期末まで残り5か月。上場準備を進める会社の経理課長のもとに、監査法人の担当者から短いメールが届きます。「販売プロセスの3点セット、ドラフトはいつ頃いただけますか」。社内には販売管理規程も、受注から請求までの手順書もあります。それでも、「3点セット」と言われた瞬間に何をどこまで書けばよいのかが分からなくなる――多くの会社で繰り返されてきた場面です（以下、本記事の事例はすべて架空のモデルケースです）。
課長はまず、ほかの会社のサンプルを探します。見つかったのは、A3用紙に細かい記号がびっしり並んだフローチャートと、数百行に及ぶExcelのRCMでした。見よう見まねで作り始めると、業務記述書には規程の文章がそのまま貼り付けられ、フローチャートは担当者ごとに記号の使い方が違い、RCMの統制番号はどこにも対応していない、という状態になりがちです。
3点セットがうまくいかない原因の多くは、書き方の技術ではなく「何のために、どの単位で作るのか」が決まっていないことにあります。本記事では、金融庁の実施基準が示す参考例にさかのぼって3点セットの役割を整理し、実務でそのまま使える記入例と整合チェックの方法を紹介します。
この記事の要点
- 3点セット（業務記述書・フローチャート・RCM）は法令上の必須様式ではなく、実施基準の「参考2」「参考3」を源流とする実務慣行です。既存文書の活用も認められています
- 作成前に「評価範囲」と「記述の粒度（取引の開始から報告まで）」を決めることが、手戻りを防ぐ最大のポイントです
- 3文書は同じ業務を「文章」「図」「表」で表したもの。統制番号で相互に参照できる状態にしておくことが品質の核心です
- 作って終わりではなく、業務変更・システム変更のたびに更新する運用ルールまで決めておく必要があります
J-SOX 3点セットとは何か｜実施基準の「参考例」から生まれた実務慣行
J-SOX（金融商品取引法に基づく内部統制報告制度）は、上場会社の経営者が財務報告に係る内部統制の有効性を自ら評価し、その結果を内部統制報告書として開示し、監査人の監査を受ける制度です。2006年に成立した金融商品取引法で導入され、2008年4月1日以後開始する事業年度から適用されました。制度の具体的な考え方は、企業会計審議会が公表した「財務報告に係る内部統制の評価及び監査の基準」と、その「実施基準」に示されています。
「3点セット」という言葉は基準に出てこない
意外に知られていないのは、「3点セット」という言葉そのものは基準にも実施基準にも登場しないという点です。実施基準には、評価対象となる業務プロセスの把握・整理について「必要に応じ図や表を活用して整理・記録することが有用」とあり、その例として「参考2（業務の流れ図（例）、業務記述書（例））」と「参考3（リスクと統制の対応（例））」が掲げられています。この3つの参考例が、実務では業務記述書・フローチャート・RCM（Risk Control Matrix、リスクと統制の対応表）の「3点セット」と呼ばれるようになりました。
さらに実施基準は、これらが「必要に応じて作成するとした場合の参考例」であり、企業が別途作成しているものがあれば「それを利用し、必要に応じそれに補足を行っていくことで足り、必ずしもこの様式による必要はない」と明記しています。制度導入当初は、この一文が十分に意識されないまま、膨大な文書化作業に追われた会社が少なくありませんでした。2011年の基準改訂や、中堅・中小上場企業向けの事例集が簡素化・効率化を繰り返し強調してきたのは、その反省があったためです。
それでも3つに分けて作る理由
では、なぜ多くの会社が今も3点セットの形で文書化するのでしょうか。理由は、3つの文書がそれぞれ別の問いに答えているからです。業務記述書は「誰が、何を根拠に、何をするのか」を文章で説明します。フローチャートは「書類とデータが、部門とシステムの間をどう流れるのか」を図で示します。RCMは「どこで虚偽記載が起こりうり、それをどの統制が防ぐのか」を表で対応づけます。
文章だけでは部門間の受け渡しが見えにくく、図だけでは例外処理の条件が書ききれず、表だけでは業務の前後関係が分かりません。3つを組み合わせることで、評価者や監査人が短時間で業務を理解し、統制の抜け漏れを発見できる状態になります。3点セットは「監査法人に提出する書類」である以前に、リスクを見つけるための思考の道具だと捉えると、作り方の優先順位がはっきりします。
| 文書 | 答える問い | 主な読み手の使い方 | 実施基準上の位置づけ |
|---|---|---|---|
| 業務記述書 | 誰が・何を根拠に・何をするか | 手順と例外処理の理解 | 参考2「業務記述書（例）」 |
| フローチャート | 書類・データがどこからどこへ流れるか | 部門間・システム間の受け渡しの把握 | 参考2「業務の流れ図（例）」 |
| RCM | どこにリスクがあり、どの統制が防ぐか | 評価対象統制の特定、テスト計画 | 参考3「リスクと統制の対応（例）」 |
作る前に決めること｜評価範囲と記述の粒度
3点セットの手戻りの大半は、書き始める前の設計不足から生じます。最低限、「どの拠点の、どのプロセスを対象にするのか」と「どこからどこまでを、どの細かさで書くのか」の2点を先に決めておきましょう。
評価範囲：全社的な内部統制の評価を踏まえて決める
実施基準では、経営者はまず全社的な内部統制を評価し、その結果を踏まえて業務プロセスの評価範囲を決めるという順序が示されています。業務プロセスについては、売上高などの指標が大きい拠点から合算して重要な事業拠点を選び（全社的な内部統制の評価が良好であれば、例えば連結売上高等の「おおむね3分の2程度」という考え方が例示されています）、その拠点の「企業の事業目的に大きく関わる勘定科目」に至る業務プロセスを原則として対象にします。一般的な事業会社では売上、売掛金、棚卸資産の3勘定が例示されています。
これに加えて、リスクの大きい取引を行っている事業や、見積りや経営者の予測を伴う重要な勘定科目に係る業務プロセスなどを個別に追加します。また、総勘定元帳から財務諸表を作成する手続や連結修正などの決算・財務報告プロセスのうち全社的な観点で評価することが適切なものは、全社的な内部統制に準じて評価します。これらの比率や勘定科目はあくまで例示であり、機械的に当てはめるものではありません。最終判断は経営者が行い、必要に応じて監査人と協議します。全社的な内部統制の評価の進め方は「全社的な内部統制（ELC）の評価方法」で詳しく解説しています。
| 手順 | 決めること | 3点セットへの影響 |
|---|---|---|
| 1 | 全社的な内部統制の評価（原則として全拠点） | 結果が良好でない項目があれば範囲を広げる |
| 2 | 重要な事業拠点の選定（売上高等の一定割合） | 3点セットを作る拠点が決まる |
| 3 | 事業目的に大きく関わる勘定科目に至る業務プロセスの識別 | 販売・購買・在庫などの作成単位が決まる |
| 4 | リスクの大きい業務プロセスの個別追加 | 見積り・特殊取引のプロセスが加わる |
| 5 | 範囲外とした拠点・プロセスとその理由の記録 | 作らない理由を文書で残す |
粒度：「取引の開始・承認・記録・処理・報告」を1本の線でつなぐ
実施基準は、業務プロセスの把握にあたって「取引の開始、承認、記録、処理、報告を含め、取引の流れを把握し、取引の発生から集計、記帳といった会計処理の過程を理解する」ことを求めています。これが記述の粒度を決める物差しになります。
実務では、販売プロセスなら「受注→出荷→売上計上→請求→入金」、購買プロセスなら「発注→検収→仕入計上→支払」のように、会計帳簿に至るまでをサブプロセスに分けて書くのが一般的です。逆に、倉庫内のピッキング手順や営業日報の書き方のように、会計記録に影響しない作業は細かく書く必要はありません。「この手順が間違ったとき、財務諸表のどの数字がずれるか」を説明できない記述は、粒度が細かすぎるサインです。
業務記述書の書き方｜「規程の転記」ではなく「実際の手順」を書く
業務記述書は、3点セットの中で最も文章量が多く、最も形骸化しやすい文書です。規程やマニュアルの文章をそのまま貼り付けると、実際の運用との差分が見えなくなり、評価の段階で「規程どおりに運用されていない」という不備が次々と見つかることになります。
1文に「主語・トリガー・行為・根拠・アウトプット」を入れる
読みやすく、統制を抽出しやすい業務記述書を作るコツは、1つの文に5つの要素を入れることです。主語（誰が）、トリガー（何をきっかけに）、行為（何をする）、根拠（何と照合し、何に基づいて）、アウトプット（何が作られ、どこへ渡る）です。実施基準の業務記述書（例）も「受注入力後、販売管理システムから出荷指図書及び注文請書が出力され、受注メモ又は注文書と照合された後、販売責任者の承認が行われる」という形で、これらの要素を1文に収めています。
統制に当たる手順には、文中に統制番号を振っておきます。この番号がフローチャートとRCMをつなぐ「背番号」になります。
記入例：販売プロセス「受注」の業務記述書
| 項番 | 記述 | 統制番号 |
|---|---|---|
| 1-1 | 電話で注文を受けた場合、営業担当者は受注メモを作成する。FAXまたはメールの場合は注文書を受注の根拠とする | — |
| 1-2 | 営業担当者は、販売管理システムに受注を入力する。システムは得意先マスタに登録済みの得意先のみ入力を受け付ける | S-01（自動） |
| 1-3 | 受注金額と既存の売掛金残高の合計が与信限度額を超える場合、システムは受注を保留し、営業部長の承認がなければ出荷指図を出力しない | S-02（自動＋手作業） |
| 1-4 | 営業事務担当者は、出力された出荷指図書と受注メモ（または注文書）の品目・数量・単価を照合し、照合印を押す | — |
| 1-5 | 営業課長は、照合済みの出荷指図書を確認し、システム上で承認する。承認のない受注は出荷指図が確定しない | S-03 |
| 1-6 | 出荷指図書は受注メモ（または注文書）を添付して出荷部門へ回付する | — |
ポイントは、例外処理（1-3の与信超過）を本文に含めていることです。虚偽記載や不正の多くは、通常ルートではなく例外ルートで起こります。「承認者が不在のときはどうするか」「システムが停止したときの手作業の代替手順はあるか」といった例外も、実際に発生しうるものは記述しておきましょう。
誰に聞き、どう確かめるか
業務記述書の材料は、規程を読むことではなく、実際に業務を担当している人へのヒアリングから集めます。ヒアリングでは「通常はどうしているか」に続けて「うまくいかないときはどうするか」「最近変わったことはあるか」を必ず尋ねます。そのうえで、1件の取引を最初から最後まで追いかけて書類とシステム画面を確認する「ウォークスルー」を行い、記述と実態が一致していることを確かめます。ウォークスルーの記録は、整備状況の評価の証拠としても使えます。
フローチャートの書き方｜部門の「受け渡し」を見える化する
フローチャート（業務の流れ図）の価値は、部門やシステムの間で情報が「受け渡される瞬間」を一目で示せることにあります。受け渡しの瞬間は、転記ミス、データの欠落、承認の抜けなど、虚偽記載のリスクが集中するポイントだからです。
スイムレーン形式で、右端にシステム列を置く
実施基準の業務の流れ図（例）は、得意先・販売部門・出荷部門・経理部門・システムを縦の列（スイムレーン）に分け、書類やデータが列をまたいで動く様子を描いています。特に右端に「システム」の列を設け、得意先マスタや受注ファイル、出荷ファイル、売上ファイル、会計システムといったデータの流れを示している点が重要です。実施基準も、システムに関する流れの欄を設けることで、ITを利用した統制の把握に役立てる考え方を示しています。
記号のルールを最初に決める
フローチャートで最も多い問題は、作成者ごとに記号の意味が違うことです。複数人で作る場合は、作成前に凡例を1枚決めて全員で共有しましょう。以下は、よく使われる記号の例です。
| 記号（形） | 意味 | 使い方のルール例 |
|---|---|---|
| 長方形 | 処理・作業 | 1つの箱に1つの作業。主語はレーンで示す |
| 書類形（下辺が波線） | 紙・電子の帳票 | 帳票名を正式名称で書く |
| ひし形 | 判断・分岐 | 「はい／いいえ」の両方の行き先を必ず描く |
| 円柱 | データベース・ファイル | システム列にのみ置く |
| 鍵・星などの印 | 統制ポイント | 統制番号（例：S-03）を添える |
| 二重線の長方形 | 他プロセスへの接続 | 接続先のプロセス名とページを書く |
1枚に収まらないときは分割する
A3でも収まらないフローチャートは、読み手にとって実質的に読めない図です。受注・出荷・売上計上・請求といったサブプロセス単位に分割し、接続記号で前後のページをつなぎましょう。反対に、分岐のない一本道の業務しか描かれていない場合は、例外処理が漏れている可能性があります。業務記述書の例外記述と、フローチャートのひし形の数が対応しているかを確認すると、抜けを見つけやすくなります。
RCMへのつなぎ方と3文書の整合｜リスクを「要件」で捉え、番号でつなぐ
RCMは、業務記述書とフローチャートで把握した業務の中から、財務報告の虚偽記載につながるリスクを洗い出し、それを低減する統制を対応づけた表です。3点セットの中で、評価（テスト）の直接の設計図になるのがこの文書です。
リスクは「6つの要件」のどれを損なうかで書く
実施基準は、リスクの識別にあたって、実在性・網羅性・権利と義務の帰属・評価の妥当性・期間配分の適切性・表示の妥当性という「適切な財務情報を作成するための要件」（一般にアサーションと呼ばれます）のどれに影響するかを理解しておくことが重要だとしています。リスクを「売上が間違う」と書くのではなく、「出荷していない売上が計上される（実在性）」「出荷済みの売上が計上漏れになる（網羅性）」「翌期の出荷が当期に計上される（期間配分）」のように、どの要件がどう損なわれるかまで具体化するのがコツです。
記入例：販売プロセスのRCM（抜粋）
| 統制番号 | サブプロセス | リスク | 統制の内容 | 要件 | 手作業/自動 | 頻度 |
|---|---|---|---|---|---|---|
| S-01 | 受注 | 実在しない得意先への受注が入力される | 販売管理システムは得意先マスタ登録済みの得意先のみ受注入力を受け付ける | 実在性 | 自動 | 都度 |
| S-02 | 受注 | 与信限度額を超える受注により回収不能債権が生じる | 与信超過受注はシステムで保留され、営業部長の承認なしに出荷指図が確定しない | 評価の妥当性 | 自動＋手作業 | 都度 |
| S-03 | 受注 | 受注内容（品目・数量・単価）が注文と相違する | 営業課長が出荷指図書と注文書の照合結果を確認しシステム上で承認する | 実在性・評価の妥当性 | 手作業 | 1日複数回 |
| S-07 | 売上計上 | 当期に出荷していない取引が当期売上に計上される | 経理担当者が月末前後5営業日の出荷報告書と売上データを照合し、経理課長が承認する | 期間配分の適切性 | 手作業 | 月次 |
統制番号は、業務記述書の項番1-2、1-3、1-5と、フローチャート上の鍵マークに同じ番号で記載します。このつながりがあることで、評価者は「この統制はどの手順で、どの書類を使って実施されているか」を3文書のどこからでもたどれます。RCMの列構成や、統制の抜け漏れを確認する観点は「RCMの記入例｜統制の網羅性を確認する5つの観点」で詳しく扱っています。
自動統制とIT全般統制の関係も書き残す
S-01やS-02のような自動統制（ITを利用した業務処理統制）は、システムの設定が正しく、その設定が勝手に変更されないことを前提に有効になります。その前提を支えるのがIT全般統制（ITGC）です。RCMの備考欄に「販売管理システムのITGC評価に依拠」などと記載し、ITGCの評価結果とつなげておくと、評価の全体像が崩れません。両者の関係は「ITACとITGCの違い」を参照してください。
3文書の整合チェックリスト
3点セットは、3つの文書が互いに矛盾していないことで初めて評価の根拠になります。完成時とレビュー時には、次のチェックリストで3文書の整合を確認します。
| No. | 確認項目 | 確認方法 |
|---|---|---|
| 1 | 業務記述書のすべての統制番号がRCMに存在する | 統制番号の一覧を突き合わせる |
| 2 | RCMのすべての統制がフローチャート上に印で示されている | 統制番号で図を検索する |
| 3 | フローチャートの帳票名・システム名が業務記述書と一致している | 用語一覧を作って照合する |
| 4 | 分岐（例外処理）が業務記述書とフローチャートの両方にある | ひし形と例外記述の数を比べる |
| 5 | 各サブプロセスで、RCMのリスクが会計記録（仕訳）まで到達している | 最終アウトプットが元帳・会計システムかを見る |
| 6 | 作成日・改訂日・作成者・承認者が各文書に記載されている | 表紙・ヘッダーを確認する |
| 7 | 直近の業務変更・システム変更が反映されている | 変更申請記録・稟議と照合する |
更新のトリガーを決めておく
業務やシステムは毎年のように変わるため、更新の仕組みがなければ3点セットは翌年には実態と乖離してしまいます。更新ルールでは、「いつ見直すか」を具体的に決めておくことが大切です。例えば、組織変更、基幹システムの入替えや改修、新しい取引形態の開始、規程の改訂、前年度の評価で不備が見つかった統制の改善などをトリガーとし、発生時にプロセスオーナー（業務部門の責任者）が更新案を作成して、内部統制の評価部門が確認するといった分担です。年に1回、評価計画の策定時に全文書の棚卸しを行うと、更新漏れを防げます。
記録の保存について、実施基準は、金融商品取引法上の有価証券報告書及びその添付書類の縦覧期間（5年）を勘案して、同程度の期間保存することが考えられるとしています。改訂前の版も、どの時点でどの統制を前提に評価したかを後から検証できるよう、版管理して残しておきましょう。評価記録全般の書き方は「監査調書の書き方と保管ルール」が参考になります。
よくある失敗と対策
失敗1：規程の文章をそのまま業務記述書に貼る
規程は「あるべき姿」を書いた文書であり、実際の手順とは異なることがよくあります。規程を転記した業務記述書で評価を始めると、運用テストの段階で不一致が大量に見つかり、不備なのか記述ミスなのかの切り分けに時間を取られます。対策は、ヒアリングとウォークスルーで実際の手順を確認してから書くことです。規程との差分があれば、規程を直すのか運用を直すのかをその場で判断します。
失敗2：粒度がプロセスごとにばらばら
販売プロセスは画面操作レベルまで細かく、購買プロセスは3行で終わっている、という状態では評価の深さもばらつきます。対策は、「取引の開始・承認・記録・処理・報告」の5段階を各サブプロセスで必ず1回以上書く、という最低ラインを決めておくことです。
失敗3：統制ではなく「作業」をRCMに載せる
「出荷担当者が商品を梱包する」は作業であって統制ではありません。統制とは、誤りや不正を防止または発見するために、何かと何かを照合・承認・検証する行為です。RCMに載せる前に「この手順がなかったら、どんな誤りが見逃されるか」を問い、答えられないものは除外しましょう。統制の数が多すぎると運用テストの負担が膨らみ、評価の焦点がぼやけます。
失敗4：外部委託のコンサルタントに丸投げする
短期間で文書を揃えるために外部の支援を受けること自体は珍しくありません。しかし、業務部門が内容を理解していない3点セットは、翌年の更新ができず、監査人からの質問にも答えられなくなります。支援を受ける場合も、ヒアリングへの同席とレビューは社内の担当者が行い、最終版は業務部門の責任者が承認する体制にしておきましょう。上場準備中の体制づくりについては「上場準備（IPO）企業の内部監査体制構築ロードマップ」も参考になります。
よくある質問
Q1. 3点セットは必ず作らなければならないのですか？
法令や基準で様式が義務づけられているわけではありません。実施基準は、業務の流れ図・業務記述書・リスクと統制の対応を「参考例」として示し、企業が既に作成している文書があればそれを活用し、必要に応じて補足すれば足りるとしています。ただし、経営者の評価結果を第三者が検証できるよう、業務プロセスの概要、リスクと統制の内容、評価の手続と結果などを記録・保存することは求められています。どの形式で記録するかは、監査人と早めに協議しておくと安心です。
Q2. 業務記述書とフローチャートは両方必要ですか？
小規模で業務が単純なプロセスであれば、フローチャートに注記を加えるだけ、あるいは業務記述書だけで十分に説明できる場合もあります。実施基準の流れ図（例）にも、より詳細な記述を要する場合には注記を行ったり、業務記述書を別途作成することも考えられるという趣旨の注があります。大切なのは、評価者と監査人が業務の流れとリスクを理解できることです。
Q3. Excelで作っても問題ありませんか？
多くの会社がExcelやWord、作図ツールで作成しています。ツールそのものより、版管理（誰がいつ何を変えたか）と、統制番号での相互参照が保たれていることが重要です。GRCツールなどで一元管理すると、統制番号の不整合や更新漏れを防ぎやすくなります。
Q4. 運用テストのサンプル数はRCMのどこで決めるのですか？
RCMの「頻度」列が起点になります。日次・週次・月次などの実施頻度に応じてサンプル数を決めるのが一般的です。頻度別の目安と根拠は「内部監査のサンプル数はなぜ25件なのか」で解説しており、サンプル数計算ツールで目安を確認することもできます。最終的なサンプル数は、自社の方針と監査人との協議を踏まえて決めてください。
まとめ｜3点セットは「業務を理解するための共通言語」
3点セットは、監査法人に提出するための書類というより、業務部門・評価部門・監査人が同じ業務を同じ言葉で理解するための共通言語です。作成前に評価範囲と粒度を決め、業務記述書では実際の手順と例外を書き、フローチャートでは部門間の受け渡しを見える化し、RCMではリスクを要件で捉えて統制を対応づけます。そして、3文書を統制番号でつなぎ、更新ルールまで決めておくことが、翌年以降の負担を大きく減らします。
次の一歩として、まずは販売プロセスの受注サブプロセスだけで3文書を試作し、整合チェックリストで確認してみてください。RCMの網羅性の確認は「RCMの記入例と5つの観点」、評価範囲の前提となる全社的な内部統制は「全社的な内部統制の評価方法」、2024年4月以降開始事業年度からの制度改訂の影響は「J-SOX改訂のポイント」をあわせてご覧ください。
文書化の進め方や評価体制づくりについてのご相談は、お問い合わせからお気軽にどうぞ。
参考資料
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準」（2023年4月7日改訂） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 同 実施基準「参考2 業務の流れ図（例）、業務記述書（例）」「参考3 リスクと統制の対応（例）」
- 金融庁「内部統制報告制度に関する事例集 ～中堅・中小上場企業等における効率的な内部統制報告実務に向けて～」（2023年8月改訂） https://www.fsa.go.jp/news/r5/sonota/20230831-2/20230831-2.html
- 金融庁「内部統制報告制度に関するQ&A」（2023年8月改訂）
- 日本公認会計士協会 財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」
