以上に評価範囲を広げないことが重要です。ただし、2/3を下回る場合は、なぜその範囲を妥当としたのか、自社で基準を設けることと監査人との事前協議が必要です。

業務プロセスの評価範囲が決定したら、いよいよ3点セットの具体的な作成作業に入ります。現状の業務フローを正確に把握するために、業務を実際に行っている担当者にヒアリングし業務記述書とフローチャートを完成させます。

可能であれば2人以上で実施します。1人はヒアリング内容の議事録を作成し、もう1人はフローチャートの下書きを行うことが望ましいです。

また作成時には以下の点にも留意しましょう。
業務記述書、フローチャートの完成度が高いほど、リスクコントロールマトリクス（RCM）の作成が円滑に進みます。実務に忠実に、抜け漏れのないよう作成しましょう。

リスクコントロールマトリクス（RCM）の作成の前に、リスクとコントロールについて解説します。

内部統制におけるリスクに該当するかは、「財務報告の信頼性確保」を阻害するかどうか、で判断します。
財務報告の信頼性の確保を阻害するかどうかは、金融庁が定めた6つのアサーション（監査要件）に影響を及ぼすかどうかで判断することができます。

6つのアサーションは以下です。

• ・実在性
  資産及び負債が実際に存在し、取引や会計事象が実際に発生していること
• ・網羅性
  計上すべき資産、負債、取引や会計事象を全て記録していること
• ・権利と義務の帰属
  計上されている資産に対する権利及び負債に対する義務が企業に帰属していること
• ・評価の妥当性
  資産及び負債を適切な価額で計上していること
• ・期間配分の適切性
  取引や会計事象を適切な金額で記録し、収益及び費用を適切な期間に配分していること
• ・表示の妥当性
  取引や会計事象を適切に表示していること

▲出典：「財務報告に係る内部統制の評価及び監査の基準」金融庁

たとえば「実在性」に影響するリスクとしては、架空売り上げの計上（不正）や受注入力の金額を誤る（誤謬）などが考えられます。
アサーションに影響を及ぼす事象が起こった場合、財務報告の信頼性を確保することができない可能性があると言えるため、つまりそれはリスクであると識別できるのです。

次に、コントロールについてです。
コントロールとは、内部統制に関わるリスクを予防するため、または既に発生したリスクを発見するためのチェック作業のことをさします。
コントロールには「承認」や「照合」といった様々な種類があり、もっとも代表的なものは「上長による承認」です。リスクに対応した適切なコントロールを業務手続に組み込んでいく必要があります。
また、同じ種類のコントロールであっても、実施する担当者や部署などによって有効性の強弱が異なります。たとえば、営業担当者が作成した受注表は作成者自身が確認するよりも、営業部門の別の担当者や、上長による確認・承認の方が強いコントロールと言えます。さらに、経理部門の担当者や責任者による確認・承認の方が、恣意性介入の要素がなくなるため、より強いコントロールと言えます。

業務記述書とフローチャートを分析して、財務報告の信頼性確保を阻害するリスクの発生箇所を抽出し、それを防止・発見・是正するコントロールを一覧にまとめて作成します。


以上がリスクコントロールマトリクス（RCM）作成の流れです。

前述の通り、上場準備において3点セットの作成は必須ではありません。しかし財務報告の信頼性を確保するためには、業務プロセスを可視化し、各業務上のリスクとコントロールを正確に把握することが大前提です。そのためには3点セットの作成は実務上必要と言えます。

3点セットを作成する際には、 の2点について特に留意し、財務報告の信頼性確保を実現する3点セットを作り上げましょう。

■内部統制を担える人材を育成“ＩＰＯ･内部統制実務士”とは？

経営品質の向上（上場審査基準を充たす経営管理面の整備と運用）、リスクへの対応、法令などから求められた内部統制システムの構築・評価・運用に必須な人材養成に応えるための資格制度です。詳細はホームページをご覧ください。