J-SOXの対応負荷、改訂2年目でも減らない原因とは？

15年ぶりの改訂から2期を経てみえてきた対応負荷が減らない構造

「今年もまた、同じ業務記述書を1から見直している」——J-SOX対応に携わる経理・内部監査部門の方なら、一度はそう感じたことがあるのではないでしょうか。

2008年の制度導入から15年を経て、2023年4月に内部統制報告制度（J-SOX）の基準・実施基準が改訂され、2024年4月に施行されています。3月決算企業では2025年3月期から適用が始まっており、初年度から新基準で対応をされた企業は2027年3月期の決算で3期目を迎えることになります。今回は、改訂がもたらした変化と、現場で進みつつある負荷軽減の動きを整理します。

※本記事は、内部統制報告制度（J-SOX）の実務負荷に関するビジネス上の気づきを提供するものです。個別の内部統制の評価・監査対応については、専門家にご相談ください。

15年ぶりの改訂の要点とは

2023年の改訂では、内部統制の目的が「財務報告の信頼性」から、より広い「報告の信頼性」へと拡張されました（非財務情報も視野に入れつつ、金商法上の内部統制報告制度自体はあくまで財務報告の信頼性確保を目的とする点は維持されています）。

改訂の背景には、評価範囲の外で開示すべき重要な不備が明らかになる事例や、内部統制報告書の訂正理由が不十分な事例が複数報告されたことへの懸念がありました。これを受けて、次のような変更が加えられています。

• 不正に関するリスクの考慮
  • リスク評価の項目に、不正リスクへの対応が明記された
• ITへの対応の強化
  • 大量の情報を扱う場合のシステムの有効性、サイバーリスクへの対応が追加された
• 評価範囲の決定根拠の記載
  • 経営者が内部統制の評価範囲を決定した際の判断根拠を、内部統制報告書に記載することが適切とされた
• 前年度の不備の是正状況の付記
  • 前年度に「開示すべき重要な不備」があった場合、その是正状況を記載することが求められるようになった

これらは総じて、「形式的に文書を揃えること」から「実質的にリスクを捉えて説明できること」へと、評価の重心を移す改訂といえます。

今年も「ゼロから対応」で起きる業務負荷の増大

「形式より実質」とは言っても、やはり重たい書類仕事は避けられません。

J-SOX対応の実務負荷の多くは、業務記述書・フローチャート・リスクコントロールマトリクス（RCM）という、いわゆる「3点セット」の作成・更新に集中しています。組織変更や業務プロセスの改定、システム更改のたびにこれらの更新が必要ですが、現場ヒアリングから文書化、レビュー、承認までのサイクルには、1つの業務プロセスあたり数週間を要することも珍しくありません。組織変更が頻繁に起きる企業では、RCMの更新が常に後手に回る状態が常態化しているケースもあります。

加えて、2023年の改訂により評価範囲の決定根拠や前年度不備の是正状況の記載が求められるようになったことで、「毎年ゼロから作り直している」ように感じられる作業量が、むしろ増えたと捉えている現場も少なくないのではないでしょうか。

ケースで考える：現場の課題

内部統制対応に関するよくある課題を事例を交えて考えてみましょう。

このケースのように、人手に頼った運用では、組織の変化のスピードに対応しきれなくなる場面が出てきます。

進みつつある解決策：生成AIによる文書化・証憑レビューの効率化

このような課題に対し、生成AIを活用した具体的な解決策も注目されています。その中心は既存の書面や帳票などのデータを集約、照合、解析をするという「AIが得意とする領域」を活用する方法です。J-SOXの効率的な対応を見据えた具体的なAI活用例をみてみましょう。

• 証憑レビューの自動化
  • 見積書・請求書等の証憑ファイルを生成AIに読み込ませ、金額等の項目を抽出・構造化したうえで帳簿金額と照合し、差異の有無を自動で整理する
• 統制文書のドラフト作成・更新
  • 既存の業務記述書と、業務プロセスの変更内容を照らし合わせ、更新すべき箇所を生成AIが洗い出す
• 規程整合性チェック
  • 社内規程と実際の業務プロセスが整合しているかを、業務記述書と社内規程をAIに学習させ、確認する

ただし、こうした活用には留意点もあります。AIが作成した草稿はあくまで出発点であり、実際の業務プロセス・統制手続きと照合した事実確認が欠かせません。事実と異なる内容が混入したまま評価書を確定すると、評価の信頼性そのものが損なわれます。生成AIの活用は、「文書化の労力を減らす」ことはできても、「評価の責任そのものを代替する」ものではない、という整理が実務上重要になります。

担当者・内部監査部門が検討すべきポイント

• 適切な評価範囲への見直し
  • 2023年に改訂された基準に照らし、本来自社に必要な範囲を超えた過剰な統制ルールとなっていないか確認する。特に変化が著しい成長中の事業部門やAI活用が進む業務領域では、財務報告リスクに影響が無いかなどの各部門の最新の状況やAI活用の実態に合わせて過不足のない適切な評価範囲となっているかを見直し、監査法人と認識をすり合わせる
• AI活用業務に対する新たな整備
  • 自動仕訳や生成AIの出力が財務数値に影響する場合、利用範囲の明確化、人によるレビューの必須化、利用ルールの文書化が必要になる
• 生成AI導入は「低リスク業務」から段階的に
  • 監査資料の下書き作成や文書のドラフト作成など、財務報告への影響が限定的な業務から試験導入し、AIの成果物を人が検証する運用から始める
• 担当者の役割の変化を見据える
  • 定型的な文書作成・更新作業が効率化されるほど、担当者にはAIが検出した異常やリスクを解釈し、経営層やガバナンス層にその意味合いを説明できる、より高度な判断力が求められるようになる

まとめ

J-SOXの実務負荷は、「制度が複雑だから」というだけでなく、「組織の変化のスピードに、人手による文書更新が追いつかない」という構造的な問題を抱えています。2023年の改訂はこの負荷をむしろ一時的に増やした面がありますが、同時に、生成AIの台頭によって解決の糸口も急速に広がりつつあります。

文書化や証憑レビューといった定型作業をテクノロジーに委ねつつ、担当者自身はリスクの解釈や経営層への説明という、より付加価値の高い役割にシフトしていく—そうした構造転換を見据えることが、これからのJ-SOX担当者・内部監査パーソンに求められる視座になりそうです。

【出典・参考文献】
金融庁『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』（金融庁、2023年4月7日）、https://www.fsa.go.jp/news/r4/sonota/20230407/1.pdf（最終閲覧日：2026年10月23日）