評価担当者は、ある日の受注1件を選び、その伝票番号を手がかりに業務を追いかけていました。営業担当者が受注を入力し、与信限度額のチェックがかかり、出荷指示が出て、請求書が発行され、売上が計上される。RCMには「与信限度額を超える受注は、営業部長の承認がなければ出荷指示に進めない」と書かれています。
ところが販売管理システムの画面を一緒に見ていくと、限度額超過の警告は表示されるものの、担当者が理由を入力すれば出荷指示に進めてしまう設定になっていました。営業部長の承認は、翌週にまとめて行う事後確認に変わっていたのです。規程も3点セットも前年度のまま。誰も嘘をついていないのに、文書と実際の仕組みが少しずつずれていました（本記事の事例はすべて架空のモデルケースです）。
このずれを見つけるのが、整備状況評価の役割です。運用テストで25件のサンプルを完璧に検証しても、統制の設計そのものがリスクに対応していなければ意味がありません。この記事では、整備状況評価の判断基準と、その中心的な手続であるウォークスルーの進め方、そして後から第三者が検証できる記録の残し方を解説します。
この記事の要点
- 整備状況評価は、統制が規程や方針どおりに運用された場合に、虚偽記載のリスクを十分に低減できる設計になっているかを、閲覧・質問・観察等で判断する手続です
- ウォークスルーは、代表的な取引を1件以上選び、取引の開始から財務諸表への計上までを記録で追跡する手続で、監査人にとって有用な手続とされています
- 経営者にとってウォークスルーは必須ではありませんが、3点セットと実態のずれを見つける効率的な方法です
- 統制ごとに「誰が・いつ・何を見て・どの基準で・どう対処し・何を残すか」を確認し、実在性・網羅性などの要件との対応を記録します
- 前年度から重要な変更がない統制は、一定の条件のもとで前年度の評価結果を継続利用できます
整備状況評価とは何か：設計を確かめる手続
実施基準の定義
金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」（以下、実施基準）は、業務プロセスに係る内部統制の整備状況の有効性の評価について、識別した統制上の要点が適切に整備され、適切な財務情報を作成するための要件を確保する合理的な保証を提供できているかを、関連文書の閲覧、従業員等への質問、観察等を通じて判断するとしています。
判断の物差しは、内部統制が規程や方針に従って運用された場合に、財務報告の重要な事項に虚偽記載が発生するリスクを十分に低減できるものとなっているか、です。つまり整備状況評価は「設計の評価」であり、「実際に毎回行われているか」を確かめる運用状況評価とは問いが異なります。
確認すべき5つの留意点
実施基準は、整備状況の評価で留意する事項として次の点を例示しています。
- 内部統制は、不正又は誤謬を防止又は適時に発見できるよう適切に実施されているか
- 適切な職務の分掌が導入されているか
- 担当者は、内部統制の実施に必要な知識及び経験を有しているか
- 内部統制に関する情報が、適切に伝達され、分析・利用されているか
- 内部統制によって発見された不正又は誤謬に適時に対処する手続が設定されているか
最後の項目は見落とされがちです。差異を検出する仕組みがあっても、検出後に誰がどう対応するかが決まっていなければ、統制はリスクを低減しません。冒頭の事例でいえば、警告は出るが対処の手続が事後確認に変わっていた点が、まさにこの項目に当たります。
6つの要件との対応
実施基準は、統制が確保すべき「適切な財務情報を作成するための要件」として、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の6つを挙げています。整備状況評価では、統制がどの要件に対応しているかを確かめます。
たとえば「出荷データと請求データの照合」は網羅性と期間配分の適切性に効きますが、実在性（架空の受注）には効きません。1つの統制ですべての要件をカバーすることはできないため、プロセス全体として要件が漏れなく確保されているかを見る必要があります。統制の網羅性の確認方法はRCMの記入例で解説しています。
なぜ運用評価より先に行うのか
設計に欠陥がある統制を運用テストしても、「欠陥のある手続が毎回きちんと行われていた」ことが確かめられるだけです。整備状況評価で不備が見つかれば、その統制は運用テストの前に再設計が必要になり、評価計画も変わります。年間計画で整備状況評価を運用評価より前の第2四半期に置くのはこのためです（J-SOX評価の年間スケジュールを参照）。
ウォークスルーの位置づけ：必須ではないが有用な理由
実施基準とQ&Aの整理
実務で「整備状況評価＝ウォークスルー」と呼ばれることは多いのですが、基準上の位置づけは少し異なります。実施基準の経営者評価の部分にウォークスルーという言葉は出てきません。監査人の手続を定めた部分に、監査人が整備状況の理解を確実なものとするうえで、評価対象となった業務プロセスごとに代表的な取引を1つあるいは複数選んで、取引の開始から取引記録が財務諸表に計上されるまでの流れを内部統制の記録等により追跡する手続を実施することが有用である、と書かれています。
金融庁の「内部統制報告制度に関するQ&A」（問33）は、この追跡手続について、監査人にとって有用な手続ではあるが、経営者が必ず実施しなければならない手続とはされておらず、経営者が実施しないことが直ちに監査人の指摘の対象になることはないと説明しています。
日本公認会計士協会の財務報告内部統制監査基準報告書第1号は、整備状況の検討に用いる監査手続として、質問、観察、関連する記録や文書の閲覧、ウォークスルーを挙げ、ウォークスルーを「取引の開始から取引記録が財務諸表に計上されるまでの流れを内部統制の記録等により追跡する手続」と説明しています。そのうえで、監査人がウォークスルーを実施する場合には、経営者が実施した評価の記録等を基礎として実施することが適当と考えられるとしています。
それでも経営者がウォークスルーを行う理由
必須ではないのに、多くの会社がウォークスルーを整備状況評価の中心に据えるのは、次の理由からです。
第1に、3点セットと実態のずれを最も効率的に発見できます。文書の閲覧と質問だけでは、回答者が文書どおりに説明してしまうと、冒頭の事例のようなシステム設定の変更には気づけません。1件の実取引を追うと、記録の有無という客観的な事実でずれが表面化します。
第2に、監査人の手続の基礎になります。上記のとおり、監査人は経営者の評価記録を基礎にウォークスルーを行うことが適当とされています。経営者側の記録が取引単位で具体的であれば、監査人の手続も効率的に進みます。監査人との連携については監査法人との連携で解説しています。
第3に、評価者自身の理解が深まります。運用テストでどの証跡を見ればよいか、母集団をどう定義すればよいかは、1件を最後まで追った経験から具体的に決まります。
ウォークスルーの進め方：5つの手順
手順1：準備
最新の3点セット、前年度の整備状況評価調書、当年度の変更情報（組織変更、システム改修、規程改定、担当者交代）を集めます。変更があった部分は、ウォークスルーで重点的に確認する箇所として事前に印を付けておきます。3点セットの作り方はJ-SOX 3点セットの作り方を参照してください。
手順2：取引の選定
業務プロセスごとに代表的な取引を1件以上選びます。「代表的」とは、最も件数の多い通常の流れを通る取引という意味です。そのうえで、例外処理（与信超過、値引、返品、手入力の仕訳など）の流れが統制上重要であれば、例外の取引も別に1件選ぶと、統制の抜けを見つけやすくなります。選定した取引は、伝票番号や取引日で特定できるよう記録します。
手順3：取引の開始から計上までを追跡する
選んだ取引について、開始、承認、記録、処理、報告の各段階を、実際の記録を見ながら順に追います。実施基準が経営者に求める「取引の流れの把握」、すなわち取引の開始、承認、記録、処理、報告を含む取引の流れと、取引の発生から集計・記帳といった会計処理の過程の理解を、1件の実例で確かめる作業です。
手順4：統制上の要点ごとに設計を確認する
流れの途中にある統制上の要点で立ち止まり、実施者への質問、画面や設定の観察、証跡の閲覧を組み合わせて設計を確かめます。質問だけで終わらせず、「今の説明は、この取引のどの記録で確認できますか」と記録に結びつけることが要点です。質問の組み立て方は監査インタビューの技術を参考にしてください。
手順5：結論と文書の更新
統制ごとに整備状況の結論（有効／不備あり）を記録し、ずれが見つかった場合は3点セットを実態に合わせて更新するか、統制の再設計を依頼します。文書を実態に合わせる場合も、その実態がリスクを十分に低減しているかを改めて判断する必要があります。「文書を直せば終わり」ではない点に注意してください。
統制ごとの確認観点：何を見れば「設計は有効」と言えるか
統制の属性チェック表
統制上の要点ごとに、次の観点で設計を確認します。1行でも答えられない項目があれば、設計が曖昧である可能性があります。
| 観点 | 確認する問い | 設計不備の兆候 |
|---|---|---|
| 対応するリスクと要件 | どの虚偽記載リスクと、6つの要件のどれに対応しているか | 統制の目的を実施者が説明できない |
| 実施者と権限 | 誰が実施し、その人は必要な権限・知識・経験を持つか | 承認者が取引の起票者と同一 |
| 頻度とタイミング | いつ実施し、誤りを適時に防止・発見できるタイミングか | 月次のレビューが翌月末以降にずれ込む |
| 精度と基準 | 何を比較し、どの閾値で差異として扱うか | 「内容を確認」とだけあり、確認の基準がない |
| 使用する情報 | レビューで使う帳票やデータは正確かつ網羅的か | 手作業で加工したExcelを検証なしで使用 |
| 例外への対処 | 差異や異常を見つけた後、誰がどう対応し、どう記録するか | 差異を検出しても対応手順が決まっていない |
| 証跡 | 実施した事実と結果を後から確認できる記録が残るか | 承認印のみで、何を確認したかが分からない |
| IT依存 | 自動化された統制や設定に依存しているか、ITGCは有効か | システム設定の変更履歴を誰も管理していない |
「使用する情報」の観点は特に重要です。レビュー型の統制は、見ている帳票が不完全であれば、レビューがどれだけ丁寧でも誤りを見逃します。システムから出力されるレポートの信頼性はIT全般統制と業務処理統制に支えられ、手作業で加工したスプレッドシートにはその裏付けがありません。前者はITACとITGCの違い、後者はEUC（Excel等）統制の評価で詳しく扱います。
自動化された統制の整備状況
実施基準は、ITに係る業務処理統制として、入力情報の完全性・正確性・正当性、エラーデータの修正と再処理、マスタ・データの正確性、アクセス管理などを挙げています。自動化された統制の整備状況評価では、設定画面やパラメータの閲覧、テストデータや実データによる動作の確認を通じて、統制が設計どおりに組み込まれていることを確かめます。
また実施基準は、ITに係る全般統制が有効と評価されても、それだけで業務処理統制も有効という結論には至らない点に留意するよう求めています。自動化統制は、ITGCの有効性を前提に、統制そのものの設定を別に確認する必要があります。
記録の残し方：第三者が検証できる調書にする
実施基準が挙げる記録
実施基準は、記録し保存する事項の例として、重要な勘定科目や開示項目に関連する業務プロセスの概要、各業務プロセスにおける虚偽記載リスクとそれを低減する統制の内容（6つの要件との関係やITを利用した統制を含む）、その統制の整備及び運用の状況、評価手続と結果、発見した不備と是正措置を挙げています。記録の形式は一律に規定されず、企業が作成・使用している記録を利用し、必要に応じて補足すれば足りるとされています。
保存期間について、実施基準は、金融商品取引法上は有価証券報告書と添付書類の縦覧期間（5年）を勘案し、同程度の期間保存することが考えられるとしています。記録・保存にあたっては、後日第三者による検証が可能となるよう、関連する証拠書類を適切に保存する必要があります。
ウォークスルー記録の記入例
以下は、販売プロセスのウォークスルー記録の記入例です（架空のモデルケース）。社内様式の設計にはウォークスルー記録シートのテンプレートも利用できます。
| 項目 | 記入例 |
|---|---|
| 評価対象 | 販売プロセス（国内販売子会社A）／評価年度2026年度 |
| 実施日・実施者 | 2026年7月14日／内部監査部 評価担当B（販売業務から独立） |
| 対象取引 | 受注番号 SO-26-04518（2026年6月3日、通常取引）、受注番号 SO-26-04770（与信超過の例外取引） |
| 参照文書 | 業務記述書 v2026.1、フローチャート SA-FC-01、RCM 統制ID SA-01〜SA-07 |
| 追跡した記録 | 受注入力画面、与信チェックログ、出荷指示書、出荷実績データ、請求書控、売上仕訳 |
| 統制SA-03（与信承認） | 設計上は超過時に営業部長の事前承認が必要。実際は理由入力で出荷指示に進める設定で、部長承認は翌週の事後確認。事前承認の設計を満たしていない |
| 統制SA-05（出荷・請求照合） | 日次の照合リストを閲覧。差異2件の調査記録と経理課長の承認を確認。設計どおり |
| 質問相手 | 営業事務C（6/3受注の入力者）、営業部長D、情報システム部E（設定変更履歴） |
| 結論 | SA-03は整備状況に不備あり。その他の統制は有効 |
| 対応 | SA-03を不備一覧に登録（ID D-2026-011）。システム設定の変更経緯を確認中。RCMを実態に合わせて修正し、再設計案を営業本部に依頼 |
| 証跡の保存 | 画面キャプチャ、ログ出力、証憑写しを評価フォルダ SA/2026/WT に保存 |
「追跡した記録」と「統制ごとの確認結果」を、取引番号で結びつけて書くことがポイントです。「担当者に確認し問題なし」という書き方では、第三者は何を見て有効と判断したのかを再現できません。証拠の十分性の考え方は監査証拠の十分性と適切性を参照してください。
前年度の評価結果を継続利用する場合
実施基準は、整備状況の評価は原則として毎期実施するとしつつ、全社的な内部統制の評価結果が有効である場合には、財務報告の信頼性に特に重要な影響を及ぼすものを除き、前年度の評価結果が有効で整備状況に重要な変更がない統制について、その旨を記録することで前年度の結果を継続利用できるとしています。
継続利用する場合も、「重要な変更がない」ことをどう確かめたかの記録が必要です。担当者への質問、規程の改定履歴、システムの変更管理記録などを確認し、確認日と確認先を調書に残します。「前年度と同じ」とだけ書いた調書は、継続利用の根拠として不十分です。
整備状況の不備を見つけたとき
不備の典型パターン
整備状況評価で見つかる不備は、おおむね次の4つに分類できます。統制そのものが存在しない、統制はあるがリスクに対応していない（タイミングが遅い、精度が粗い）、実施者の権限や職務分掌が不適切、統制が依存する情報や設定の信頼性が確保されていない、の4つです。
不備が見つかったら、補完する統制がないかを確認します。たとえば与信承認が事後確認になっていても、月次で与信超過先の回収状況を経理部がモニタリングしていれば、リスクの一部は低減されている可能性があります。補完統制の有無と、それがどの程度リスクを低減しているかも記録したうえで、不備の重要性を評価します。評価の手順は内部統制の不備の評価で解説します。
運用評価への影響
整備状況に不備がある統制は、そのままの設計では運用テストを行っても有効とは結論づけられません。再設計後の統制について改めて整備状況を評価し、その後に運用テストを行う必要があります。再設計が期末日までに間に合うか、是正後の運用実績を確認する期間があるかを早めに判断することが、年間計画を守るうえで重要です。運用テストの手順は運用状況評価（運用テスト）の手順で扱います。
よくある失敗と対策
失敗1：質問だけで結論を出す
担当者の説明が文書どおりでも、実態が同じとは限りません。質問した内容は、必ず1件以上の実記録で裏付けてから結論を書く運用にします。
失敗2：通常の流れだけを追う
統制の抜けは例外処理に潜んでいることが多くあります。値引、返品、手入力、マスタ変更など、統制上重要な例外の流れは別の取引で追跡します。
失敗3：文書を実態に合わせて終わりにする
実態に合わせて3点セットを直した結果、統制の設計が弱くなっていることがあります。文書を更新したら、更新後の設計がリスクを十分に低減しているかを改めて判断します。
失敗4：「前年度と変更なし」の根拠がない
継続利用の根拠となる確認手続と確認先を記録していないと、監査人が評価結果を利用できません。変更有無の確認手続を様式に組み込んでおきます。
失敗5：レビュー統制の「精度」を確認しない
「月次で内容を確認」という統制は、何をどの閾値で見ているかが分からなければ、リスクを低減しているか判断できません。比較対象、閾値、差異の調査手順を実施者に確認し、記録します。
よくある質問
ウォークスルーは統制ごとに1件で足りますか？
実施基準とJICPAの報告書が示すのは、業務プロセスごとに代表的な取引を1つあるいは複数選ぶ方法です。件数に決まりはありませんが、統制上重要な例外処理や、拠点・システムによって流れが異なる場合は、流れごとに取引を選ぶと設計の違いを確認できます。
整備状況評価とウォークスルーは同じものですか？
同じではありません。整備状況評価は、閲覧・質問・観察等を通じて設計の有効性を判断する評価全体を指し、ウォークスルーはその中で使われる手続の1つです。経営者にとってウォークスルーは必須ではありませんが、有効な方法として広く使われています。
整備状況評価は毎年必要ですか？
原則として毎期実施します。ただし、全社的な内部統制が有効で、前年度の評価結果が有効かつ整備状況に重要な変更がない統制（財務報告の信頼性に特に重要な影響を及ぼすものを除く）は、その旨を記録して前年度の結果を継続利用できます。
小規模な会社で3点セットがない場合はどうすればよいですか？
Q&A（問32）は、実施基準の参考例と同じ3点セットを作成しなければならないわけではなく、既存の業務マニュアルや規程を利用し、必要に応じてリスクと統制の対応表を作成して整理することも一法としています。記録の形式より、リスクと統制の対応と評価の過程が第三者に分かることが重要です。
まとめ
整備状況評価は、統制が「規程どおりに運用されたらリスクを十分に低減できるか」を確かめる設計の評価です。ウォークスルーは経営者にとって必須ではありませんが、1件の実取引を記録で追うことで、3点セットと実態のずれを客観的に見つけられる有効な手続です。統制ごとに実施者、タイミング、精度、使用する情報、例外対応、証跡を確認し、取引番号と結びつけて記録してください。
次の一歩として、今年度に変更があった業務プロセスを1つ選び、例外処理を含む2件の取引でウォークスルーを実施してみてください。評価範囲の決め方はJ-SOXの評価範囲の決め方で解説しています。
整備状況評価の実施や記録様式の整備の支援をご希望の場合は、お問い合わせからご相談ください。
参考資料
- 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 金融庁「内部統制報告制度に関するＱ＆Ａ」等の改訂について（2023年8月31日） https://www.fsa.go.jp/news/r5/sonota/20230831-2/20230831-2.html
- 日本公認会計士協会 財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」
