期末まであと6週間。J-SOX評価チームの定例会議で、購買プロセスの運用テストの結果が報告されました。25件中2件で、検収記録と請求書の金額照合が行われないまま支払承認されていたのです。担当者は「2件とも少額で、実害もありません。軽微な不備で処理してよいでしょうか」と尋ねます。
評価責任者は即答できませんでした。少額だったのはサンプルの2件であって、母集団全体の支払額は年間数十億円です。同じ照合漏れが他の拠点でも起きていないとは言い切れません。しかも売掛金側の入金消込にも別の不備が1件見つかっていました。個々には小さく見える不備が、合わせるとどうなるのか。その問いに答える手順が、社内に明文化されていなかったのです（本記事の事例はすべて架空のモデルケースです）。
不備の評価は、J-SOX評価の中で最も判断の余地が大きく、会社と監査人の見解が分かれやすい局面です。この記事では、金融庁の実施基準と日本公認会計士協会の実務指針に沿って、不備が「開示すべき重要な不備」に当たるかどうかを判定する手順を、その理屈とともに整理します。
この記事の要点
- 開示すべき重要な不備とは、財務報告に重要な影響を及ぼす可能性が高い財務報告に係る内部統制の不備です
- 業務プロセスの不備は「影響が及ぶ範囲」と「発生可能性」から潜在的な影響額を見積もり、金額的・質的重要性に照らして判定します
- 金額的重要性は、たとえば連結税引前利益のおおむね5%程度が例示されていますが、機械的な適用は想定されていません
- 同じ勘定科目に関係する不備は合算し、補完統制による低減も検討します
- 全社的な内部統制の不備は影響が広範に及ぶため、実施基準の例示に照らして慎重に評価します
不備とは何か：整備上の不備・運用の不備・重要な不備
実施基準における不備の定義
実施基準は、内部統制の不備を2つに分けています。1つは、内部統制が存在しない、または規定されている内部統制では目的を十分に果たせない「整備上の不備」です。もう1つは、整備段階で意図したように運用されていない、運用上の誤りが多い、あるいは実施者が統制内容や目的を正しく理解していないといった「運用の不備」です。
この区別は、評価の出発点を決めるうえで重要です。整備上の不備は、統制そのものが欠けているため、期間中ずっと同じリスクにさらされていたことを意味します。運用の不備は、統制は設計されているものの実施にばらつきがあった状態で、逸脱の頻度や原因によって影響の大きさが変わります。
開示すべき重要な不備とは
開示すべき重要な不備とは、実施基準の定義では、財務報告に重要な影響を及ぼす可能性が高い財務報告に係る内部統制の不備をいいます。期末日にこれが存在すると、経営者は内部統制報告書に「財務報告に係る内部統制は有効でない」旨と、その不備の内容および是正されない理由を記載しなければなりません。
この用語は、2011年（平成23年）3月の基準・実施基準の改訂で、それまでの「重要な欠陥」から改められたものです。「欠陥」という言葉が企業自体に欠陥があるとの誤解を招くおそれがあるとの指摘を受けた見直しで、判断の考え方そのものが変わったわけではありません。
「重要な不備」との違い
実務で混同されやすいのが、財務諸表監査で使われる「重要な不備」です。監査基準報告書265では、重要な不備を、監査人が職業的専門家として監査役等の注意を促すに値するほど重要と判断した内部統制の不備（またはその組合せ）と定義しています。日本公認会計士協会の財務報告内部統制監査基準報告書第1号（以下、内基報1。旧 監査・保証実務委員会報告第82号）は付録で両者の関係を整理し、開示すべき重要な不備は一般的に重要な不備に含まれるが、重要な不備のすべてが開示すべき重要な不備に該当するとは限らないとしています。
| 区分 | 根拠 | 判断の視点 | 主な帰結 |
|---|---|---|---|
| 内部統制の不備 | 実施基準・監基報265 | 統制が存在しない、または意図どおり運用されていない | 上位の管理者へ報告し是正 |
| 重要な不備 | 監基報265 | 監査役等の注意を促すに値するか（財務諸表監査の視点） | 監査人から監査役等へ書面等で報告 |
| 開示すべき重要な不備 | 実施基準 | 財務報告に重要な影響を及ぼす可能性が高いか | 期末日に存在すれば内部統制報告書で「有効でない」と開示 |
社内の不備管理で独自に「重要」「軽微」などの区分を設けることは有益ですが、制度上の区分との対応関係を定義しておかないと、会社と監査人の議論がかみ合わなくなります。
判定の全体像：4つのステップ
実施基準と、実施基準の監査の部分（Ⅲ.4(2)④）が示す業務プロセスの不備の検討手順を整理すると、判定はおおむね次の4ステップで進みます。実施基準は、この監査人の手順が経営者の評価に当たっても参考になるとしています。
| ステップ | 検討内容 | 主な問い |
|---|---|---|
| 1. 影響範囲 | 不備がどの勘定科目等に、どの範囲で影響を及ぼしうるか | 特定の商品だけか、拠点全体か、同じ手順を使う他拠点にも及ぶか |
| 2. 発生可能性 | 影響が実際に発生する可能性 | 逸脱の大きさ・頻度、原因、代替する統制の有無 |
| 3. 潜在的な影響額 | 範囲と可能性を勘案した金額、複数不備の合算 | 同じ勘定科目の不備は合わせるといくらか |
| 4. 重要性の判断 | 金額的重要性・質的重要性との比較 | 閾値を超えるか、投資判断に影響する記載事項か |
この順序には理由があります。最初に金額の閾値を見てしまうと、「サンプルで見つかった逸脱額は少額だから問題ない」という誤った結論に流れやすいからです。評価すべきは実際に見つかった誤りの額ではなく、統制が機能しなかった場合に起こりうる虚偽記載の大きさです。
重要性の基準：金額的重要性と質的重要性
金額的重要性の「5%」
実施基準は、開示すべき重要な不備の判断指針として、金額的な面と質的な面の双方を検討するとしています。金額的重要性は、連結総資産、連結売上高、連結税引前利益などに対する比率で判断し、これらの比率は画一的に適用するのではなく、業種、規模、特性など会社の状況に応じて適切に用いるとされています。
そのうえで注記として、例えば連結税引前利益についてはおおむねその5%程度とすることが考えられるが、最終的には財務諸表監査における金額的重要性との関連に留意する必要がある、と例示しています。また、指標は評価対象年度の実績値だけでなく、過去の一定期間の実績値の平均を含むこと、税引前利益が例年と比べて著しく小さい場合や負の場合には、監査人と協議のうえ比率の修正や指標の変更、特殊要因の除外がありうることも示されています。
なぜ財務諸表監査の重要性と揃えるのか
内部統制報告制度は、財務諸表の信頼性を確保するための仕組みです。財務諸表監査で「この金額以上の虚偽表示は重要」と判断される水準と、内部統制の評価で「この金額以上の虚偽記載をもたらしうる不備は重要」と判断する水準が大きくずれていると、両者の結論が矛盾しかねません。実施基準がわざわざ財務諸表監査の金額的重要性との関連に触れているのはこのためで、期初の段階で監査人と閾値の考え方を共有しておくことが実務上の要点になります。
質的重要性
金額が小さくても、開示すべき重要な不備に当たる場合があります。実施基準は質的な重要性の例として、上場廃止基準や財務制限条項に関わる記載事項などが投資判断に与える影響の程度や、関連当事者との取引や大株主の状況に関する記載事項などが財務報告の信頼性に与える影響の程度を挙げています。
たとえば、借入契約の財務制限条項の判定に使われる純資産額や利益額にかかわる不備は、金額が閾値を下回っていても、条項に抵触するかどうかという投資判断上の重要な事実を左右しえます。関連当事者取引の網羅的な識別に関する不備は、経営者による不正の温床にもなりうるため、金額以上の重みを持ちます。
業務プロセスの不備：影響額を見積もる
ステップ1：影響が及ぶ範囲を特定する
実施基準は、業務プロセスの不備が発見された場合、その不備がどの勘定科目にどの範囲で影響を及ぼすかを検討するとしています。例として、ある拠点の販売プロセスで問題が起きた場合、そのプロセスが拠点に横断的なら拠点全体の売上高に影響が及び、特定の商品に固有のプロセスならその商品の売上高だけに影響すると考えられる、と説明しています。さらに、他の拠点でも同じ手順書に基づいて同じ手順を使っているなら、影響はその拠点の売上高にも及ぶことが考えられるとしています。
ここで大切なのは、範囲の特定は「見つかった場所」ではなく「同じ仕組みが使われている場所」で決まるという点です。手順書やシステムが共通なら、不備の原因も共通である可能性が高いからです。
ステップ2：発生可能性を見積もる
次に、影響が実際に発生する可能性を検討します。実施基準は、サンプリングの結果を用いて統計的に導き出すことも考えられるが、それが難しい場合は、リスクの程度を定性的（例えば高・中・低）に把握し、それに応じてあらかじめ定めた比率を発生確率として適用することも考えられるとしています。発生可能性が無視できる程度に低い場合は、判定から除外することも考えられるとされています。
発生可能性の判断で留意する事項として、実施基準は次の3つを挙げています。
- 検出された例外事項の大きさ・頻度（規模が大きく頻度が高いほど可能性は高い）
- 検出された例外事項の原因（ルールは守られていたが不注意で誤った場合は、ルールがまったく守られていなかった場合より可能性は低い）
- ある統制と他の統制との代替可能性（他の統制が補完していれば可能性は低減される）
設例：購買プロセスの照合漏れ
冒頭の架空のモデルケースで、影響額の見積りを試算してみます。比率や閾値はあくまで説明用の仮定です。実際の比率は、自社の評価方針としてあらかじめ定め、監査人と合意しておく必要があります。
| 項目 | 設例の値 | 考え方 |
|---|---|---|
| 不備の内容 | 支払承認時に請求書と検収記録の金額照合が行われていない（25件中2件） | 運用の不備 |
| 影響範囲 | 同じ購買システムと手順書を使う本社・2工場の買掛金計上額 年間48億円 | 手順が共通のため3拠点全体 |
| 発生可能性 | サンプル結果から推定した上限逸脱率を用いる（25件中2件の場合、信頼度90%で約20%） | 統計的に導く方法 |
| 金額の誤り方 | 照合漏れの支払が全額誤りになるとは考えにくいため、過去の差異実績から誤り率を仮定（例：10%） | 評価方針で定めた仮定 |
| 潜在的な影響額 | 48億円 × 20% × 10% ＝ 9,600万円 | 補完統制考慮前 |
| 金額的重要性 | 連結税引前利益 30億円 × 5% ＝ 1億5,000万円 | 実施基準の例示に基づく仮の閾値 |
この設例では、潜在的な影響額は閾値を下回ります。ただし、これで結論ではありません。次の章で述べる不備の合算と補完統制の検討を経て、はじめて判定できます。なお、上限逸脱率の考え方は内部監査のサンプル数はなぜ25件なのかで解説しています。
補完統制と不備の合算
補完統制で影響を低減できるか
実施基準は、個々の統制を切り離して検討するのではなく、統制がいかに相互に連係して虚偽記載のリスクを低減しているかを検討する必要があるとし、ある不備を補う内部統制（補完統制）の有無と、補完統制がある場合にはそれが発生可能性と金額的影響をどの程度低減しているかを検討するとしています。
補完統制を主張するには、その統制自体が有効に整備・運用されていることを確かめる必要があります。設例でいえば、月次で仕入先ごとの買掛金残高を請求書の残高明細と照合する統制があり、一定額以上の差異を調査しているなら、照合漏れによる誤りを発見できる可能性があります。ただし、その月次照合の閾値が大きすぎれば、個々の誤りは見逃されます。補完統制が「どの大きさの誤りを、どの時点で発見できるか」まで具体的に説明できなければ、低減効果は限定的に見積もるべきです。
同じ勘定科目の不備は合算する
実施基準は、不備が複数存在する場合には、単独でまたは複数合わさって開示すべき重要な不備に該当しないかを評価するとし、同じ勘定科目に関係する不備をすべて合わせて判断するとしています。例として、売掛金残高は販売プロセスの信用販売と入金プロセスの代金回収の影響を受けるため、両方に不備がある場合は影響を合わせて評価しなければならない、と示しています。さらに、勘定科目ごとには重要でなくても、複数の勘定科目に係る影響を合わせると重要な虚偽記載に該当する場合があり、この場合も開示すべき重要な不備になるとしています。
合算の際は、影響額の重複を控除します。同じ誤りが2つの不備の両方に起因する場合、単純に足すと過大評価になるからです。不備一覧を勘定科目・アサーション別に集計できる形で管理しておくと、合算の作業が格段に楽になります（様式の例は【テンプレート】J-SOX不備一覧表で紹介しています）。
全社的な内部統制とITの不備
全社的な内部統制の不備
全社的な内部統制の不備は、業務プロセスの統制にも直接・間接に広範な影響を及ぼすため、金額で影響を測ることが難しい性質を持ちます。実施基準は、開示すべき重要な不備となる全社的な内部統制の不備として、例えば次のものを挙げています。
- 経営者が財務報告の信頼性に関するリスクの評価と対応を実施していない
- 取締役会または監査役等が財務報告の信頼性を確保するための内部統制の整備・運用を監督、監視、検証していない
- 財務報告に係る内部統制の有効性を評価する責任部署が明確でない
- 財務報告に係るITに関する内部統制に不備があり、それが改善されずに放置されている
- 内部統制の整備状況に関する記録を欠いており、取締役会または監査役等が有効性を監督、監視、検証できない
- 経営者や取締役会、監査役等に報告された全社的な内部統制の不備が合理的な期間内に改善されない
最後の項目は見落とされがちですが、重要です。個々には軽微な不備であっても、報告を受けた経営陣が合理的な期間内に対応しないこと自体が、統制環境の弱さを示すものとして扱われうるのです。全社統制の評価項目は全社的な内部統制の評価方法で解説しています。
ITに係る全般統制の不備
実施基準は、ITに係る全般統制の不備は、財務報告の重要な事項に虚偽記載が発生するリスクに直接つながるものではないため、直ちに開示すべき重要な不備と評価されるものではないとしています。ただし、全般統制に不備があれば、業務処理統制が有効に設計されていても、その有効な運用を継続的に維持できない可能性があり、虚偽記載のリスクは高まります。
そのため、全般統制の不備を識別したら、影響を受ける業務処理統制を特定し、その統制が期間を通じて有効に機能していたことを別の手続で確かめられるかを検討します。ITに係る業務処理統制の不備については、業務プロセスの不備と同様に影響度と発生可能性を評価し、原因がITに関する部分にある場合は同じ種類の誤りが繰り返されている可能性に留意します（ITACとITGCの違い参照）。
評価結果の記録と報告
報告のルート
実施基準は、評価の過程で識別した不備（開示すべき重要な不備を含む）は、その内容、財務報告全体に及ぼす影響金額、対応策などとともに、識別した者の上位の管理者等にすみやかに報告して是正を求め、開示すべき重要な不備（必要に応じて不備）は、経営者、取締役会、監査役等および会計監査人に報告する必要があるとしています。
不備評価シートの記入例
評価の過程を1枚にまとめると、監査人との協議や翌年度の引継ぎで役立ちます。以下は架空の記入例です。
| 項目 | 記入例 |
|---|---|
| 不備番号・発見日 | D-2026-014 ／ 1月20日（運用テスト） |
| 統制・プロセス | P-07 支払承認時の三点照合（購買） |
| 不備の区分 | 運用の不備（25件中2件で照合未実施） |
| 原因 | 繁忙期に承認者が照合を省略。手順書に照合の証跡要件が未記載 |
| 影響範囲 | 本社・第1工場・第2工場の買掛金（同一手順・同一システム） |
| 発生可能性・根拠 | 上限逸脱率約20%（信頼度90%）、誤り率10%（過去3年の差異実績） |
| 補完統制 | 月次の仕入先残高照合（閾値500万円）。低減効果は限定的と判断 |
| 合算 | 買掛金に関係する他の不備（D-2026-009）と合算、重複控除後 1億1,200万円 |
| 重要性判断 | 金額的重要性1億5,000万円を下回る。質的重要性の該当なし |
| 結論 | 開示すべき重要な不備に該当しない。是正期限2月末、是正後に再テスト |
| 報告 | 経理担当役員・監査役等・会計監査人に2月2日報告 |
よくある失敗と対策
失敗1：発見された誤りの額だけで判断する
サンプルで見つかった誤りが少額だから軽微、と判断するのは典型的な誤りです。評価すべきは、統制が機能しなかったことによって母集団全体に生じうる虚偽記載の大きさです。影響範囲と発生可能性から潜在的な影響額を見積もる手順を、評価方針に明記しておきます。
失敗2：不備を個別に評価して終わる
不備一覧を発見順に並べるだけで、勘定科目別に集計していないケースです。同じ勘定科目に関係する不備を合算しなかったために、後から監査人に指摘されることがあります。一覧に勘定科目・アサーションの列を設け、四半期ごとに集計する運用が有効です。
失敗3：補完統制を根拠なく持ち出す
「上長が月次でチェックしているから大丈夫」と主張しても、そのチェックが有効に運用されていることを確かめていなければ、補完統制としては認められにくくなります。補完統制を主張するなら、その統制もテストし、どの大きさの誤りを発見できるかを説明できるようにしておきます。
失敗4：判定の直前まで監査人と協議しない
発生可能性の比率や合算の方法は判断の幅が大きく、期末直前に見解が分かれると是正の時間がなくなります。評価方針の段階で考え方を共有し、不備を識別したら早めに相談することが重要です（監査法人との連携参照）。
よくある質問
開示すべき重要な不備が見つかったら、必ず「有効でない」と報告することになりますか？
実施基準は、開示すべき重要な不備が発見された場合でも、それが評価時点（期末日）までに是正されていれば、財務報告に係る内部統制は有効であると認めることができるとしています。是正後の運用を確かめる期間が必要になるため、早期の発見と是正計画が重要です。手順は不備の是正とロールフォワードで解説しています。
税引前利益が赤字の年はどうすればよいですか？
実施基準は、例年と比べて連結税引前利益が著しく小さい場合や負になった場合には、必要に応じて監査人と協議のうえ、比率の修正や指標の変更を行うことや、特殊要因を除外することがありうるとしています。過去の一定期間の平均を用いることも示されています。
評価範囲外で不備が見つかった場合はどう扱いますか？
2023年の実施基準改訂では、開示すべき重要な不備が識別された場合には、識別された時点を含む会計期間の評価範囲に含めることが適切である旨が明確化されました。評価範囲外であっても、財務報告への影響を踏まえて評価範囲の見直しを検討する必要があります（評価範囲の考え方はJ-SOXの評価範囲の決め方参照）。
発生可能性の比率は何%にすればよいですか？
実施基準は、リスクの程度を定性的に把握し、あらかじめ定めた比率を発生確率として適用することも考えられるとしていますが、具体的な比率は示していません。自社の評価方針で定義し、その根拠を記録したうえで、監査人と事前に合意しておくことが望まれます。
まとめ
不備の評価は、「見つかった誤りの大きさ」ではなく「統制が機能しなかったときに起こりうる虚偽記載の大きさ」を見積もる作業です。影響範囲、発生可能性、補完統制、同じ勘定科目での合算という順序を踏み、金額的・質的重要性に照らして判断します。どの段階でも仮定と根拠を記録しておくことが、監査人との協議を円滑にし、判断のぶれを防ぎます。
次の一歩として、自社の評価方針に「発生可能性の比率の決め方」「合算の単位」「補完統制を認める条件」を明記し、不備一覧を勘定科目別に集計できる形に整えてみてください。逸脱を見つける前段の手順は運用状況評価（運用テスト）の手順、内部統制報告書での記載は内部統制報告書の書き方で解説しています。最終的な判定は、自社の状況と監査人との協議を踏まえて行ってください。
不備評価の方針づくりや評価シートの整備についてのご相談は、お問い合わせからお寄せください。
参考資料
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査に関する実施基準」（2023年4月改訂）Ⅱ.1②「開示すべき重要な不備の判断指針」、Ⅱ.3(4)「内部統制の有効性の判断」、Ⅲ.4(2)④「業務プロセスに係る内部統制の不備の検討」
- 日本公認会計士協会 財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」（旧 監査・保証実務委員会報告第82号） https://jicpa.or.jp/specialized_field/82.html
- 日本公認会計士協会 監査基準報告書265「内部統制の不備に関するコミュニケーション」
