内部統制のキーコントロールとは｜選定の手順やポイントを解説

内部統制のキーコントロール（統制上の要点）とは、識別したリスクに対応するコントロールのうち、財務報告の信頼性に重要な影響を及ぼすものをいいます。内部統制の評価は、このキーコントロールを対象に実施します。

本記事では、内部統制報告制度におけるキーコントロールの重要性と、選定プロセスについて解説します。キーコントロールを適切に選定できるかどうかが、業務プロセスに係る内部統制の評価の質を左右します。本記事を通じて、キーコントロールの実践的な選定手順と、選定において考慮すべき重要なポイントを紹介します。

内部統制のキーコントロール（統制上の要点）とは

上場会社等は財務報告の信頼性を確保するために、リスクを識別し、識別したリスクに対応する内部統制を整備・運用しなければなりません。その内部統制の中でも、財務報告の信頼性に重要な影響を及ぼすもの、すなわち虚偽記載が発生するリスクを低減するために中心的な役割を果たすものを一般的にキーコントロールと呼びます。財務報告に係る内部統制の評価及び監査の基準では「統制上の要点」と呼ばれます。

内部統制のキーコントロールの事例

以下は、実務におけるキーコントロールの事例です。

業務プロセス	キーコントロールの内容
出荷・売上	出荷指示書と実際の出荷商品を照合する 出荷指示書と売上計上内容（得意先、アイテム、数量）を照合する
売掛金管理	銀行の入金記録と売上管理システムの入金データを照合する
経費計上	申請された経費と実際に使われた経費が同じであるかをチェックし、承認する

内部統制のキーコントロールを選定する方法

内部統制を評価する上で、キーコントロールの選定は不可欠です。適切なキーコントロールを選定するプロセスは、主に以下の3段階に分けられます。

1.リスクの識別

キーコントロールを選定する際は、まず評価対象となる業務プロセスについて、取引の開始・承認・記録・処理・報告の流れを把握します。そのうえで、そのプロセスで不正または誤謬により虚偽記載が発生するリスクを識別します。

リスクを識別するときは、そのリスクが顕在化した場合に、実在性・網羅性・権利と義務の帰属・評価の妥当性・期間配分の適切性・表示の妥当性という「適切な財務情報を作成するための要件（アサーション）」のどれに影響するかを理解しておくことが重要です。

例えば、販売プロセスであれば、出荷数を誤って計上するリスク（実在性・網羅性）、単価の入力を誤るリスクやデータが正しく計算されないリスク（正確性）、売上データが漏れなく集計されないリスク（網羅性）などが考えられます。

内部統制のリスクの考え方については、次の記事を参考にしてください。
▶ 内部統制におけるリスクとは？リスクの評価と対応の重要性と手順

2.コントロールを特定する

リスクを識別した後、対応するコントロールを特定します。その際は、実在性・網羅性などのアサーションを確保するには、どのような内部統制が必要かという観点から検討します。

コントロールは、業務プロセスの中で不正や誤りを防止、発見、是正するものです。リスクに対応しているかを判断するには、業務プロセスと内部統制の理解はもちろん、会計処理や会計基準の知識が必要になるケースもあります。また、コントロールを特定した結果、一部のリスクに対して、コントロールが未設置の場合があり、その場合は既存のコントロールの変更や、新たなコントロールの整備を検討します。

3.キーコントロールを選定する

最後に、識別したコントロールのうち、財務報告の信頼性に重要な影響を及ぼすもの、すなわちリスクを低減するうえで中心的な役割を果たすものをキーコントロールとして選定します。

リスクに対応する全てのコントロールがキーコントロールとなるわけではなく、財務報告の信頼性に重要な影響を及ぼすかどうかで判断します。また、複数の内部統制が連係してリスクを低減している場合は、その組み合わせの観点からも判断します。具体的にどのような観点で選ぶかは、次章の「選定時の留意点」で解説します。

キーコントロールが評価対象となるため、自社で内部統制を評価する上でも、監査人が内部統制監査を実施する上でも、適切なものに絞って選定することが重要です。また、企業と監査人でキーコントロールが一致しているかどうかを確認することも重要です。監査人が想定するキーコントロールを企業がキーコントロールとして選定していない場合、監査人は企業にキーコントロールの追加を求めることになると考えられます。

内部統制のキーコントロール選定時の留意点

キーコントロールを選定する際には、実務上いくつかの留意点があります。これらのポイントを考慮することで、企業は内部統制の評価を効果的かつ効率的に実施できるでしょう。

1つのリスクに対して1つ以上のキーコントロールを選定する

識別されたリスクに対して、少なくとも1つ以上のキーコントロールを選定することが一般的です。識別されたリスクに複数のコントロールが対応しているケースで、財務報告の信頼性を確保する上でコントロールは1つで充分である場合は、その1つをキーコントロールとして選定します。

なお、業務プロセス全体としてリスクとコントロールの対応関係を分析した結果、特定のリスクにはキーコントロールが選定されないことも考えられます。コントロールが財務報告の信頼性に重要な影響を及ぼすかどうかで判断してください。

リスク低減効果の高いコントロールを選定する

リスクに対して直接的かつ効果的に対応できるコントロールがキーコントロールとして選定されます。例えば、金額を誤るリスクに対して、取引の包括的なレビュー作業よりも、1つ1つの取引と原証憑を照合する作業の方が直接的にリスクを低減するため、キーコントロールとして選定されることが一般的です。

キーコントロールとなりやすいコントロールとは

内部統制報告制度において、キーコントロールは企業の財務報告の信頼性に重要な影響を及ぼすものです。以下に、キーコントロールとして選定されやすい具体的なポイントを解説します。

IT業務処理統制

IT業務処理統制とは、業務プロセスに組み込まれたシステムによるコントロールです。

例えば、データ入力時のエラーチェックや操作権限の限定、出荷台数とマスタの単価による自動計算、マスタに登録のない得意先や商品は入力できない設定などがあります。

手作業のコントロールは、見落としが起きたり、担当者によって確認の質にばらつきが出たりしますが、システムによるコントロールは、一度適切に設定すれば、変更やエラーがない限り同じように機能し続けます。そのため、IT業務処理統制は手作業のコントロールに比べキーコントロールに選ばれやすいと言えます。

上席者によるコントロール

上席者によるコントロールは、業務の担当者より上位の役職者が行うチェックや承認のコントロールです。

例えば、担当者が入力した受注データを営業部門の責任者が注文書と照合するコントロールや、重要な財務取引に対する財務責任者の事前承認などがあります。

業務担当者による自己チェックや、別の担当者によるチェックに比べ、上席者によるコントロールはキーコントロールに選ばれやすいと言えます。

キーコントロールの絞り込みは評価業務の効率化につながる

内部統制報告制度におけるキーコントロールの絞り込みは、評価業務の効率化に大きく寄与します。特に頻度の多いコントロールの場合、運用状況の評価に必要なサンプル件数も多くなるため、評価される事業部側の工数、評価する担当者の工数がともに大きくなります。

運用状況の評価で必要となるサンプル件数については、次の記事を参考にしてください。
▶ 内部統制評価で必要なサンプル数はどれくらい？一覧表を使って解説！

キーコントロールの絞り込みによって、内部統制評価に係るリソースを集中させることが可能になり、より効果的かつ効率的な評価を実施できるようになるでしょう。

ただし、絞り込みすぎにも注意が必要です。選定したキーコントロールでリスクを十分に低減しているかを検討するとともに、監査人にも適切なタイミングで相談しましょう。

キーコントロールを絞り込むときの4つの判断軸

キーコントロールを絞り込む際は、次の4つの観点で判断します。

判断軸	内容	本記事の該当箇所
① リスクごとに1つ以上	識別したリスクに対して、少なくとも1つ以上のキーコントロールを選定する。ただし分析の結果、キーコントロールが選定されないリスクもあり得る	「選定時の留意点」1つめ
② 財務報告の信頼性への影響	リスクに直接的かつ効果的に対応し、リスク低減効果が高いコントロールを選ぶ（包括的なレビューよりも、原証憑との照合など）	「選定時の留意点」2つめ
③ 複数統制の組み合わせ	複数の内部統制が連係してリスクを低減している場合は、その組み合わせの観点からも判断する	「3.キーコントロールを選定する」
④ 選ばれやすい類型	IT業務処理統制／上席者によるコントロール	「キーコントロールとなりやすいコントロールとは」

1つの業務プロセス・1つのリスクで何件に絞るか

キーコントロールの件数について、一律の基準は定められていません。業務プロセスの切り方も、リスクの識別の仕方（1つのリスクに複数のアサーションを含めるか、アサーションごとに分けるか）も企業によって異なるため、件数の目安を一律に示すことは難しいのが実情です。自社の業務プロセスとリスクの整理に沿って、上記の判断軸で選定してください。

内部統制の3点セットの作り方については、次の記事を参考にしてください。
▶ 内部統制3点セットとは？作り方・サンプル・Excel作成のコツまで網羅的に解説【J-SOX】

内部統制の評価項目については、次の記事を参考にしてください。
▶ 全社的な内部統制に関する42の評価項目例とは？実施基準の具体的な内容を紹介

まとめ

内部統制のキーコントロールの選定は、効率的な内部統制評価を行う上で重要です。本記事では、キーコントロールの選定における具体的な手順と重要なポイントを掘り下げて解説しました。

まず、企業が直面するリスクを識別し、それに対応する適切なコントロールを特定することが、選定プロセスの第一歩です。次に、特定されたコントロールの中から、リスクに直接的に対応し、効果的に不正や誤りを防止または発見できるものをキーコントロールとして選定します。

適切なキーコントロールの選定は、評価作業の負担を軽減し、内部統制の評価全体の効率を向上させます。

キーコントロールに関するよくある質問

キーコントロールの選定から運用状況の評価までを一元管理する方法は、サービス資料でご確認いただけます。
▶ J-SOX対応の全体像がわかる｜smoove J-SOX概要資料

---

内部統制業務DX SaaS「smoove J-SOX」について

「smoove J-SOX」は、内部統制業務の効率化と品質向上を実現するクラウドサービスです。優れた操作性でJ-SOX3点セットの作業時間を50%以上削減（※）でき、内部統制担当者は本来注力すべきJ-SOXの本質的な業務に注力することが可能です。

さらに、全社的な内部統制、整備・運用、ロールフォワード評価まで年間を通じた内部統制業務を一元管理でき、継続的な効率化を実現します。

※当社公認会計士による3点セット作成時間をExcelとsmoove J-SOXで比較計測した結果