内部統制とは？目的・6つの基本的要素と具体例を専門家が解説【2026年版】
更新日：4 時間前
「内部統制という言葉はよく聞くが、具体的に何を指すのかわからない」「上場準備で内部統制を整えるよう言われた」。そんな方に向けて、内部統制の基本を1本にまとめました。
結論から言うと、内部統制とは、会社が目標を達成するために業務の中に組み込む「ルールと仕組み」の全体です。承認の手続や担当者の分担、システムのアクセス制限などが、日々の業務の中で不正やミスを防ぎ、正しい情報を経営に届けます。
この記事では、2024年4月以後に始まる事業年度から適用されている改訂基準も踏まえ、次の内容を解説します。
内部統制の定義と4つの目的
6つの基本的要素と具体例
会社法と金融商品取引法（J-SOX）の内部統制の違い
内部統制と内部監査の違い
内部統制を構築・見直す進め方
内部統制とは？「目標達成のために業務に組み込まれた仕組み」
日本の内部統制の考え方は、金融庁の企業会計審議会が定めた「財務報告に係る内部統制の評価及び監査の基準」（以下、内部統制基準）が土台です。
内部統制基準によると、内部統制とは、4つの目的が達成されていることを合理的に保証するために、業務に組み込まれ、組織内のすべての人によって遂行されるプロセスです。そして6つの基本的要素から構成されます（出典：EY新日本有限責任監査法人「内部統制報告制度の改訂」）。
この定義のポイントは次の3つです。
業務に組み込まれている 特別な作業ではなく、日々の業務のやり方そのもの
全員が担う 経営者から現場の社員まで、組織内のすべての人が関わる
合理的な保証にとどまる どれだけ整えても絶対ではなく、限界がある（後述）
国際的な枠組み「COSO」との関係
日本の内部統制基準は、米国のCOSO（トレッドウェイ委員会支援組織委員会）がまとめた内部統制の枠組みをもとにしています。COSOは2013年に枠組みを改訂し、5つの構成要素と17の原則で内部統制を整理しました。
日本の基準は、COSOの考え方に「資産の保全」という目的と「ITへの対応」という要素を加えている点が特徴です。また、2023年の改訂は、このCOSOの2013年改訂を取り入れることも狙いの1つでした。
内部統制の4つの目的
内部統制基準は、内部統制の目的として次の4つを挙げています。4つは独立したものではなく、互いに重なり合っています。
目的 | 意味 | 具体例 |
業務の有効性及び効率性 | 事業活動の目的を達成するため、業務を有効かつ効率的に進める | 受注から請求までの流れを標準化し、手戻りを減らす |
報告の信頼性 | 組織の内外への報告（非財務情報を含む）の信頼性を確保する | 決算書の数字やサステナビリティ情報を正確に作る |
事業活動に関わる法令等の遵守 | 法令や社内規程などを守って事業を行う | 取適法（旧・下請法）の支払期日を守る仕組みをつくる |
資産の保全 | 資産の取得・使用・処分を正当な手続と承認のもとで行う | 在庫や現金を定期的に実査し、無断の持ち出しを防ぐ |
2023年の改訂で、二つ目の目的は「財務報告の信頼性」から、非財務情報も含む「報告の信頼性」に広がりました。ただし、金融商品取引法の内部統制報告制度（J-SOX）が対象とするのは、引き続き財務報告の信頼性です（出典：PwC Japan）。
内部統制の6つの基本的要素
4つの目的を達成するための構成要素が、次の6つです。中でも「統制環境」は、ほかの5つすべての土台になります。
屋根が4つの目的、柱が5つの要素、土台が統制環境です。土台が崩れれば、どの柱も目的を支えられません。
基本的要素 | 意味 | 具体例 |
統制環境 | 組織の気風を決め、ほかの要素の土台となるもの | 経営者の誠実性と倫理観、経営方針、取締役会・監査役等の機能、組織構造、権限と職責 |
リスクの評価と対応 | 目標達成を妨げるリスクを識別・分析し、対応を選ぶ | 新規取引先の与信リスクや不正リスクを洗い出し、回避・低減などの対応を決める |
統制活動 | 経営者の指示が適切に実行されるための方針と手続 | 承認、職務分掌、照合、アクセス制限、実物の管理 |
情報と伝達 | 必要な情報を正しく把握し、組織の内外に正しく伝える | 会議体での報告ルール、内部通報制度、取引先への開示 |
モニタリング（監視活動） | 内部統制が機能しているかを継続的に評価する | 上長による日常的な点検、内部監査による独立した評価 |
IT（情報技術）への対応 | 業務に使うITに対して適切に対応する | アクセス権の管理、システム変更の承認、委託先の管理、サイバー対策 |
統制環境が土台と言われるのは、経営トップの姿勢がすべての仕組みを左右するからです。トップが「数字のためなら手段は問わない」という姿勢であれば、どれだけ精緻な手続を作っても機能しません。
COSOの5つの構成要素との対応
日本の基準（6要素） | COSO（5要素） |
統制環境 | 統制環境 |
リスクの評価と対応 | リスク評価 |
統制活動 | 統制活動 |
情報と伝達 | 情報と伝達 |
モニタリング（監視活動） | モニタリング活動 |
IT（情報技術）への対応 | 独立した要素はなく、各要素の中で扱う |
内部統制の具体例
統制活動は、大きく「予防的統制」と「発見的統制」に分けられます。両方を組み合わせることで、不正やミスを防ぎ、起きても早く気づける仕組みになります。
予防的統制 問題が起きる前に防ぐ仕組み（承認、職務分掌、アクセス制限、入力チェックなど）
発見的統制 起きた問題を早く見つける仕組み（照合、残高確認、例外レポート、棚卸など）
よく使われる統制の例
統制 | 具体例 | 防ぐリスク |
承認 | 一定額以上の発注は部長の承認を必須にする | 不要・不正な支出 |
職務分掌 | 発注・検収・支払を別の担当者が行う | 横領、架空取引 |
照合・突合 | 請求書を発注書・検収書と照らし合わせる | 二重払い、過大請求 |
アクセス制限 | 会計システムの権限を職務に応じて付与する | データの改ざん、不正操作 |
実物の管理 | 現金や在庫を定期的に実査する | 紛失、横領 |
記録と証跡 | 承認の履歴をワークフローで残す | 事後に検証できない状態 |
J-SOXで使われる統制の分類
上場会社の内部統制報告制度（J-SOX）では、統制を次のように分けて評価します。
分類 | 内容 | 例 |
全社的な内部統制 | 会社全体に影響する統制 | 経営方針、倫理規程、取締役会の運営 |
決算・財務報告プロセス | 決算や財務諸表の作成に関わる統制 | 決算整理仕訳の承認、開示資料のチェック |
業務プロセスに係る内部統制 | 売上・仕入・在庫など個々の業務に組み込まれた統制 | 受注時の与信チェック、検収と請求の照合 |
IT全般統制 | システムを安全に運用・管理するための統制 | アクセス権の管理、プログラム変更の承認 |
IT業務処理統制 | システムに組み込まれた自動の統制 | 入力値のチェック、自動計算 |
会社法と金融商品取引法（J-SOX）の内部統制の違い
内部統制を求める法律は、主に会社法と金融商品取引法の2つです。対象となる会社と目的が異なるため、自社にどちらが関係するかを最初に押さえておきましょう。
比較項目 | 会社法の内部統制 | 金融商品取引法の内部統制（J-SOX） |
主な根拠 | 会社法362条4項6号・5項、会社法施行規則100条など | 金融商品取引法24条の4の4、193条の2第2項 |
対象となる会社 | 大会社、監査等委員会設置会社、指名委員会等設置会社 | 上場会社など、法令で定める有価証券報告書の提出会社 |
目的 | 業務全般の適正を確保する | 財務報告の信頼性を確保する |
求められること | 取締役会などで内部統制システムの基本方針を決め、事業報告で決定内容と運用状況の概要を開示する | 経営者が内部統制を評価して内部統制報告書を提出し、公認会計士・監査法人の監査を受ける |
会社法の内部統制は「業務の適正」という広い目的を持ち、金融商品取引法の内部統制は財務報告に焦点を当てています。上場会社は両方に対応する必要があります（出典：総務省資料）。
内部統制と内部監査の違い
内部統制は業務に組み込まれた「仕組み」で、内部監査はその仕組みが機能しているかを独立した立場で確かめる「点検」です。車にたとえると、内部統制はブレーキやハンドル、内部監査は定期点検にあたります。
比較項目 | 内部統制 | 内部監査 |
ひと言でいうと | 業務を正しく効率的に進めるための仕組み | 仕組みが機能しているかを評価し、改善を促す活動 |
担い手 | 経営者を責任者とし、現場を含む全員 | 業務から独立した内部監査部門 |
3線モデルでの位置 | 第1ライン（事業部門）と第2ライン（管理部門） | 第3ライン |
主な成果物 | 規程、業務手順、承認記録、システムの設定 | 監査計画、監査報告書、改善提案 |
内部監査は、6つの基本的要素のうち「モニタリング（監視活動）」の中で、業務から独立した評価を担う存在でもあります。
内部統制の限界と、機能しないときに起きること
内部統制は、目的の達成を「合理的に」保証するものであり、絶対ではありません。内部統制基準は、主な限界として次の点を挙げています。
判断の誤り、不注意、複数の担当者による共謀によって機能しなくなる場合がある
想定していなかった組織内外の環境の変化や、定型外の取引には対応しきれない場合がある
整備・運用にかかる費用と、得られる効果を比べて判断する必要がある
経営者が不当な目的のために内部統制を無視したり、無効にしたりする場合がある
経営者による「無効化」への備え
2023年の改訂では、経営者による内部統制の無視・無効化に、取締役会や監査役等が留意すべきことが明記されました。あわせて、適切な職務分掌、取締役会による監督、監査役等による監査、内部監査人が取締役会・監査役等に直接報告する体制などが、対策として示されています（出典：PwC Japan）。
内部統制が機能しないと何が起きるか
内部統制の不備は、不正会計や横領、情報漏えい、法令違反といった形で表面化します。上場会社では、財務報告に重要な影響を及ぼす不備は「開示すべき重要な不備」として内部統制報告書で開示され、市場や取引先からの信頼に直結します。
内部統制の構築・見直しの進め方（6ステップ）
内部統制は、一度作って終わりではありません。次の6ステップで整え、改善のサイクルを回し続けることが大切です。
目的と範囲を決める
何のための内部統制か（業務改善、上場準備、J-SOX対応など）を明確にし、対象とする拠点や業務を決めます。
業務の流れを見える化する
業務フロー図や業務記述書で、誰が・いつ・何をしているかを整理します。
リスクを洗い出し、評価する
業務ごとに「何が起きると困るか」を洗い出し、影響と起こりやすさで優先順位をつけます。
リスクと統制の対応は、リスク・コントロール・マトリクス（RCM）にまとめると管理しやすくなります。
統制を設計する
優先度の高いリスクに対して、予防的統制と発見的統制、手作業とシステムによる統制を組み合わせます。
運用し、記録を残す
規程やマニュアルを整え、担当者に周知・教育します。
承認や照合の証跡を残すことが、後の評価の前提になります。
評価して改善する
自己点検や内部監査で運用状況を確かめ、不備があれば原因を分析して直します。
上場会社のJ-SOX対応では、業務記述書・フローチャート・RCMの3つを「3点セット」と呼び、文書化の基本とします。
2023年改訂（2024年4月以後開始の事業年度から適用）のポイント
内部統制基準は2023年4月に改訂され、2024年4月1日以後に開始する事業年度から適用されています。背景には、COSOの2013年改訂が反映されていなかったことや、評価範囲の外で重大な不備が見つかる事例が続いたことがあります。
項目 | 主な改訂内容 |
報告の信頼性 | 目的の一つを「財務報告の信頼性」から、非財務情報を含む「報告の信頼性」に拡大（J-SOXの対象は引き続き財務報告） |
リスクの評価と対応 | 評価するリスクに、不正に関するリスクが含まれることを明記 |
情報と伝達 | 情報の信頼性の確保に、システムが有効に機能することの重要性を追記 |
ITへの対応 | ITの委託業務に係る統制や、サイバーリスクを踏まえたセキュリティ確保の重要性を追記 |
経営者による無効化 | 取締役会・監査役等が留意すべきことと、対策の例を明記 |
関係者の役割 | 内部監査人が取締役会・監査役等への報告経路を確保することの重要性を記載 |
ガバナンスとの関係 | 内部統制・ガバナンス・全組織的なリスク管理を一体で整備する重要性を示し、3線モデルなどを例示 |
評価範囲の決定 | 「売上高等のおおむね3分の2」などの数値基準を機械的に当てはめず、リスクアプローチを徹底 |
中小企業・IPO準備企業の内部統制
中小企業：小さく始めて、少しずつ広げる
会社法上の大会社などに当たらない中小企業には、内部統制システムを決める法的な義務はありません。それでも、不正やミスの防止、金融機関や取引先からの信頼確保のために、最低限の仕組みは欠かせません。
人数が少なく職務分掌が難しい場合は、次のような代替策が有効です。
支払や入金の記録を、社長や上長が定期的に確認する
会計システムやワークフローの承認機能を使い、記録を自動で残す
通帳・現金・印鑑の管理を別の担当者に分ける
重要な取引だけでも二人以上で確認する
紙やExcelでも構いません。リスクの高い業務からスモールスタートで整え、少しずつ範囲を広げていくのが現実的です。
IPO準備企業：上場後を見据えて早めに整える
上場審査では、内部統制を含む内部管理体制が整備・運用されているかが確認されます。上場後は最初に到来する事業年度末から内部統制報告書の提出が必要になるため、準備段階から3点セットの作成や評価の仕組みづくりを進めておく必要があります。
よくある質問（FAQ）
Q1. 内部統制とは、簡単にいうと何ですか？
会社が目標を達成するために、業務の中に組み込む「ルールと仕組み」の全体です。承認の手続や担当の分担、システムの権限設定などが代表例です。
Q2. 内部統制の4つの目的と6つの基本的要素は何ですか？
4つの目的は「業務の有効性及び効率性」「報告の信頼性」「事業活動に関わる法令等の遵守」「資産の保全」です。6つの基本的要素は「統制環境」「リスクの評価と対応」「統制活動」「情報と伝達」「モニタリング（監視活動）」「IT（情報技術）への対応」です。
Q3. 内部統制とコンプライアンスの違いは何ですか？
コンプライアンス（法令等の遵守）は、内部統制の4つの目的の一つです。内部統制は、コンプライアンスを含む4つの目的をまとめて達成するための仕組みです。
Q4. 内部統制と内部監査の違いは何ですか？
内部統制は業務に組み込まれた仕組みで、経営者を責任者として全員が担います。内部監査は、その仕組みが機能しているかを独立した立場で評価する活動です。
Q5. 中小企業にも内部統制は必要ですか？
大会社などに当たらなければ法的な義務はありませんが、不正やミスの防止、取引先や金融機関からの信頼確保に役立ちます。リスクの高い業務から小さく始めるのがおすすめです。
Q6. J-SOX（内部統制報告制度）の対象になるのはどんな会社ですか？
主に上場会社です。経営者が財務報告に係る内部統制を評価して内部統制報告書を提出し、公認会計士・監査法人の監査を受けます。
まとめ：内部統制は「会社が目標を達成するための仕組み」
内部統制とは、4つの目的を達成するために業務に組み込まれ、全員で運用するプロセス
6つの基本的要素のうち、統制環境（経営トップの姿勢）がすべての土台
統制は予防的統制と発見的統制を組み合わせ、記録を残すことで機能する
会社法は業務全般の適正、金融商品取引法（J-SOX）は財務報告の信頼性が目的
2024年度からの改訂で、不正リスク、ITへの対応、経営者による無効化への備えが強調された
内部統制は「社員を縛るためのルール」ではなく、会社が安心してアクセルを踏むためのブレーキとハンドルです。自社の仕組みに不安がある場合は、外部の専門家と一緒に点検するのも一つの方法です。
