内部統制とJ-SOX：経営者の責任・4つの目的・3線モデルを理解する

不正を防ぐルールを作り、運用し、その有効性を確認するのは誰でしょうか？

内部統制の整備・運用の最終責任は経営者が負います。実務部門、監督する機関、内部監査の役割を分け、J-SOXとの関係も確認します。

内部統制の4つの目的と6つの基本的要素（COSO / 金融庁フレームワーク）

日本の内部統制の枠組みには4つの目的と6つの基本要素があります。財務報告に関するJ-SOXの対象範囲と、枠組み全体を区別して理解します。

責任体制：誰が何に責任を負うのか？

【超頻出ポイント】 内部統制の整備および運用に「最終的な責任」を負っている者は『経営者（代表取締役・CEO）』です。取締役会や監査役、従業員ではありません。

3線のディフェンス（Three Lines Model）

IIAのThree Lines Modelでは、業務でリスクを管理する役割、支援・監視する役割、独立した内部監査を区別します。「3線のディフェンス」は旧称です。固定した三つの部署を置けばよいというモデルではありません。

1. 第1線（現業部門 / 業務執行）：日々の業務の中で直接リスクを識別・管理し、統制活動を実行する。

2. 第2線（管理部門 / リスク管理・コンプライアンス・情報セキュリティ）：全社的なポリシー策定、モニタリング、第1線への指導・支援を行う。

3. 第3線（内部監査）：管理の実行責任から独立した立場で、有効性を評価して経営者・取締役会等に報告する。必要な協働と情報交換も行う。

確認演習

例題（ITパスポート / 基本情報技術者）

金融商品取引法の内部統制報告制度で、内部統制の整備・運用に最終的な責任を負う者は誰でしょうか。

1. 監査役

2. 株主総会

3. 経営者

4. 内部監査人

正解：ウ

【解説】内部統制の整備および運用の最終責任者は「経営者（代表取締役等）」です。監査役は監督・監査機能、内部監査人は評価機能を担いますが、最終的な構築・運用責任は経営者が負います。

内部統制とJ-SOXは同じ範囲ではない

内部統制は業務・報告・法令遵守・資産保全を支える仕組みです。J-SOXは、そのうち金融商品取引法に基づく財務報告の内部統制報告制度を指します。

2023年改訂の日本の基準は、目的の一つを「財務報告の信頼性」から「報告の信頼性」へ広げました。非財務情報も含む枠組みですが、金融商品取引法の内部統制報告制度の対象が全ての非財務報告に拡大したという意味ではありません。

日本の枠組みは6基本要素で、COSOの5構成要素と数が異なります。日本では「ITへの対応」を独立した要素として整理しています。

発注と支払で考える予防と発見

1. 同じ担当者が発注・承認・支払まで自由に行えないよう、職務を分けます。金額別の承認権限を設定します。

2. 支払記録と請求書を照合し、例外や重複を確認します。承認記録や操作ログを証拠として残します。

3. 内部統制は合理的な保証を目指します。共謀、経営者による無効化、人為的な誤りなどを完全に排除する保証ではありません。

まとめ

内部統制の学習では、単なる用語暗記ではなく「経営者が最終責任を負い、ITを活用して全社的な統制とリスク管理を徹底する」というガバナンスの構造を理解することが高得点への近道です。

出典と仕様を確認する

IPA：FEシラバス Ver.9.2

金融庁：2023年改訂の内部統制基準・実施基準

IIA：Three Lines Model