米国SOX法とJ-SOXの違い｜IT統制の評価・不備是正ガイド
米国SOX法と日本のJ-SOXは、どちらも財務報告に関わる内部統制を扱いますが、根拠法令、対象企業、評価・監査の仕組みは同じではありません。
米国SOX法では米国の証券規制上の対象企業について経営者が財務報告に係る内部統制を評価し、適用要件に応じて独立監査人が監査します。
日本のJ-SOXは金融商品取引法に基づく内部統制報告制度で、対象となる上場会社等の経営者が評価し、監査人がその評価を監査します。
今回は、両制度を区別したうえで、IT全般統制とIT業務処理統制の評価、不備の是正、再テスト、経営者評価までの進め方をご紹介します。
セキュリティー診断さん
ソックス法…？ なんだか難しそうだなあ…。 うちの会社も関係あるのかな？
米国SOX法と日本のJ-SOXを区別する
米国のSarbanes-Oxley Act（SOX法）404条に基づくSEC規則では、対象企業の年次報告に、財務報告に係る内部統制を整備・維持する経営者の責任と、有効性の評価を含む内部統制報告が求められます。
監査人による監査の適用は、企業区分などの要件を確認する必要があります。
日本のJ-SOXは、金融商品取引法に基づく財務報告に係る内部統制報告制度です。
対象となる上場会社等では、経営者が内部統制の有効性を評価して内部統制報告書を提出し、監査人が経営者の評価を監査します。
| 制度 | 主な対象 | 評価主体 | 監査主体 |
|---|---|---|---|
| 米国SOX法404条・SEC規則 | 米国の証券規制上の対象企業 | 経営者 | 適用要件に応じた独立監査人 |
| 日本のJ-SOX | 金融商品取引法上の対象となる上場会社等 | 経営者 | 財務諸表監査を行う監査人 |
自社への適用範囲や提出義務は、上場市場、企業区分、連結範囲などで変わります。
法務・会計・監査の担当者と最新の規則を確認しましょう。
セキュリティー診断さん
なるほど、SOX法って会社の信用を守るためのルールで、そのために大事な情報を守るセキュリティが必要ってことか！
SOX法対応で求められる内部統制とは？
財務報告の正確性は、経理部門の決算作業だけでなく、取引が始まる時点から複数の統制をつなぐことで支えられます。
たとえば、販売取引は「受注→売上計上→売掛金→入金→仕訳→決算・連結→財務諸表」という順にデータが引き継がれます。
途中の誤りや不正がそのまま次の処理へ渡ると、最終的な売上高や売掛金残高も正しく表示できません。
| 取引から財務報告までの流れ | 財務報告の正確性を支える統制の例 | 統制のつながり |
|---|---|---|
| 受注→売上計上 | 注文内容と売上計上の承認、営業担当と計上担当の職務分掌 | 実在する取引だけを、正しい金額と時期で記録する |
| 売掛金→入金 | 請求額と入金額の照合、差異がある場合の確認・承認 | 売掛金の回収状況と残高を正しく保つ |
| 仕訳→決算・連結 | 業務データと会計仕訳の照合、決算整理仕訳や連結処理の承認 | 各業務の記録を決算数値へ正確に集約する |
| 決算・連結→財務諸表 | 集計結果と財務諸表の照合、作成者と承認者の職務分掌 | 公表する財務諸表の漏れや誤表示を防ぐ |
| すべての段階を支えるIT統制 | 権限管理やシステム変更の管理、入力チェックや自動計算 | 処理とデータが承認された手順どおりに引き継がれる状態を保つ |
このように、業務プロセスの承認・照合・職務分掌、決算・連結での確認、ITによる処理の支えが連動して、財務諸表の正確性につながります。
IT全般統制とIT業務処理統制の役割を整理すると、このつながりのどこを評価すべきかが分かりやすくなります。
IT全般統制とIT業務処理統制を同じ評価表で管理する
IT全般統制は、アクセス管理、変更管理、運用管理など、システムを安定して利用するための基盤となる統制です。
IT業務処理統制は、財務報告に関係する入力、処理、出力が正確かつ完全に行われるよう、業務処理へ組み込む自動・手動の統制です。
IT全般統制に不備がある場合は、依存するIT業務処理統制への影響も評価します。
| 統制 | 担当者 | 実施頻度 | 必要な証跡 | 評価方法 | 不備と判断する条件 |
|---|---|---|---|---|---|
| アクセス管理（IT全般統制） | システム管理者、業務責任者 | 月次、異動時 | 権限一覧、申請・承認記録、操作ログ | 権限と職務の照合、サンプル検証 | 未承認権限、退職者ID、職務分離違反がある |
| 変更管理（IT全般統制） | 開発責任者、運用責任者 | 変更の都度 | 変更申請、承認、テスト、リリース記録 | 変更票から本番反映まで追跡 | 未承認変更、テスト不足、記録欠落がある |
| 運用管理（IT全般統制） | 運用担当者 | 日次・月次 | ジョブログ、障害記録、バックアップ結果 | 例外ログと対応記録を照合 | 失敗の放置、復旧未確認、監視記録の欠落がある |
| 財務データの入力・処理・出力（IT業務処理統制） | 業務責任者、経理担当者 | 取引の都度、締め処理時 | 入力承認、処理ログ、照合表、例外一覧 | 再計算、総件数・金額照合、例外確認 | 未承認入力、計算誤り、差異未解消がある |
評価対象、頻度、サンプル件数、不備の重要度は、財務報告への影響とリスクに応じて決めます。
内部統制全体の進め方はセキュリティ診断で内部統制を強化する方法も参考にしてください。
セキュリティ診断は統制評価の一資料として使う
Webアプリケーションのセキュリティ診断は、対象範囲の脆弱性を確認し、修正候補を整理するために活用できます。
『セキュリティー診断さん』では、許可されたWebサイトをAIで診断し、確認した弱点と対策案を報告します。
ただし、診断結果だけで米国SOX法やJ-SOXへの対応が完了するわけではなく、結果がそのまま監査証拠として十分だと断定することもできません。
統制の目的、対象範囲、実施者、承認、運用証跡と組み合わせ、監査人と必要な証拠を確認してください。
診断を迅速に始めたい場合は、『セキュリティー診断さん』の対象範囲と利用方法を確認できます。
不備の評価から経営者評価までを一連で管理する
- 発見事項がどの統制へ影響するか、不備の重要度と財務報告への影響を評価する
- 是正担当者、期限、必要な証跡を決める
- 修正後に同じ評価方法で再テストし、設計と運用の有効性を確認する
- 残留リスクや例外がある場合は、根拠、期限、代替統制を記録して権限者が承認する
- 未解消の不備と再テスト結果を集約し、経営者による内部統制評価へ反映する
『セキュリティー診断さん』の報告書を使う場合も、発見事項ごとに対象統制、担当者、期限、再テスト結果をひも付けます。
経営者へ報告する際は、セキュリティ診断結果を経営層へ報告する方法に沿って、重要な不備、未解消リスク、是正期限、判断が必要な例外を簡潔にまとめましょう。
法令対応を横断的に点検する際は、セキュリティ診断で確認するコンプライアンスのチェック項目も参考にしてください。
まとめ：制度を区別し、評価と是正を記録しよう
米国SOX法と日本のJ-SOXは、対象企業と評価・監査の仕組みを区別して確認することが大切です。
IT全般統制とIT業務処理統制を評価表で管理し、不備の評価、担当者と期限、再テスト、例外承認、経営者評価まで記録をつなげましょう。
Webアプリケーションの弱点確認には『セキュリティー診断さん』を活用し、制度上必要な統制評価や証跡と組み合わせてみてください。
会社の未来を守り、社会からの信頼を勝ち取るために、まずは自分たちの「今」を知ることから始めてみませんか？
セキュリティー診断さん
まずは診断を受けて、うちの会社の弱点を把握することから始めればいいんだな！ これで監査にもしっかり備えられるね！ (๑•̀ㅂ•́)و✧
関連記事
同じテーマを深掘りしやすい記事を優先して表示しています。
