月曜日の朝、経理部の支払担当者の受信箱に、長年取引のある部品メーカーからメールが届きます。「振込先口座を変更しました。今月分から新しい口座にお願いします」。署名もロゴもいつもどおりです。担当者は仕入先マスタの口座情報を書き換え、月末の支払データを作成しました。
翌月、部品メーカーの営業担当者から電話が入ります。「先月分の入金がまだのようですが」。メールは取引先を装った第三者からのものでした。発注も検収も請求書も正しかったのに、最後の1ステップで代金は別の口座へ流れていたのです（本記事の事例はすべて架空のモデルケースです）。
購買プロセスは、販売プロセスに比べて注目されにくい一方で、会社のお金が外に出ていく入口です。誤りは費用や在庫の金額を狂わせ、不正は直接の資金流出につながります。この記事では、購買依頼から支払までを段階に分け、それぞれのリスクと統制を、RCM（リスク・コントロール・マトリクス）の記入例とあわせて整理します。
この記事の要点
- 購買プロセスは、実施基準が棚卸資産に至る業務プロセスの一つとして挙げる「購入プロセス」にあたり、仕入・買掛金・費用の金額を左右します
- 発注書・検収記録・請求書の3点照合は、「頼んだもの」「届いたもの」「請求されたもの」の一致を確かめる、購買統制の中心です
- 不正リスクは、架空仕入先、分割発注による承認回避、仕入先の口座変更に集中します。仕入先マスタの管理は独立した統制として評価します
- 取適法（2026年1月施行）では、給付の受領日から60日以内に支払期日を定める義務が続き、手形払が禁止されました。検収日起算の運用は見直しが必要です
- サービスや費用の購買は「検収」が曖昧になりやすく、期末の未払計上漏れに注意が必要です
購買プロセスとは｜J-SOXでの位置づけ
「3勘定」の外にあるのに評価される理由
金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」（以下「実施基準」）は、一般的な事業会社の「企業の事業目的に大きく関わる勘定科目」として、原則として売上、売掛金及び棚卸資産の3勘定を例示しています。買掛金や仕入はこの例示に含まれていません。それでも購買プロセスが評価対象になることが多いのには理由があります。
実施基準は、棚卸資産に至る業務プロセスには、販売プロセスのほか、在庫管理プロセス、期末の棚卸プロセス、購入プロセス、原価計算プロセス等が関連してくると述べています。そのうえで、どこまでを評価対象とするかは、企業の特性等を踏まえ、虚偽記載の発生するリスクが的確に捉えられるよう適切に判断する必要があるとしています。商品や原材料を仕入れる会社では、購買の誤りがそのまま棚卸資産と売上原価の誤りになるため、購入プロセスを評価範囲に含めるのが自然です。評価範囲の決め方は「J-SOXの評価範囲の決め方」で解説しています。
購買の対象は3種類に分けて考える
購買プロセスと一口に言っても、何を買うかでリスクは大きく変わります。
| 購買の種類 | 例 | 主な勘定 | 特有のリスク |
|---|---|---|---|
| 商品・原材料 | 仕入商品、部品、原料 | 棚卸資産、買掛金、売上原価 | 数量・単価の誤り、期末の受入カットオフ |
| 設備・資産 | 機械装置、ソフトウェア | 有形・無形固定資産、未払金 | 資産計上と費用処理の区分、取得日の誤り |
| サービス・経費 | 外注、業務委託、広告、保守 | 費用、未払金、前払費用 | 役務の完了確認が曖昧、未払計上漏れ |
J-SOXの評価範囲に入るのは、多くの場合、商品・原材料の購買です。ただし、外注費が売上原価の大きな割合を占める会社や、多額の設備投資を行う会社では、サービスや設備の購買も重要なリスクを抱えます。どの購買を評価対象とするかは、金額とリスクに基づいて判断し、その理由を記録しておきましょう。
購買プロセスの段階とリスク
6つの段階に分ける
購買プロセスは、購買依頼、仕入先の選定と登録、発注、検収（受入）、請求書の照合と計上、支払の6段階に分けると、リスクを洗い出しやすくなります。
| 段階 | 主な業務 | 起こりうる誤り（リスクの例） | 主に関係する要件 |
|---|---|---|---|
| 購買依頼 | 必要部門による依頼、予算確認 | 不要な購買、予算外の購買 | 実在性 |
| 仕入先の選定・登録 | 見積比較、取引先審査、マスタ登録 | 架空仕入先の登録、関係者との不適切な取引、口座情報の改ざん | 実在性 |
| 発注 | 発注書の作成・承認 | 承認のない発注、分割による承認回避、単価の誤り | 実在性、評価の妥当性 |
| 検収（受入） | 納品物の数量・品質の確認、入庫記録 | 未着品の受入計上、数量誤り、期末前後の受入日の誤り | 実在性、網羅性、期間配分の適切性 |
| 請求書照合・計上 | 請求書と発注・検収の照合、買掛金計上 | 二重計上、計上漏れ、発注と異なる単価での計上 | 網羅性、実在性、評価の妥当性 |
| 支払 | 支払データの作成・承認、振込 | 二重払、架空の支払、振込先の誤り | 実在性 |
表の要件は、実施基準の6つの要件（実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性）のうち特に関係が深いものを示しています。
購買は「網羅性」が弱点になりやすい
販売プロセスでは売上を大きく見せる方向、つまり実在性のリスクが注目されます。購買プロセスでは、それとは逆に、費用や負債を小さく見せる方向のリスク、つまり網羅性が問題になりやすい点が特徴です。受け取った請求書を期末に計上しない、検収したのに入庫記録を残さない、といった誤りは、利益を大きく見せる効果を持ちます。期末の未払計上と受入のカットオフは、購買プロセスで最も注意したい論点の一つです。
3点照合はなぜ効くのか
「頼んだもの」「届いたもの」「請求されたもの」
購買統制の中心にあるのが、発注書・検収記録・請求書の3つを照合する、いわゆる3点照合（スリーウェイ・マッチング）です。それぞれの書類は、異なる部門が異なる時点で作成します。発注書は購買部門が、検収記録は倉庫や使用部門が、請求書は仕入先が作ります。
この照合が強力なのは、3つの書類の作成者が互いに独立しているからです。購買担当者が架空の発注を作っても、倉庫で受入の記録がなければ照合は通りません。仕入先が水増しした請求書を送ってきても、発注単価と検収数量に一致しなければ支払は止まります。1人の担当者が単独で誤りや不正を完結させにくい構造を、書類の照合によって作っているのです。
照合の許容差と例外処理
システムで3点照合を自動化している場合、実務上は単価や数量にわずかな差を許容する設定（許容差）を置くことが多くあります。ここに評価のポイントがあります。許容差が大きすぎれば、照合は形だけになります。また、照合で不一致となった取引を手作業で「解除」する権限が誰にあり、その記録が残るかも重要です。自動統制の強さは、例外を処理する手作業の統制で決まると言っても過言ではありません。
RCM記入例｜購買依頼から支払まで
以下は、商品・原材料の購買を想定したRCM記入例です。RCMの列構成と網羅性の確かめ方は「RCMの記入例」を、3点セット全体の作り方は「J-SOX3点セットの作り方」をご覧ください。
| 統制No. | 段階 | リスク | 統制の内容 | 頻度 | 手作業/自動 | 主な要件 |
|---|---|---|---|---|---|---|
| P-01 | 仕入先登録 | 架空または不適格な仕入先が登録される | 新規仕入先の登録は購買部門の申請と管理部門の審査（登記情報・取引先審査）を経て、購買部長が承認する。登録権限は管理部門に限定されている | 随時 | 手作業＋自動 | 実在性 |
| P-02 | 仕入先登録 | 振込口座が不正に変更される | 口座変更は仕入先からの書面による届出を受け、登録済みの連絡先へ電話で確認したうえで管理課長が承認する。財務課長が月次でマスタ変更履歴をレビューする | 随時／月次 | 手作業 | 実在性 |
| P-03 | 発注 | 承認のない発注や権限外の発注が行われる | 購買システムは金額に応じた承認者の承認がない発注書を発行しない | 随時 | 自動 | 実在性 |
| P-04 | 発注 | 分割発注で承認基準を回避する | 購買課長が月次で同一仕入先・同一品目への短期間の複数発注を抽出し、分割の有無を確認する | 月次 | 手作業 | 実在性 |
| P-05 | 検収 | 未着品や数量違いが受入計上される | 倉庫担当者が納品書と現品を照合し、検収数量をシステムに入力する。発注数量を超える受入は入力できない | 随時 | 手作業＋自動 | 実在性・評価の妥当性 |
| P-06 | 計上 | 発注・検収と異なる請求内容で買掛金が計上される | 購買システムが発注・検収・請求の数量と単価を照合し、許容差を超える不一致は計上を保留する。保留の解除は経理課長の承認を要する | 随時 | 自動＋手作業 | 評価の妥当性・実在性 |
| P-07 | 計上 | 期末に受領した物品・役務の債務が計上されない | 経理担当者が期末日前後の検収記録と買掛金計上を照合し、未計上分を未払計上する。経理課長が照合結果をレビューする | 月次（期末重点） | 手作業 | 網羅性・期間配分の適切性 |
| P-08 | 支払 | 二重払や計上されていない債務への支払 | 支払データは計上済みの買掛金からのみ作成され、同一請求書番号の二重登録はシステムで制止される | 随時 | 自動 | 実在性 |
| P-09 | 支払 | 承認のない支払が実行される | 支払データの作成者と異なる財務課長が支払一覧と承認済み買掛金を照合し、インターネットバンキングで承認する | 支払日ごと | 手作業 | 実在性 |
| P-10 | 残高 | 買掛金残高が仕入先の認識と一致しない | 経理担当者が主要仕入先の請求書残高や取引明細と買掛金残高を照合し、差異を調査する | 月次 | 手作業 | 網羅性・実在性 |
記入のポイント
P-02の口座変更の統制は、冒頭のモデルケースに対応します。取引先を装ったメールによる口座変更の依頼は、メールの見た目だけでは真偽を判断できません。ポイントは、依頼が届いた経路とは「別の経路」で確認することです。メールに書かれた電話番号ではなく、仕入先マスタに以前から登録されている連絡先に確認するよう手順に明記します。
P-07は網羅性の統制です。購買プロセスのRCMは実在性の統制ばかりが並びがちなので、「計上されるべきものが計上されているか」を確かめる統制が少なくとも1つあるかを確認してください。
サービス・経費の購買｜「検収」が見えにくい領域
役務の完了をどう確かめるか
物品の購買なら、倉庫で現物を数えれば検収できます。しかし業務委託や広告、コンサルティングといったサービスの購買では、「何をもって受け取ったとするか」が曖昧になりがちです。発注した部門の担当者が請求書に押印して検収に代えている会社も多く、その場合、発注者と検収者が同一人物になり、3点照合の前提である独立性が崩れます。
対策としては、成果物（報告書、作業報告書、稼働実績）の提出を検収の条件にすること、一定額以上の役務は発注者と異なる上長が完了を確認すること、そして役務の期間が期をまたぐ場合に前払・未払の区分を経理部が確認することが挙げられます。
期末の未払計上
サービスの購買では、役務の提供を受けてから請求書が届くまでに時間がかかることがあります。期末日までに提供を受けた役務の請求書が期末後に届く場合、当期の費用として未払計上する必要があります。期末後の一定期間に届いた請求書を一覧にし、役務の提供時期を確認する手続は、未払計上漏れを見つける有効な方法です。
不正リスクと職務分掌｜仕入先マスタが要になる
購買で起きやすい不正の類型
| 不正の類型 | 手口の例 | 兆候（レッドフラグ）の例 | 対応する統制・分析 |
|---|---|---|---|
| 架空仕入先 | 実在しない仕入先を登録し、架空の請求で支払う | 住所が私書箱、社員と同じ口座・住所、取引開始直後の多額支払 | 仕入先登録の審査（P-01）、社員マスタとの突合 |
| キックバック | 特定仕入先に高値で発注し、見返りを受け取る | 見積比較の省略、特定担当者と特定仕入先の取引集中 | 相見積りのルール、担当者のローテーション |
| 分割発注 | 承認基準額未満に分けて発注する | 同日・同一仕入先の基準額直下の発注が連続 | P-04の抽出、データ分析 |
| 口座変更詐欺 | 取引先を装って振込先を変更させる | 急な口座変更依頼、海外口座への変更、メールのみの依頼 | P-02のコールバック確認 |
| 二重払 | 同じ請求書を2回処理する | 請求書番号の類似、同額の支払の近接 | P-08の二重登録防止、支払データ分析 |
これらの兆候の多くは、支払データや仕入先マスタをデータ分析で調べると見つけやすくなります。分析の手法は「経費データの分析監査」や「不正リスクと内部監査」でも紹介しています。
分けるべき4つの職務
購買プロセスで分離したい職務は、①発注、②検収、③仕入先マスタの登録・変更、④支払の4つです。特に③と④を同じ人が担うと、自分で口座を書き換えて自分で支払うことができてしまいます。システムの権限設定で分離できているかは、IT全般統制のアクセス管理とあわせて確認しましょう（「アクセス管理の監査手順」参照）。少人数で分離が難しい場合は、上位者による変更履歴と支払一覧の事後レビューで補い、その理由を記録しておきます。
法令との接点｜取適法・インボイス制度
取適法：支払期日は「受領日」から数える
2026年1月1日、下請代金支払遅延等防止法（下請法）は改正され、「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」（中小受託取引適正化法、取適法）として施行されました。公正取引委員会によると、手形払の禁止、協議に応じない一方的な代金決定の禁止、従来の資本金基準に加えた従業員基準の追加、特定運送委託の対象取引への追加などが主な改正点です。
購買の統制設計で見落とされやすいのが支払期日の起算日です。公正取引委員会は、委託事業者は給付の内容について検査をするかどうかを問わず、受領日から起算して60日以内のできる限り短い期間内で支払期日を定める義務があると説明しています。社内の支払サイトを「検収完了日の翌月末」のように検収日から数えている場合、検収に時間がかかると受領日から60日を超えてしまうおそれがあります。対象となる取引の範囲や詳細は公正取引委員会の最新情報で確認してください。取引監査の観点は「取引適正化の法令と取引監査」で解説しています。
インボイス制度と電子取引データの保存
2023年10月1日から、消費税の仕入税額控除には原則として適格請求書（インボイス）等の保存が必要になっています。請求書照合の段階で、登録番号の記載や税率ごとの記載を確かめる手順を組み込んでおくと、税務上の誤りを防げます。また、電子帳簿保存法では電子取引のデータ保存が求められているため、メールやシステムで受け取った請求書データの保存方法も手順書に定めておきましょう。これらは財務報告の統制とは目的が異なりますが、同じ請求書照合の工程で確かめられるため、手順を一体で設計すると効率的です。制度の詳細は国税庁の最新情報を確認してください。
評価の進め方｜運用テストのポイント
| 統制 | テスト方法の例 | 留意点 |
|---|---|---|
| P-01、P-02（マスタ） | マスタ変更履歴の全件から抽出し、申請・審査・確認の記録と照合する | 変更履歴が網羅的に出力されているかを先に確かめる |
| P-03、P-05、P-08（自動統制） | 設定画面の確認と、条件を満たす1件での動作確認 | IT全般統制が有効であることが前提 |
| P-06（照合の例外処理） | 保留解除の一覧から抽出し、承認と解除理由を確認する | 許容差の設定値が承認されたものかも確認する |
| P-07（期末の未払計上） | 期末日前後の検収記録と計上日を照合する | 期末の運用テストは期末後の日程に組み込んでおく |
| P-09（支払承認） | 支払日を抽出し、支払一覧と承認記録を照合する | 作成者と承認者が異なることを確認する |
実施基準は、ITを利用した内部統制について、整備状況が有効と評価された場合には、IT全般統制の有効性を前提に、人手による統制よりもサンプル件数を減らすなど一般に運用評価の作業を減らすことができるとしています。3点照合の自動化は、統制の品質と評価の効率を同時に高める手段になります（「ITACとITGCの違い」参照）。手作業統制のサンプル数は「内部監査のサンプル数はなぜ25件なのか」と内部監査サンプル数計算機で確認できます。
よくある失敗と対策
失敗1：3点照合の例外が見えていない
システムで3点照合を行っているのに、保留解除や許容差の設定を誰も確認していないケースです。例外処理が多ければ、照合は機能していません。保留解除の件数と理由を月次で集計し、承認者がレビューする手順を加えます。
失敗2：仕入先マスタの変更がRCMにない
発注や支払の統制は詳しく書かれているのに、仕入先マスタの登録・変更がRCMに載っていないケースです。口座変更は1件で大きな損失につながるため、独立した統制として記載し、評価対象にします。
失敗3：サービス購買の検収が発注者の押印だけ
発注者自身が請求書に押印して検収に代えているケースです。成果物の確認や上長による完了確認を加え、発注者と検収者を分けます。
失敗4：支払サイトの起算日を確認していない
取適法の対象取引で、社内規程の支払サイトが検収日起算になったまま運用されているケースです。対象取引を特定し、受領日から60日以内に支払期日が来るかを確認します。
よくある質問
Q1. 購買プロセスは必ずJ-SOXの評価対象にしなければなりませんか？
実施基準は購入プロセスを棚卸資産に至る業務プロセスの一つとして挙げていますが、どこまでを評価対象とするかは企業の特性等を踏まえて判断するとしています。商品・原材料の仕入が重要な会社では評価対象とするのが一般的です。範囲の判断は、自社と監査人との協議によります。
Q2. 購買の承認権限表（決裁権限規程）はRCMとどう関係しますか？
承認権限表は、発注や支払の承認統制が「誰の承認で足りるか」を定める前提です。RCMの統制の内容には承認権限表の該当条項を参照として書き、権限表の改定があった場合はRCMも見直します。システムの承認ルートが権限表と一致しているかも確認しましょう。
Q3. 購買業務の内部監査（業務監査）とJ-SOX評価は何が違いますか？
J-SOX評価は財務報告の信頼性に関わる統制に焦点を当てます。業務監査では、それに加えて購買の経済性や、取適法などの法令遵守、仕入先選定の公正性まで幅広く確かめます。チェックリストは「【テンプレート】購買業務監査チェックリスト」で紹介しています。
Q4. 小規模な拠点で職務分掌ができない場合はどうすればよいですか？
担当者が少なく職務を分けられない拠点では、本社による支払一覧と仕入先マスタ変更履歴の定期的なレビューなど、上位者や別部門による事後的な確認で補うのが一般的です。代替的な統制が十分かどうかは、拠点の取引規模とリスクに応じて判断してください。
まとめ｜照合と独立性、そしてマスタ
購買プロセスの統制は、発注・検収・請求の3点照合を中心に、発注・検収・マスタ管理・支払の職務を分けることで成り立っています。自動照合を入れても、例外処理と許容差の管理が弱ければ統制は形だけになります。仕入先マスタ、特に口座情報の変更は独立した統制として評価し、期末の未払計上という網羅性の統制も忘れないようにしましょう。取適法の支払期日のように、法令対応が同じ工程に組み込まれる点も購買プロセスの特徴です。
次の一歩として、仕入先マスタの口座変更履歴を過去1年分出力し、1件ずつ確認の記録が残っているかを確かめてみてください。関連するプロセスは「販売プロセスの内部統制」「棚卸資産プロセスの内部統制」「決算・財務報告プロセスの統制と評価」で解説しています。
購買プロセスの評価や業務監査についてのご相談は、お問い合わせからお寄せください。
参考資料
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 同 実施基準 Ⅱ.2(2)「業務プロセスに係る評価の範囲の決定」（注1）
- 公正取引委員会「中小受託取引適正化法（取適法）関係」 https://www.jftc.go.jp/partnership_package/toritekihou.html
- 公正取引委員会「よくある質問コーナー（取適法）」 https://www.jftc.go.jp/toriteki/toriteki_qa.html
- 国税庁「インボイス制度について」
- 国税庁「電子帳簿保存法関係」
- 日本公認会計士協会 財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」
