内部統制3点セットとは、内部統制報告制度（以下、J-SOX）で業務プロセスを評価する際に用いる「業務記述書」「フローチャート」「リスクコントロールマトリクス（RCM）」の3つの文書のことです。作成自体は義務ではありませんが、リスクと統制の対応関係を可視化できるため、ほとんどの上場企業・IPO準備企業が作成しています。

IPO準備などにおいて、ゼロから内部統制報告制度（J-SOX）対応を行う場合、時間がかかってしまうのは3点セットの作成です。また、J-SOX運用開始から変更管理や文書化のルール見直しをされていない事例が多くなっています。3点セットが実態と異なる場合は、内部統制の評価が正しく行えず、内部統制の不備として監査人から指摘を受けるリスクもあります。

そこで本記事では、3点セットの有用性や作成手順、3点セットをExcelで作成する方法、見直しする上での留意点について解説しています。

内部統制3点セットとは 

内部統制3点セットは、J-SOXにおいて業務プロセスを評価する際に使用されるもので、「業務記述書」、「フローチャート」、「リスクコントロールマトリクス」の3つのことを指します。

業務記述書は5W1Hに基づいて業務の流れを言語化し、フローチャートは業務記述書を図で表したものです。リスクコントロールマトリクスは、業務上想定されるリスクと対応するコントロールを一覧にまとめたものです。

J-SOXは、財務報告の信頼性を担保するために、経営者が自社の内部統制の有効性を評価した報告書を年に1度提出し、さらにその報告書に対して監査人の監査が必要であると定めた制度です。この制度は、一部を除く上場企業に義務付けられており、上場準備の段階で内部統制を適切に整備・運用する必要があります。

この内部統制3点セットは、業務プロセスの流れを把握するだけでなく、リスクと内部統制の対応関係を可視化することで、業務プロセスに係る内部統制の評価に資する重要なツールとなっています。

内部統制3点セットを作成する目的

冒頭で述べたとおり、業務プロセスを評価する上では、「業務記述書」、「フローチャート」、「リスクコントロールマトリクス」の3つを作成することが望ましいです。この内部統制3点セットの作成は義務ではありませんが、作成することで業務プロセスの評価がスムーズになります。

そこで本章では、「業務記述書」、「フローチャート」、「リスクコントロールマトリクス」についてそれぞれ解説します。

業務記述書

業務記述書は企業の各業務プロセスの業務内容や手順を示した文書です。作成する目的は、業務プロセスを理解するためです。業務記述書は取引開始から報告までの流れを記録し、だれが、いつ、どのシステムを用いて、どのような手続で、何をするのか、なぜするのか、などの情報を記載することが求められます。

業務記述書のより詳しい書き方やサンプルは、関連記事「内部統制の文書化はどうやるべき？」で解説しています。

フローチャート

フローチャートは業務のプロセスを図で表し、業務の流れや会計処理、関連するシステムやデータの流れを視覚的に明示します。作成する目的は、業務とデータの流れを全体的に把握するためです。

フローチャートにより業務とデータの流れを可視化することで、組織全体の業務プロセスの理解度が増し、内部統制上のリスクを識別しやすくなります。フローチャートは視覚的な業務プロセスの理解に役立ち、効果的な内部統制の評価をサポートします。

リスクコントロールマトリクス（RCM）

リスクコントロールマトリクスは、業務プロセスで生じる財務報告を誤るリスクとそのリスクへの対策である統制（コントロール）を一覧でまとめたものです。作成の目的は、リスクと統制の対応関係を明確にすることです。

リスクコントロールマトリクスでは、各業務において想定されるリスクを特定し、リスクに対応する統制の有無を調べます。その後、特定されたリスクに対して、統制が存在しない場合あるいはリスクへの対応が不十分な場合、統制を追加したり変更したりすることを検討します。この一連の流れにより、会社はさまざまなリスクに対して、どのようにリスクを抑えられているかを評価できます。

内部統制におけるリスクの考え方については、次の記事を参考にしてください。
内部統制におけるリスクとは？リスクの評価と対応の重要性と手順

内部統制3点セットの作り方【4ステップ】 

3点セットは「①業務プロセスの理解 → ②評価範囲の決定 → ③業務記述書・フローチャートの作成 → ④リスクコントロールマトリクスの作成」の4ステップで作成します。各ステップを順に解説します。

ステップ①：業務プロセスを理解する

最初に、業務プロセスの理解が不可欠です。何をするのか、誰が実施するのか、いつ実施するのか、どのシステムを利用しているか、なぜ必要なのか、を漏れなく洗い出します。実際に業務に関わっている従業員へのヒアリングや、現行資料の閲覧を通じて正しく理解することが、後続の文書化の精度を左右します。

ステップ②：業務プロセスの評価範囲を決める

次に、評価範囲を決定します。売上、売掛金、棚卸資産といった企業の事業目的に大きく関わる重要な勘定科目に至る業務プロセスは原則として評価対象に含めます。また、国内販売・海外販売など種類ごとにプロセスが異なる場合は、重要性が乏しいものを除いて原則評価対象に含める必要があります。なお、3勘定以外にも、業種や企業の置かれた環境・事業の特性に応じて評価対象とすべきと判断するケースがあります。評価範囲の決め方の詳細は、関連記事「内部統制の評価範囲とは？」をご覧ください。

ステップ③：業務記述書・フローチャートを作成する

理解した業務プロセスをもとに、業務記述書で具体的に記述し、フローチャートで図示します。業務記述書は5W1H（いつ、どこで、誰が、何を、なぜ、どのように）のフレームワークを意識すると、必要な情報を漏れなく収集できます。フローチャートは図や矢印を用いて、業務記述書の内容をわかりやすく表現することがポイントです。

ステップ④：リスクコントロールマトリクス（RCM）を作成する

業務記述書とフローチャートの作成過程で検出された、財務報告の信頼性に関するリスクと、それに対応するコントロールを一覧化します。リスク、アサーション（監査要点）、コントロールの内容、実施頻度、実施者などを整理し、最終的にキーコントロールを特定します。RCMは3点セットの中でも特に重要で、内部統制の有効性評価に欠かせない資料です。

ここでいう「リスク」とは、財務報告の信頼性を損なう可能性がある事象や状況を指します。たとえば売掛金であれば「実在性（本当に存在しているか）」や「評価の妥当性（回収可能性を考慮し、適切な価額で計上されているか。貸倒引当金が適切に計上されているか）」が、借入金であれば「網羅性（すべての借入金が漏れなく計上されているか）」が重要になります。「コントロール」は、これらのリスクを予防・発見・低減するための承認、照合、上長によるレビューなどの内部手続を指します。キーコントロールの選び方は、関連記事「内部統制のキーコントロールとは」で詳しく解説しています。

3点セットは現状に合わせて見直しが必要 

一度作成した3点セットは、それで終わりではありません。組織の増減、使用しているシステムの変更、取引の見直しなどにより、業務プロセスが変われば、3点セットも見直しが必要です。そこで、3点セットの見直しを効率的に進めるためには、まず重要な業務プロセスから着手します。本章では、「作成方法の見直し」の方法について解説します。現状に合わせた見直し方法は、効率的なコミュニケーションを図りながら、限られた期間でも確実に作業を進めることがポイントです。

3点セットの内容の見直し

システム変更や業務プロセス自体が変更した場合の3点セットの見直しには、現場担当者にヒアリングをしつつ、変更した業務がリスクに対してどのような影響を与えるか、改めて評価する必要があります。

そもそも、整備状況を評価する際は、前期から業務プロセスに変更がないか注目しながらも、変更があった場合には適切にリスクに対して有効な統制が整備されているかを検討することが必要です。また、その際には監査人との協議や確認も忘れずに、整備状況を評価することが重要です。

内部統制3点セットをExcelで作成するメリット 

3点セットの新規作成や作成方法の見直しをするケースに向けて、Excelを選択するメリットは以下のとおりです。

・運用費用を削減できる

・独自のフォーマットを作れる

・操作に慣れている

それぞれ解説します。

運用費用を削減できる

Excelを使用するメリットの1つは、運用費用の削減ができることです。通常、専用ツールを利用する場合、システム会社に支払う費用が発生します。また、導入にかかる費用も別途必要なことがあります。しかし、Excelであればシステムの導入や維持にかかる費用を削減できます。

独自のフォーマットを作れる

3点セットの新規作成や見直しにおいて、独自のフォーマットを柔軟かつ容易に作成できる点もExcelのメリットとして挙げられます。使い慣れている人であれば、Excelは会社独自のニーズに合わせて自由な形式で文書やフローチャートを構築できます。これにより、自社の業務プロセスに最適な形で内部統制文書を整備し、管理・運用を効果的かつ効率的に行うことが可能となります。

操作に慣れている

Excelの操作に慣れている人が多いというメリットがあります。新しく導入する専用ツールと違い、Excelの場合は、使い慣れている人が多くツール操作の慣れや習得が必要ありません。

内部統制3点セットをツールで作成するメリット

専用ツールを利用した作成方法で、大きな効果が期待できるケースもあります。本章では、3点セットの新規作成や作成方法の見直しをするケースについて、専用ツールを使うメリットを、Excel利用時と対比しながら解説します。

テンプレートで作成を効率化できる

専用ツールは、3点セットの作成をテンプレートにより効率化できます。ユーザーは項目名や数、帳票の出力を会社独自に簡単にカスタマイズし、管理担当者などの作業メンバーにスムーズに配布できます。これにより、全員が統一された設定とフォーマットで3点セットを作成できます。

また、Excelのように1から作成する必要がなく、簡単に3点セットを作成できます。

作業メンバー間で設定を共有できる

専用ツールは、作業メンバー間で素早く情報設定を共有できます。1回の操作説明で実務レベルの操作が身につく専用ツールもあるため、Excelよりも簡単な操作により3点セットを作成できるでしょう。

専用ツールの豊富な機能によりフローチャートの作成も簡単に行えることから、生産性と効率性の向上が期待できます。

文書間の整合性を管理しやすい

専用ツールを活用することで、文書間の整合性を管理しやすくなり、内部統制3点セットのメンテナンスが効率的に行えます。専用ツールは文書間の整合性を自動的に確保しているケースが多く、余計なチェック作業が不要です。これにより、時間的・人的コストの削減にもつながります。

実際にExcel管理から専用ツールへ移行した企業の取り組みは、導入事例で紹介しています。

内部統制3点セットをExcelで作成するのが向いている企業の特徴 

Excelでの内部統制3点セット作成は、「業務プロセスが少なく、作成の手間がかからない企業」や「業務フローの変更が少なく、予算を抑えたい企業」に適しています。これは、Excelがシンプルな業務プロセスの3点セットの作成には対応しやすく、管理コストが低いためです。

企業の特徴や運用状況を考慮し、コスト削減を重視する場合は、Excelの利用をおすすめします。

内部統制3点セットをExcelで作成するときの注意点やコツ 

3点セットをExcelで作成する場合の作成や管理のポイントのコツは以下のとおりです。

・実情に沿った記述にする

・3点セットの整合性が取れるよう管理する

・ファイル管理のルールを決める

それぞれ解説します。

実情に沿った記述にする

業務の実態を把握するために管理担当者へのヒアリング結果を全て文書に反映すると、情報量が膨大になり、不必要な情報も含まれた状態になります。

また、ヒアリングだけでは、伝わらなかったり、3点セット作成者が誤った理解をしてしまったりするため正確に文書化できないことがあります。よって、ヒアリングを通じて集めた情報を適度に抽象化させ、また必要に応じて資料を閲覧して事実確認することでヒアリング結果を裏付けて正しい文書にしていくことが重要です。

3点セットの整合性が取れるよう管理する

業務記述書、フローチャート、リスクコントロールマトリクスを別々で管理している場合、それぞれの整合が取れるように管理することも重要です。業務記述書だけ更新して、フローチャートやリスクコントロールマトリクスが未更新のケースもあるので、整合させるよう見直しを行ってください。

ファイル管理のルールを決める

3点セットは各業務プロセスごとに作成されるため、複数の3点セットができあがります。そのため、各3点セットのフォーマットや更新方法を統一するためのルール決めが重要になります。例えば、ファイル名のルール、修正箇所の履歴を残す際のルール、フォントの種類やサイズのルール、などです。このように、統一した手順書などに基づいてルールを確立し、第三者が理解し、引き継げるようにしておくことがコツです。

内部統制3点セットに関するよくある質問 

まとめ 

内部統制3点セットの概要とExcelと専用ツールで作成する場合のメリットについて、理解は深められたでしょうか。

内部統制が始まってから長年経過している中で、多くの企業が同じ運用を続けています。コロナ禍でのテレワーク推進やペーパーレス化、業務のDX化などにより、業務プロセスに係る内部統制も大きく変化しています。

これらに対応するためには、3点セットの見直しが毎年必要であり、企業ではその負荷が増大しています。言い換えれば、デジタル化の急速な進展に合わせて内部統制業務の効率化が求められているのです。

本記事を参考に内部統制の3点セットをExcelで作成するか専用ツールで作成するか、それぞれのメリットと比較しながら作成方法を選択してみましょう。

内部統制業務DX SaaSにご興味がある方はこちらから

---

内部統制業務DX SaaS「smoove J-SOX」について

「smoove J-SOX」は、内部統制業務の効率化と品質向上を実現するクラウドサービスです。優れた操作性でJ-SOX3点セットの作業時間を50%以上削減（※）でき、内部統制担当者は本来注力すべきJ-SOXの本質的な業務に注力することが可能です。

さらに、全社的な内部統制、整備・運用、ロールフォワード評価まで年間を通じた内部統制業務を一元管理でき、継続的な効率化を実現します。

※当社公認会計士による3点セット作成時間をExcelとsmoove J-SOXで比較計測した結果