J-SOX（内部統制報告制度）とは？対象企業・進め方・改訂点
J-SOX（内部統制報告制度）は、上場企業の経営者が「財務報告を正しく作る仕組み」を自ら評価して報告し、その評価を監査法人などの監査人が監査する制度です。金融商品取引法にもとづき2008年4月以後に始まる事業年度から導入され、2024年4月以後に始まる事業年度からは改訂後の基準が適用されています。
この記事では、次の点を実務の順に解説します。
J-SOXの目的と対象企業（新規上場企業の特例を含む）
経営者評価と内部統制監査の仕組み
対応の進め方と3点セットの作り方
2024年4月から適用されている改訂のポイント
開示すべき重要な不備と罰則
J-SOXとは：目的・根拠法・特徴
J-SOXは、金融商品取引法が上場企業に求める「内部統制報告制度」の通称です。上場企業は事業年度ごとに、財務報告の正しさを確保する体制を経営者が評価した「内部統制報告書」を作り、監査法人などの監査を受けたうえで、有価証券報告書と併せて提出します。
根拠となる条文
内容 | 金融商品取引法の条文 |
内部統制報告書の提出（事業年度ごと、有価証券報告書と併せて） | 第24条の4の4第1項 |
内部統制報告書に対する公認会計士・監査法人の監査証明 | 第193条の2第2項 |
不提出・虚偽記載の罰則 | 第197条の2第1項第5号・第6号、第207条第1項第2号（法人） |
提出は、有価証券報告書と同じく事業年度の終了後3か月以内に、EDINETで行います。有価証券報告書の記載が適正であることを経営者が確認した「確認書」（第24条の4の2）も、同時に提出します（e-Gov法令検索：金融商品取引法）。
目的と導入の経緯
J-SOXの目的は、投資家が判断に使う財務報告の信頼性を確保することです。2023年の改訂で、内部統制の目的の1つは「財務報告の信頼性」から、非財務情報も含む「報告の信頼性」に広がりました。ただし、金融商品取引法の制度としての目的は、引き続き財務報告の信頼性の確保です（企業会計審議会、2023年4月の意見書）。
米国で不正会計が相次いだことを受けて2002年に成立したSOX法（企業改革法）にならい、日本では2006年6月に成立した金融商品取引法で導入されました。2008年4月1日以後に始まる事業年度から適用されています（金融庁「アクセスFSA」第52号）。「J-SOX」は、日本版SOX法という意味の通称です。
J-SOXの6つの特徴
制度の導入に先立ち、2007年の意見書は、評価と監査のコスト負担が過大にならないよう、次の6つの方針を示しました（企業会計審議会、2007年2月の意見書）。
特徴 | 内容 |
トップダウン型のリスク・アプローチ | まず連結ベースで全社的な内部統制を評価し、その結果を踏まえて、必要な範囲で業務プロセスを評価する |
不備の区分を2つにする | 「不備」と「重要な欠陥」の2区分。2011年の改訂で、「重要な欠陥」は「開示すべき重要な不備」に名前が変わった |
ダイレクト・レポーティングの不採用 | 監査人は、経営者の評価結果を監査する。内部統制を直接評価して報告する方式はとらない |
財務諸表監査との一体的な実施 | 同じ監査人が行い、監査証拠を相互に利用する |
監査報告書の一体的な作成 | 内部統制監査報告書は、原則として財務諸表の監査報告書と合わせて記載する |
監査役・内部監査人との連携 | 監査人は監査役などと連携し、必要に応じて内部監査人の業務を利用できる |
このうち現在の米国の制度とのはっきりした違いは、ダイレクト・レポーティングを採らないこと（米国では監査人が内部統制に直接意見を述べる）と、不備の区分（米国は3区分）の2点です。トップダウン型の評価や財務諸表監査との一体的な実施は、今では米国の監査基準も同じ考え方です（PCAOB AS 2201）。ダイレクト・レポーティングの採用は、2023年の意見書でも中長期の検討課題とされています。
内部統制の4つの目的と6つの基本的要素
J-SOXが前提とする内部統制には、「業務の有効性及び効率性」「報告の信頼性」「事業活動に関わる法令等の遵守」「資産の保全」の4つの目的と、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つの基本的要素があります。米国のCOSOが示す内部統制の5つの構成要素に「ITへの対応」を加えている点が、日本の基準の特徴です。
対象企業と新規上場企業の特例
J-SOXの対象は、金融商品取引所に株式などを上場している会社です。評価は、子会社などを含む企業集団（連結ベース）で行います。新規上場企業は、上場から3年を経過する日までに提出する内部統制報告書について監査を受けないことを選べますが、報告書そのものは上場直後から提出が必要です。
対象と評価の範囲
対象：金融商品取引所に上場されている有価証券の発行会社などです（第24条の4の4第1項）。非上場企業にJ-SOXの義務はありません。ただし会社法は、大会社である取締役会設置会社などに、内部統制システムの整備を取締役会で決めることを求めています。
子会社：評価は連結ベースで行うため、海外を含む子会社も、財務報告への影響の大きさに応じて評価の範囲に入ります。
業務の委託先：経理、給与計算、システムの運用などを外部に委託していても、その業務は自社の評価の対象です。委託先の統制は、委託先の内部統制に関する保証報告書を入手するなどの方法で確かめます。2023年の改訂では、ITの委託業務に係る統制の重要性が明記されました。
新規上場企業の特例
項目 | 内容 |
特例の内容 | 上場日から3年を経過する日までに提出する内部統制報告書は、監査人の監査を受けないことを選べる（第193条の2第2項第4号） |
対象外の会社 | 上場した事業年度の前年度の貸借対照表で、資本金100億円以上または負債総額1,000億円以上の会社（内部統制府令第10条の2） |
報告書の提出 | 免除されるのは監査だけ。内部統制報告書は上場直後から提出が必要 |
導入 | 2014年の金融商品取引法の改正 |
監査が免除される間も、経営者による評価と報告は必要です。上場審査でも内部管理体制が確かめられるため、上場準備の段階から評価の体制と文書を整えておく必要があります。
J-SOXで内部監査部門が担う役割
多くの上場企業では、経営者評価の実務を内部監査部門が担っています。評価の責任は経営者にありますが、評価する業務から独立した部門が担うことで、評価の客観性を保てるからです。実施基準も、評価を担う部署や担当者に、評価する業務から独立して客観性を保つことを求めたうえで、内部監査部門などの既存の部署を使うことを認めています。
内部監査部門の主な仕事
評価の計画を立てる（評価範囲、スケジュール、担当の割り振り）
全社的な内部統制と、業務プロセスの統制の整備状況・運用状況を評価する
見つかった不備を取りまとめ、影響の大きさを検討して、業務の担当部門に是正を依頼する
是正の状況を確かめ、評価結果を経営者に報告する
監査役や監査法人と、評価範囲や不備の情報を共有する
J-SOXの評価と内部監査の違い
項目 | J-SOXの経営者評価 | 内部監査 |
目的 | 財務報告の信頼性を支える統制が有効かを確かめる | 組織の目標達成に向けて、ガバナンス、リスク管理、内部統制を評価し、改善を促す |
拠り所 | 金融商品取引法と、金融庁の基準・実施基準 | 社内の内部監査規程。実務の拠り所としてIIAのグローバル内部監査基準がある |
範囲 | 財務報告に係る内部統制 | 業務全般（法令遵守、IT、業務の効率なども含む） |
結果の報告先 | 内部統制報告書で社外に開示し、監査人の監査を受ける | 経営者、取締役会、監査役などへの社内の報告 |
J-SOXの評価に内部監査の人員の大半を取られると、不正やITなど、財務報告の外にあるリスクへの監査が手薄になります。J-SOXの評価結果を内部監査の計画に生かし、同じ部署への重複した往査を減らすなど、両方を一体で計画すると効率的です。
経営者評価と内部統制監査の仕組み
J-SOXでは、経営者がまず会社全体に関わる「全社的な内部統制」を評価し、その結果を踏まえて「業務プロセスに係る内部統制」を評価します。監査人は、この経営者の評価が妥当かどうかを監査します。
経営者の評価結果は内部統制報告書にまとめられ、監査人はその報告書が適正かを監査します。2つの報告書は、有価証券報告書と併せて提出されます。
経営者が評価する統制
区分 | 主な内容 | 評価のしかた |
全社的な内部統制 | 経営者の姿勢、組織と権限、リスク評価の仕組み、規程、内部監査など、会社全体に関わる統制 | 評価項目ごとに、規程や議事録などの根拠を確かめる |
決算・財務報告プロセス | 決算の手順、連結の手続、開示書類の作成とチェック | 全社的な観点で評価するものと、業務プロセスとして評価するものがある |
業務プロセス | 売上、購買、在庫など、財務報告に重要な影響を及ぼす業務の統制。システムに組み込まれた自動のチェック（IT業務処理統制）も含む | 3点セットでキーコントロールを特定し、整備状況と運用状況を評価する |
IT全般統制 | アクセス権の管理、システム変更の管理、運用の管理、委託先の管理 | 業務プロセスで使うシステムごとに評価する |
整備状況の評価と運用状況の評価
整備状況の評価：統制が、リスクを防ぐように設計され、実際に業務に組み込まれているかを確かめます。取引を1件選び、発生から記帳までの流れを追う「ウォークスルー」が代表的な方法です。
運用状況の評価：統制が、設計どおりに一定の期間続けて行われているかを確かめます。記録からサンプルを選び、承認やチェックの証跡を確かめます。
評価結果の表明と監査人の監査
経営者は評価の結果を、内部統制報告書で次のいずれかの形で表明します。
財務報告に係る内部統制は有効である
評価手続の一部が実施できなかったが、有効である
開示すべき重要な不備があり、有効でない
重要な評価手続が実施できなかったため、評価結果を表明できない
監査人は、この内部統制報告書が適正かを監査し、内部統制監査報告書で意見を述べます。内部統制監査は、原則として財務諸表監査と同じ監査人が一体で行います。
J-SOX対応の進め方：手順と年間スケジュール
J-SOX対応は、評価範囲を決め、文書化し、整備状況と運用状況を評価し、不備を是正して、期末日時点の結果を内部統制報告書にまとめる流れで、事業年度を通して進めます。
対応の手順
評価の計画を立て、評価範囲を決める：実施基準は、売上高などの大きい事業拠点から合算して連結の一定割合（例：概ね3分の2）に達するまでを重要な事業拠点とし、一般的な事業会社では売上・売掛金・棚卸資産の3勘定に至る業務プロセスを評価する例を示しています。2023年の改訂で、これらを機械的に当てはめないことが明確にされました。全社的な観点で評価する決算・財務報告プロセスは、原則としてすべての事業拠点が対象です。範囲を決める責任は経営者にあり、監査人とは計画の段階や状況が変わったときに協議します。
全社的な内部統制を評価する：実施基準は評価項目の例を42項目示しています。自社に合わせて項目を決め、規程や議事録などの根拠を確かめます。
業務プロセスを文書化する：3点セットなどで業務の流れとリスクを整理し、キーコントロールを特定します。
整備状況を評価する：ウォークスルーで、統制が設計どおりに業務に組み込まれているかを確かめます。
運用状況を評価する：サンプルを選び、統制が一定の期間、設計どおりに行われているかを確かめます。
不備を集計・評価し、是正する：見つかった不備の影響を評価し、是正したあとに改めて評価します。
期末日時点で評価する：期中に評価した統制は、期末日までの変更について追加の手続を行います（実務では「ロールフォワード」と呼ばれます）。期末の決算・財務報告プロセスもここで評価します。
内部統制報告書を提出する：評価結果を報告書にまとめ、監査人の監査を受けて、有価証券報告書と併せて提出します。
3月決算の会社の年間スケジュール（例）
時期 | 主な作業 |
4〜6月 | 前年度の振り返り、評価計画と評価範囲の決定、監査法人との協議 |
6〜9月 | 3点セットの更新、全社的な内部統制と業務プロセスの整備状況の評価 |
10〜翌1月 | 運用状況の評価（期中） |
翌1〜3月 | 不備の是正と、是正後の評価 |
翌4〜5月 | 期末日時点の評価（期末までの変更の確認、期末の決算・財務報告プロセス） |
翌6月 | 内部統制報告書を有価証券報告書と併せて提出 |
初めて対応する場合は、評価の対象となる事業年度が始まるまでに、評価範囲の検討と文書化を済ませておくと、期中の評価に余裕が生まれます。
3点セット（業務記述書・フローチャート・RCM）の作り方
3点セットとは、業務プロセスの統制を整理する「業務記述書」「フローチャート」「RCM（リスク・コントロール・マトリクス）」の3つの文書です。業務の流れ、そこにあるリスク、リスクを防ぐ統制をこの3つで対応づけ、評価の土台にします。「3点セット」は実務上の呼び名で、実施基準はこの3つを参考例として示しているだけです。作成の義務はありませんが、評価の手続と結果の記録・保存は義務です。
文書 | 何を書くか | 作るときのポイント |
業務記述書 | 業務の流れを文章で書く（誰が、いつ、何を使って、何をするか） | 部署名や役職、使うシステムと帳票を具体的に書く |
フローチャート | 業務の流れと、統制がどこにあるかを図にする | 部署ごとのレーンに分け、統制の箇所に番号を振ってRCMと対応させる |
RCM | リスク、それを防ぐ統制、統制の種類と頻度、評価の方法を一覧にする | キーコントロールを明示し、どの勘定科目と、適切な財務情報を作成するための要件に対応するかを書く |
RCMに設ける主な列
リスクの内容と、関係する勘定科目
適切な財務情報を作成するための要件（実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性）
統制の内容と実施者
統制の種類（予防的か発見的か、手作業か自動か）と実施頻度
キーコントロールかどうかと、評価の手続
作るときの注意
理想ではなく、今の業務をそのまま書く。 実態と合わない文書は、整備状況の評価で手戻りになります。
統制の番号を3つの文書でそろえる。 番号で突き合わせられると、評価も更新も楽になります。
様式と粒度を、作り始める前に監査法人とすり合わせる。 後から書き直す工数を防げます。
更新のルールを決める。 組織変更やシステムの入れ替えのたびに、だれが文書を直すかを決めておきます。
2024年4月からの改訂ポイント
企業会計審議会は2023年4月7日、基準と実施基準を改訂しました。制度の導入から15年余りがたってからの見直しです。2024年4月1日以後に始まる事業年度から適用されており、3月決算の会社では2025年3月期から対象です。背景には、評価範囲の外で開示すべき重要な不備が見つかる例など、制度の実効性への懸念がありました（金融庁の公表ページ、意見書）。
項目 | 主な改訂内容 | 実務で確かめること |
内部統制の目的 | 「財務報告の信頼性」を「報告の信頼性」に改め、非財務情報も含めた。J-SOXの目的は引き続き財務報告の信頼性 | 社内規程や方針書の用語 |
不正リスク | リスクの評価で不正リスクを考慮する重要性と、考慮すべき事項を示した | 不正リスクの評価が、評価範囲や統制の選び方に反映されているか |
ITへの対応 | ITの委託業務に係る統制の重要性と、サイバーリスクを踏まえたセキュリティの確保を記載した | クラウドなど委託先の統制の確かめ方 |
経営者による内部統制の無視・無効化 | 防ぐための統制の例を示し、経営者以外の業務の責任者も起こしうるとした | 取締役会・監査役等による監視、内部通報の仕組み |
関係者の役割 | 監査役等に内部監査人・監査人との連携を、内部監査人に取締役会・監査役等への報告経路の確保などを求めた。体制の例として3線モデルを示した | 内部監査から取締役会・監査役等への報告の仕組み |
評価範囲の決定 | 「売上高等の概ね3分の2」や「3勘定」を機械的に当てはめない。範囲外で開示すべき重要な不備が見つかった場合は、その時点を含む期の評価範囲に含める | 数値だけでなくリスクも考えて範囲を決め、判断の理由を記録しているか |
ITを利用した統制の評価頻度 | 一定の頻度で評価する場合、IT環境の変化を踏まえて慎重に判断し、特定の年数を機械的に当てはめない | 前年度の評価結果を使っている統制の見直し |
内部統制報告書の記載 | 評価範囲の決め方の判断理由（重要な事業拠点の選定に使った指標と割合、個別に追加した拠点やプロセスなど）を書く。前年度に開示すべき重要な不備を報告した場合は、その是正状況を付記する | 報告書のひな形の更新 |
監査人には、財務諸表監査で得た証拠を評価範囲の検討に生かすことや、独立性を保ったうえで経営者と協議することが求められました。なお、ダイレクト・レポーティングの採用や罰則の見直し、会社法との調整などは、中長期の検討課題とされています。
開示すべき重要な不備と罰則
開示すべき重要な不備とは、財務報告に重要な影響を及ぼす可能性が高い内部統制の不備です。期末日に残っていれば、内部統制報告書で「有効でない」と表明し、その内容を開示します。不備を正直に開示すること自体は罰則の対象ではなく、罰されるのは報告書の不提出と虚偽の記載です。
「不備」と「開示すべき重要な不備」の判断
不備：統制がない、または設計や運用が不十分で、虚偽記載を防げない（見つけられない）状態です。
金額面の判断：実施基準は目安の例として「連結税引前利益の概ね5%程度」を示しています。ただし、最終的には財務諸表監査の重要性との関係で判断し、利益が小さい年は指標や比率を見直すこともあります。
質的な判断：上場廃止基準や財務制限条項に関わる項目、関連当事者との取引などへの影響も、あわせて判断します。
開示の状況
東京商工リサーチの集計では、開示すべき重要な不備を開示した上場企業などは、2023年度が57社、2024年度が58社（2012年度以降で最多）、2025年度が41社でした。2025年度の42件のうち、決算・財務報告プロセスの不備が21件（50.0%）、全社的な内部統制の不備が19件（45.2%）で、開示した41社のうち15社が、関連部門の人材不足や担当者の知識不足を原因に挙げています（東京商工リサーチ、2026年5月14日）。年度は開示の時期（4月〜翌3月）で区切った民間の集計です。
2023年度の社数は、同社の2025年5月27日の集計によります。
罰則
違反 | 個人（行為者） | 法人 |
内部統制報告書を提出しない | 5年以下の拘禁刑もしくは500万円以下の罰金、またはその両方（第197条の2第1項第5号） | 5億円以下の罰金（第207条第1項第2号） |
重要な事項に虚偽の記載がある内部統制報告書を提出する | 5年以下の拘禁刑もしくは500万円以下の罰金、またはその両方（第197条の2第1項第6号） | 5億円以下の罰金（第207条第1項第2号） |
2025年6月1日に改正刑法が施行され、「懲役」は「拘禁刑」に改められています（e-Gov法令検索：金融商品取引法）。
つまずきやすい点と外部支援の使い方
J-SOX対応でつまずくのは、制度の理解よりも「文書と実態のずれ」「証跡の不足」「IT統制」「監査法人とのすり合わせ」です。人手や知見が足りない部分は、外部の専門家に任せる範囲を決めて補うのが現実的です。
よくあるつまずき
つまずき | 起きること | 防ぎ方 |
3点セットが実態と合っていない | 整備状況の評価で手戻りが生じる | 業務やシステムが変わったら文書を更新する担当と時期を決める |
承認やチェックの証跡が残っていない | 運用状況の評価で有効と判断できない | 承認の記録（日付・承認者）の残し方を統制ごとに決める |
IT全般統制が弱い | アクセス権や変更管理の不備が、システムに組み込んだ統制の評価にも及ぶ | 特権IDの管理、変更の承認、クラウドなど委託先の評価を早めに固める |
決算・財務報告プロセスが属人的 | 担当者の不在や異動で統制が止まる | レビューの手順と記録を標準化する |
監査法人とのすり合わせが遅い | 期末近くに評価範囲や手続の追加を求められる | 年度の初めに、評価範囲、キーコントロール、評価の時期を共有する |
不備の是正が期末に集中する | 是正が間に合わず、期末日時点で有効と言えない | 期中に評価して不備を早く見つけ、是正後に改めて評価する |
外部の専門家に任せられること
評価範囲の検討と3点セットの作成（初年度の立ち上げや、拠点・業務の追加時）
経営者評価の作業（作業の一部を任せるアウトソースと、社内の担当者と一緒に進めるコソースがある）
IT全般統制とIT業務処理統制の改善と評価
監査法人の指摘への対応と、監査法人とのやり取り
作業を外部に任せても、内部統制報告書で評価結果を表明するのは経営者です。実施基準も、評価作業の一部を社外の専門家に任せられるとしたうえで、評価結果の最終的な責任は経営者にあると定めています。評価の考え方や判断の根拠を社内に残したい場合は、コソースが向いています。
株式会社ハイファイの支援事例には、IPO後の猶予期間中に監査法人からの指摘への対応が急務になったスタートアップの例があります。会計士を含むチームで業務プロセスとIT統制の課題に取り組み、他社の事例を参考に解決策を作って導入したほか、監査法人とのコミュニケーションも支援しました（事例を見る）。
よくある質問
J-SOXの読み方と正式名称は？
「ジェイソックス」と読みます。正式な名称は「内部統制報告制度」で、金融商品取引法にもとづく内部統制報告書の提出と監査の仕組みを指します。「J-SOX法」という名前の法律があるわけではありません。
非上場企業や子会社も対象ですか？
J-SOXの義務があるのは上場企業です。ただし、上場企業の子会社は、非上場でも親会社の連結ベースの評価範囲に入ることがあります。上場を目指す会社も、上場直後から内部統制報告書の提出が必要になるため、上場前から準備を進めます。
J-SOX対応にはどのくらいの期間がかかりますか？
評価そのものは、計画から期末日時点の評価まで、事業年度を通して行います。初めて対応する場合は、その前に評価範囲の検討と文書化の期間が必要で、どれだけかかるかは拠点や業務プロセスの数、既存の文書の状態で大きく変わります。
J-SOX対応の費用はどのくらいですか？
評価範囲（拠点や業務プロセスの数）、初年度か2年目以降か、外部に任せる作業の範囲で大きく変わります。公的な統計で示された相場はないため、見積もりを取るときは、評価範囲と任せたい作業を整理してから依頼するのが確実です。
3点セットは必ず作らなければなりませんか？
作成の義務はありません。実施基準は、業務の流れ図、業務記述書、リスクと統制の対応を参考例として示し、社内にある資料を使って足りない部分を補えばよいとしています。ただし、評価の手続と結果、見つかった不備と是正措置は、記録して保存する義務があります。
評価は外部の専門家に任せられますか？
評価作業の一部を任せることはできますが、評価結果の最終的な責任は経営者にあります。実施基準は、専門家に頼むときに評価の手続、対象期間、範囲、サンプル件数などの要件を明確にし、進み具合と結果を確かめるよう求めています。
「J-SOXは意味がない」と言われるのはなぜですか？
文書化と評価の作業そのものが目的になり、手間に見合う効果がないと感じる声があるためです。2023年の意見書も、評価範囲の外で開示すべき重要な不備が見つかる例など、制度の実効性への懸念を改訂の背景に挙げています。評価範囲と統制をリスクに沿って絞り込み、評価で見つかった課題を業務の改善や内部監査の計画に生かせば、決算の誤りや不正を早く見つける仕組みとして役立ちます。
まとめ
J-SOXは、上場企業の経営者が財務報告に係る内部統制を評価して内部統制報告書を提出し、監査人がその評価を監査する制度です。
評価は全社的な内部統制から業務プロセスへと上から順に進め、整備状況と運用状況の両方を確かめます。
新規上場企業は上場から3年は監査の免除を選べますが、内部統制報告書は上場直後から必要です。
2024年4月以後に始まる事業年度からは改訂基準が適用され、評価範囲の決め方、不正リスク、ITの委託業務への対応がより厳しく問われます。
内部統制報告書の不提出や虚偽記載には、5年以下の拘禁刑などの罰則があります。
評価の実務を担うのは、多くの場合、内部監査部門です。人手や知見が足りないときは、外部の専門家を上手に使いながら、評価の考え方を社内に残すのが、形だけのJ-SOXにしない近道です。
