企業のコンプライアンス遵守や不正対策が重視される中、内部統制の重要性がかつてなく高まっています。
内部統制とは、企業が事業活動を健全かつ効率的に運営し、報告の信頼性を保ちながら法令を遵守するための社内ルールや仕組みのことです。
本記事では、内部統制の基礎知識（4つの目的・6つの基本的要素）から具体的な構築手順、製造業などの現場で生じやすい課題と対策まで詳しく解説します。
自社のガバナンス強化と企業価値向上に向け、ぜひ参考にしてください。
目次
内部統制とは
本章では、内部統制の意味をはじめ、混同しやすい関連用語との違いについて解説します。
内部統制の意味
金融庁による内部統制の定義は以下のとおりです。
内部統制とは、基本的に、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内のすべての者によって遂行されるプロセスをいい、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング（監視活動）及びIT（情報技術）への対応の6つの基本的要素から構成される。
内部統制報告制度の目的は、報告の信頼性を確保し、投資家を保護することにあります。
過去の不正会計事件を教訓に、金融商品取引法の一部として導入されました。
内部統制は特定の部署だけが担当するものではなく、全従業員が関わるものです。
そのため、企業は内部統制を実施する意義を正確に周知する必要があります。
内部監査との違い
内部統制と似た言葉に「内部監査」がありますが、役割は明確に異なります。
内部統制は、企業の業務が適切かつ効率的に実施されるように、日々の業務の中に組み込まれたプロセスや仕組みを意味します。
一方の内部監査は、内部統制が正しく機能しているかをチェックするプロセスです。
現場で作ったルールが守られているかを、内部監査部門が独立した立場で確認し、内部統制が正しく機能しているかを評価・検証します。
つまり、内部統制が「実務の仕組み」なら、内部監査はその「点検作業」です。
両者が機能することで、会社の健全性が保たれます。
コーポレートガバナンスとの違い
コーポレートガバナンスは「企業統治」と訳される概念であり、経営者が暴走しないよう監視し、ステークホルダーの利益を守る仕組みです。
対象は主に経営陣であり、会社全体の大きな方向性を管理します。
一方の内部統制は、経営陣が決めた方針を現場で正しく実行する仕組みであり、コーポレートガバナンスの大きな枠組みの中に含まれています。
両者は密接な関係にあり、どちらも欠かせないものです。
コンプライアンスとの違い
コンプライアンスとは、法令や社会的規範を守る「法令遵守」のことです。
単に法律を守るだけでなく、企業倫理や社内ルールに従って誠実に事業活動を行うことも含まれます。
内部統制は、このコンプライアンスを実現するための具体的な手段と考えられます。
ルールを守る意識だけでなく、守れる仕組みを作ることが内部統制です。
つまり、両者は目標（コンプライアンス）と手段（内部統制）の関係と捉えられます。
内部統制報告制度（J-SOX法）とは
内部統制報告制度とは、上場企業に対して内部統制の整備と運用を義務付ける制度です。
J-SOX法とも呼ばれます。
内部統制報告制度の概要は以下のとおりです。
- 上場会社は、事業年度ごとに当該会社の属する企業集団及び当該会社の財務計算に関する書類、その他の情報（非財務情報を含む報告）の適正性を確保するために必要な体制（内部統制）について評価した報告書（内部統制報告書）を有価証券報告書と併せて提出する
- 内部統制報告書には、公認会計士又は監査法人の監査証明を受けなければならない
- 内部統制報告書は、提出日から5年間公衆縦覧
内部統制報告制度の目的は、報告の信頼性を確保し、投資家を保護することにあります。
過去の不正会計事件を教訓に、金融商品取引法の一部として導入されました。
内部統制報告制度への対応は非常に重要な業務です。
適切な対応ができなければ、企業は社会的信用を大きく失う可能性があります。
内部統制が目指す「4つの目的」
内部統制には、達成すべき「4つの目的」が以下のように定められています。
- 1. 業務の有効性及び効率性
- 2. 報告の信頼性
- 3. 事業活動に関わる法令等の遵守
- 4. 資産の保全
上記は金融庁の基準で示されており、制度の根幹をなすものです。
それぞれの目的が実務にどう役立つのか、具体的に見ていきましょう。
1. 業務の有効性及び効率性
「業務の有効性及び効率性」は、業務の無駄を省き、生産性を高めることを重視する目的です。
事業の目標を達成するために、時間やコストを最小限に抑えつつ、効率的かつ正確に業務を遂行することを目指します。
例えば、バラバラだった手順を統一し、マニュアル化することもこれに該当します。
また、電子承認システムの導入は、実務担当者の残業を減らす身近な業務効率化に直結する取り組みです。
このように、内部統制はよりスムーズな業務の実施を図る取り組みでもあります。
2. 報告の信頼性
「報告の信頼性」は、組織内及び組織の外部への報告（非財務情報を含む）の信頼性を確保することを目的としています。
この目的には、従来の「財務報告の信頼性」、すなわち財務諸表及び財務諸表に重要な影響を及ぼす可能性のある情報の信頼性を確保することが含まれます。
つまり、正しい財務数値の開示（財務報告）を行うことはもちろん、近年開示要請が高まっているサステナビリティ情報などの非財務情報も含めて信頼性を担保し、外部からの信頼を維持することです。
この目的を達成するには、各種開示資料や報告データに誤りや改ざんがないことを保証する仕組みを作ることが不可欠であり、ステークホルダーの信頼を守るうえで欠かせません。
3. 事業活動に関わる法令等の遵守
「事業活動に関わる法令等の遵守」は、事業活動に関わる法令や社内規程などのルールを守ることです。
事業活動において、法律違反は致命的なダメージをもたらします。
違反すればステークホルダーはもちろん、社会からの信頼も大きく損なう事態になりかねません。
ルールを周知し、違反が起きない仕組みを構築することは、安定して長く働ける職場環境の実現にもつながります。
4. 資産の保全
「資産の保全」は、会社の有形・無形資産の取得・使用・処分を正当な手続きで実施し、同時に不正や紛失から守ることを目指すものです。
資産とは、現金や商品、設備だけでなく、顧客データや知的財産も含みます。
また、正当な手続きや承認を経ずに資産の使用・処分が行われていないことが発覚した際は、すぐに発見・対応する体制の整備・運用も求められます。
内部統制を構成する「6つの基本的要素」
本章では、内部統制を構成する以下の基本的要素を解説します。
- 1.統制環境
- 2.リスクの評価と対応
- 3.統制活動
- 4.情報と伝達
- 5.モニタリング
- 6.ITへの対応
上記の要素は一つでも欠けると、全体の仕組みが崩れるリスクが高まるものです。
それぞれの要素がどのような役割を果たしているのかを理解しましょう。
1. 統制環境
統制環境は、ほかのすべての要素の基盤となるものです。
経営者の誠実性や倫理観・経営方針・組織構造などが該当します。
企業において、経営トップの意識が低ければ、どれだけ優れたルールを定めても機能しません。まずはルールを守ることを重視する企業風土を醸成することこそが、実効性のある内部統制の出発点となります。
また、人事評価の基準や権限と責任の明確化も統制環境に含まれます。
正しい行動をした従業員が適切に評価される仕組みも、健全な組織を実現するうえで重要な要素です。
統制環境が整って初めて、具体的な活動が効果を発揮します。
2. リスクの評価と対応
組織の目標達成を阻害するリスクを洗い出し、分析・対応を決めるプロセスです。
リスクの発生確率と影響度を分析し、優先順位をつけて対策を講じましょう。
対応方法は大きく分けて「回避・低減・移転・受容」の4つです。
それぞれの対応方法の詳細は以下のとおりです。
| 対応方法 | 詳細 |
|---|---|
| 回避 | リスクの原因となる活動を見合わせたり、中止したりすること |
| 低減 | リスクの発生可能性や影響を低くするための対応を実施すること |
| 移転 | リスクのすべて、あるいは一部を外部に転嫁することで影響を減らす |
| 受容 | 顕在化しても対応が可能、あるいはリスクへの対策が効果を上回ると判断された際に、あえてリスクを受容する |
すべてのリスクをゼロにすることは不可能なため、費用対効果も考慮し、重要なリスクに手厚く対処するメリハリが効率的なリスク管理のポイントです。
3. 統制活動
評価したリスクを低減するために行う、具体的なアクションや社内ルールを指します。
経営者の指示や方針が、現場で正しく実行されるための手続きです。
例えば、職務分掌（業務の相互牽制）を実施し、一人の従業員に権限を集中させないことで、不正やミスを物理的に防げます。
また、高額な支払いや重要事項の決定に複数の承認を必要とする承認フローも統制活動の一環です。
現場の日常的な業務プロセスにこれらのチェック機能を組み込み、マニュアル通りに業務を行うことが会社を守ることにつながります。
4. 情報と伝達
必要な情報が、然るべき経路を通じて迅速かつ正確に伝わる仕組みのことです。
情報をただ流すだけでなく、受け手が正しく理解・活用できることが重要です。
『情報と伝達』には、経営層から現場への指示のみならず、現場から経営層への適時・適切な報告も含まれます。特にトラブル発生時に隠蔽を防ぎ、速やかに情報共有される体制の構築が不可欠です。さらに、近年の改定基準でも重視されている内部通報窓口の適切な整備と運用も極めて重要な要素となります。
正しい情報がタイムリーに届かなければ、的確な経営判断もリスク対応もできません。ITシステムの有効活用と定期的なミーティングを組み合わせ、組織内の「情報の目詰まり」を徹底的に防いでいきましょう。
5. モニタリング
モニタリングとは、構築した内部統制が、形骸化せずに正しく機能しているかを継続的に監視・評価する要素です。
ルールを整備しても、守られていなければ意味がありません。
モニタリングには、日常業務で行う「日常的モニタリング」と、業務から独立した視点で行う「独立的評価」の二段構えのチェック体制があります。
「日常的モニタリング」は上司による確認など日々の実務に組み込まれ、「独立的評価」は内部監査部門などが客観的に点検する形で機能します。
また、内部通報制度のような通常の伝達経路に含まれない窓口も、モニタリングに不可欠です。
6. IT（情報技術）への対応
ITへの対応とは、あらかじめ適切な方針や手続きを定めたうえで、ITを業務に活用することです。
現代のビジネスにおいて、システムやデータなどのIT技術を安全かつ有効に活用することは、企業の競争力を左右する要素です。
内部統制におけるITへの対応は、企業のITインフラを整備する「IT環境への対応」と、日々の業務でシステムを安全に運用するための「ITの利用及び統制」の2点に大別されます。
また、サイバーセキュリティ対策や外部の委託先に対する厳格な管理体制の構築も重要です。
サイバー攻撃や機密データの流出などのリスクを防ぐことは、業務の効率性と安全性を向上させるうえで欠かせません。
内部統制に関わる組織と各役職の役割
内部統制において、以下の組織や役職にはそれぞれ必要な役割があります。
- 経営者
- 取締役会
- 監査役・監査委員会
- 内部監査人
- 従業員
各役職の役割分担を理解することで、組織全体の連携がスムーズになります。
経営者
経営者は、自社の内部統制システムを整備し、運用する最終的な責任者です。
トップ自らがコンプライアンスの重要性を語り、姿勢を示すことは統制環境の土台となります。制度の構築に必要な予算や人員を確保するのも、経営者の重要な役割です。
また、内部統制報告制度においては、内部統制が有効であることを証明する報告書を提出します。
もちろん、現場からの報告に耳を傾け、必要に応じて迅速に改善の指示を出さなければなりません。
経営者の取り組み方が、内部統制の成否を左右します。
取締役会
取締役会は、経営者が行う内部統制の整備と運用を監督します。
経営者が暴走したり、不正を働いたりしないよう、監視することが取締役会の役割です。
さらに内部統制の基本方針を決定し、それが適切に実行されているかを定期的に確認します。経営者に対して、厳しい意見や助言を行うことも重要な責務です。
また、組織の大きな方向性を決める会議体として、リスク管理の状況も把握し、問題が発覚した際には、経営者に原因究明と再発防止策の策定を求めます。
監査役・監査委員会
監査役や監査委員会は、取締役の職務執行が適法に行われているかの監査を実施します。
取締役会とは独立した立場から、内部統制が機能しているかをチェックするのが役割です。
監査役・監査委員会は非常に強い権限を持っており、不正の兆候を見つけた場合は、取締役会への報告や是正の勧告を行います。
また、外部の監査法人と連携し、会計監査が適切に行われているかも確認します。
内部監査部門から報告を受け、現場の状況を広く把握することも、監査役・監査委員会の職務です。
内部監査人
内部監査人は、社長直轄などの独立した部門に所属し、現場の監査を実施する役割です。
構築されたルールが適切に運用されているかをチェックするために現場の担当者にヒアリングを行い、証拠となる書類を確認します。
問題点（不備）を見つけた場合は、改善提案とともに経営者に報告します。
加えて、現場が業務をより安全かつ効率的に進められるようアドバイスを行うのも、内部監査人の役割です。
従業員
従業員（実務担当者）は、内部統制のルールを日々の業務で実行する主役です。
ルールやマニュアルに従い、作業を進めることが財務報告の信頼性や法令遵守を支えています。
また、現場で気づいたリスクや非効率なルールを上司に提案することも従業員の役割です。
従業員が「このルールは何のためにあるのか」を理解して業務に取り組むことが、適切な内部統制を実現します。
内部統制構築・運用の進め方
内部統制の構築や運用は、以下の手順で実施しましょう。
- STEP1：現状プロセスの把握とリスクの洗い出し
- STEP2：内部統制3点セット（業務記述書・フローチャート・RCM）の作成
- STEP3：整備・運用状況の評価とPDCAサイクル
それぞれのステップについて順番に解説します。
STEP1：現状プロセスの把握とリスクの洗い出し
まずは、自社の業務が現在どう回っているかを正確に可視化しましょう。
各部門にヒアリングを行い、仕事の始まりから終わりまでの流れを確認します。
「誰が」「どのシステムを使って」「どんな帳票を出力しているか」の現状を具体的に把握します。現状の運用を正確に把握してこそ、実効性のある正しいルールを作ることができるためです。
業務の流れが見えたら、次に「どこにリスクが潜んでいるか」を特定しましょう。
入力ミスが起きやすい箇所、不正ができそうな権限の設定などを洗い出します。
初期段階での丁寧なリスク分析が、後々の運用の質を左右します。
STEP2：内部統制3点セット（業務記述書・フローチャート・RCM）の作成
リスクと対策が見えたら、それを文書として残す作業に入ります。
内部統制において必須になるのが、「業務記述書」「フローチャート」「RCM（リスク・コントロール・マトリクス）」の3点セットです。
| 書類の種類 | 役割と特長 |
|---|---|
| 業務記述書 | 文章による詳細な業務手順の説明 |
| フローチャート | 図解による業務全体のプロセスの可視化 |
| RCM | リスクと統制活動の対応表 |
これらの書類を作成することで業務フローを可視化し、リスクが生じた際でも適切な対応を実施できる体制が整います。
なお、3点セットの作成は属人化を防ぐうえでも重要です。
特に製造業は、従業員のスキル依存による業務の属人化が発生しやすいため注意が必要です。
個人の管理するExcelに重要データが格納されることで業務がブラックボックス化したり、ノウハウが共有されず引き継ぎが困難になったりするリスクがあります。
内部統制の「3点セット」作成は、業務フローの可視化を通じて、こうした属人化を防止・解消するうえで極めて重要なプロセスとなります。
STEP3：整備・運用状況の評価とPDCAサイクル
内部統制の整備・運用状況を評価し、必要があれば改善をするステップです。
まずは「整備状況の評価」として、ルール自体に欠陥がないかを確認します。
次に「運用状況の評価」として、ルール通りに現場が動いているかを調査しましょう。
もし不備が見つかれば、なぜ起きたのか原因を分析し、改善策を講じます。
マニュアルがわかりにくいなら修正し、システムが必要なら改修を行うなど、現状に応じた対応が重要です。
このように計画・実行・評価・改善のPDCAを回し、常にアップデートし続けることが重要です。
製造業の現場で陥りがちな手作業によるExcel管理の限界と内部統制の課題
製造業での内部統制の場合、手作業でのExcel管理が残っている業務が課題になりがちです。
内部統制の仕組みや手順をどれだけ立派に定めても、それが現場の実務に定着しなければ意味がありません。
本章では、手作業でのExcel管理がもたらす具体的なリスクを解説します。
現場のExcel依存が招くデータの「改ざんリスク」と「ミスの温床」
製造業の現場で広く使われるExcelですが、内部統制の観点からは大きなリスクを抱えています。
Excelは誰でも手軽にデータを編集できる反面、変更履歴が残らないため、故意によるデータの改ざんや、悪意のない入力ミス・関数エラーの発見が極めて困難です。
また、手作業による転記やコピペに依存した運用は、ミスの温床となるだけでなく、客観的な正確性を担保できないといった内部統制上の致命的な弱点になりかねません。
特に、在庫評価や原価計算などをExcelで行っている場合、意図しない書き換えや、計算式のミスによる数値の誤りなどによって、報告の信頼性が低下する事態を招きます。
属人化された業務プロセスでは「IT全般統制」をクリアできない
IT全般統制では、システムが安全かつ安定して運用されるための管理体制が求められます。しかし、現場が個人の作成したマクロやExcelに依存し、属人化している状態ではこの統制をクリアできません。
なぜなら、アクセス権限の適切な管理が行き届かず、ログ（履歴）も確認できないため、誰でもプログラムを書き換えられる状態にあるからです。
また、業務が属人化されていると開発時のテスト記録や仕様書が残されていないことが珍しくありません。
そのため、作成者が退職するとブラックボックス化してメンテナンス不能に陥るリスクもあります。
これらの課題が解消されないと、ITガバナンスが機能していないとみなされ、J-SOX法における外部監査を通過できない原因となります。
J-SOX対応・財務報告の信頼性を自動で担保
内部統制報告制度への対応と報告の信頼性を確実に担保するために極めて有効なソリューションが、ERP（経営基盤）です。
ERPとは、財務・人事・製造・サプライチェーンなどのプロセスを合理化し、一元的に把握できるようにするシステムを指します。
昨今は、ERPや会計システムを活用し、データ管理を標準化することで内部統制を強化する企業が増えています。
DAIKO XTECHでは、「SuperStream-NX」をはじめとする多数のERPソリューションを取り扱っており、お客さまの課題に応じた最適なご提案が可能です。
実効性の高い内部統制の構築や業務の標準化に向け、最適な解決策をご提案いたしますので、ぜひお気軽にご相談ください。
【関連記事】ERPとは？基幹システムとの違いや導入メリットをご紹介
内部統制を整備する際の注意点
内部統制を整備・運用するうえで、注意すべきポイントは以下のとおりです。
- 組織全体に浸透させる必要がある
- 経営者自身の不正には対応ができない
- 海外の子会社や委託先にも注意する
上記の注意点を理解すれば、より良い内部統制を実施しやすくなります。
組織全体に浸透させる必要がある
内部統制は、一部の管理部門だけが理解していても機能しません。
経営陣や管理職はもちろん、現場の従業員が、ルールの意味を理解し、納得して実行する必要があります。
そのためにも、ルールや仕組みだけでなく、内部統制の背景や目的を丁寧に説明することが不可欠です。
組織全体に内部統制の意義を浸透させることで、初めて適切な施策が実施できるようになります。
経営者自身の不正には対応ができない
内部統制は性質上、経営者自身の不正には対応できないのが難点です。
経営者はルールを作る側であり、強い権限を持っています。
そのため、意図的にルールを飛び越えて不正な指示を出すことが原理的に可能です。
また、経営者が従業員に不正を指示するようなケースも、内部統制では防止できません。
これに対抗するには、社外取締役や監査役による厳しい監視機能が必要です。
また、従業員が経営者の不正を通報できる、独立した内部通報窓口の設置も効果が期待できます。
海外の子会社や委託先にも注意する
内部統制の範囲は、本社だけで完結するものではありません。
連結子会社や重要な関連会社も評価の対象です。
特に海外の子会社は、言語・文化・法律が異なるため、ガバナンスが効きにくくなります。
本社が気づかないうちに、現地で重大な不正や情報漏えいが発生するリスクがあります。
また、ITシステムの運用や給与計算などを外部に委託している場合も注意が必要です。
委託先のセキュリティ体制が甘ければ、自社の顧客データが流出する恐れがあります。
定期的な監査の実施や、保証報告書の入手など、外部への統制も欠かせません。
「自社の名前で事業を行うすべての領域」に責任を持つ意識が必要です。
まとめ：内部統制の強化は財務報告の信頼性と企業の持続的成長を支える基盤
内部統制は、企業の報告の信頼性を維持し、日々の業務がルールに沿って適切に実施されているかを確認する重要な取り組みです。
製造業が直面しやすい「属人化」や「データのブラックボックス化」といったリスクを放置せず、業務フローの可視化やシステム化（ERP等の活用）を通じて健全な運用へシフトすることが求められています。
正しく機能する内部統制は、不正やミスを防ぐ「防護壁」となるだけでなく、企業の信頼性を高めて次の成長へと踏み出すための強固な経営基盤となるのです。
内部統制を成功させる秘訣は、書類作成やシステム導入をゴールにせず、現場の「面倒くさい」という本音に寄り添って業務と一体化させることです。
多忙を極める製造現場において、手元のExcelで効率的に処理したくなる気持ちは重々理解できます。しかし、属人化した「野良マクロ」によるデータ管理は、監査においてブラックボックス化し、重大なリスクとなり得ます。ERPの導入は解決策の一つですが、システム自体は魔法の箱ではありません。運用する現場がルールの意図を理解していなければ、すぐに形骸化してしまいます。
形式的な監査対応による「二度手間」を生むのではなく、日々の業務を正しく回すことがそのままチェック機能として働く仕組みを整えること。現場に負担をかけない地道なアプローチこそが、内部統制の定着に向けたもっとも確実な近道です。