整備状況評価の締め切りを翌週に控えた午後、J-SOX評価チームの担当者は、前年度のウォークスルー調書を開いていました。そこには業務記述書の文章がほぼそのまま貼り付けられ、末尾に「上記の流れを担当者に確認した。問題なし」と一行。どの取引を追ったのか、どの帳票を見たのかは書かれていません。
監査法人のレビューで、この調書に質問が付きました。「追跡した取引の伝票番号と、各統制の実施を示す証跡を示してください」。担当者は前任者に確認しますが、どの取引だったかは誰も覚えていません。結局、ウォークスルーをやり直すことになり、営業部と経理部にもう一度時間をもらうことになりました（本記事の事例はすべて架空のモデルケースです）。
ウォークスルーは、1件の取引を開始から財務諸表の計上まで追いかける手続です。手続自体は単純ですが、記録の仕方が定まっていないと、「確認した」という結論だけが残り、第三者が検証できない調書になります。本記事では、追跡の過程と各統制の評価をそのまま残せる記録シートのテンプレートと、記入例、運用のコツを紹介します。
この記事の要点
- ウォークスルーは、代表的な取引を選び、取引の開始から財務諸表に計上されるまでの流れを内部統制の記録などで追跡する手続です。実施基準は監査人の手続としてこの追跡の有用性を示しています
- 記録シートは「ヘッダー」「追跡表」「統制ごとの評価」「結論」の4部で構成し、取引を特定する番号と、各ステップで閲覧した証跡の名称を必ず書きます
- 業務記述書やフローチャートと実際の処理の違いを見つけることが目的の1つです。相違があれば「相違点」欄に記録し、文書の修正につなげます
- システムが処理するステップは、画面・帳票・自動処理の区別を書き、IT業務処理統制の評価とつなげます
ウォークスルーとは：なぜ1件を追跡するのか
実施基準における位置づけ
金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」（以下、実施基準）は、経営者が業務プロセスに係る内部統制の整備状況の有効性を、関連文書の閲覧、従業員等への質問、観察等を通じて判断するとしています。その際、内部統制が規程や方針に従って運用された場合に、財務報告の重要な事項に虚偽記載が発生するリスクを十分に低減できるものとなっているかにより評価するとされています。
一方、監査人の手続を述べた箇所では、監査人が整備状況の理解を確実なものとするうえで、評価対象の業務プロセスごとに代表的な取引を1つあるいは複数選んで、取引の開始から取引記録が財務諸表に計上されるまでの流れを内部統制の記録等により追跡する手続を実施することが有用であることに留意する、としています。実務でウォークスルーと呼ばれているのは、この追跡の手続です。実施基準の本文にウォークスルーという用語そのものが使われているわけではない点は押さえておきましょう。
経営者側の評価でも、閲覧・質問・観察を組み合わせる具体的な方法として、同じ追跡の手続を用いる会社が多くあります。監査人が同じ取引を追う場合もあるため、記録の形式をそろえておくと、監査人との連携にも役立ちます。
なぜ文書を読むだけでは足りないのか
業務記述書やフローチャートは、業務が「こう行われるはず」という説明です。実際の処理は、担当者の交代、システムの改修、繁忙期の省略などで、文書から少しずつずれていきます。1件の取引を実際の帳票とシステムの画面で追いかけると、このずれが具体的に見えてきます。
たとえば、文書では「出荷指図は受注承認後に発行される」となっていても、実際には承認前に仮の出荷指図を出す運用があるかもしれません。質問だけでは担当者は文書どおりに答えがちですが、実物の日付を並べれば順序がわかります。ウォークスルーの価値は、説明と実物を突き合わせる点にあります。
整備状況評価と運用状況評価の違い
ウォークスルーは整備状況の評価の手続であり、1件の追跡で統制が期間を通じて有効に運用されていたことまでは言えません。運用状況は、サンプルを抽出してテストする運用状況評価で確かめます。両者の違いと進め方は整備状況評価（ウォークスルー）の進め方と運用状況評価の進め方で解説しています。
なお実施基準は、整備状況の評価は原則として毎期実施する必要があるとしつつ、全社的な内部統制の評価結果が有効である場合には、財務報告の信頼性に特に重要な影響を及ぼすものを除き、前年度の評価結果が有効で前年度の整備状況と重要な変更がない統制について、その旨を記録することで前年度の評価結果を継続して利用できるとしています。記録シートには、継続利用を判断した根拠も残せるようにしておきます。
いつ使うか・誰が記入するか
利用のタイミング
| 時期 | 内容 | 記録シートの使い方 |
|---|---|---|
| 期初〜第2四半期 | 評価範囲の業務プロセスの整備状況評価 | 全プロセスについて新規に作成、または前年度シートを更新 |
| 業務・システム変更時 | 変更後の統制の整備状況の確認 | 変更のあったステップを中心に追跡し直す |
| 継続利用の判断時 | 前年度から重要な変更がないことの確認 | 変更の有無の確認手続と結果を記録 |
| 不備の是正後 | 是正された統制の整備状況の確認 | 是正後の取引で追跡する |
整備状況評価は、運用状況評価の前に終えておく必要があります。整備に問題があれば、その統制の運用テストは意味を持たないからです。年間スケジュールの組み方はJ-SOXの年間スケジュールを参照してください。
役割分担
| 役割 | 担当者の例 | 主な作業 |
|---|---|---|
| 評価者 | 内部監査部門、J-SOX評価チーム | 取引の選定、質問・閲覧・観察、シートの記入、結論 |
| 説明者 | 業務プロセスの各ステップの担当者 | 処理の説明、帳票・画面の提示 |
| プロセスオーナー | 業務部門の責任者 | 相違点の確認、文書修正の承認 |
| レビュー者 | 評価責任者 | 記録の十分性と結論の妥当性の確認 |
評価者は、評価対象の業務から独立している必要があります。実施基準は、経営者を補助して評価を行う者に、評価対象の業務からの独立性と客観性、評価に必要な能力を求めています。自部門の業務を自ら評価する形にならないよう、担当の割り振りに注意します。
テンプレート本体①：ヘッダーと取引の特定
ヘッダー
| 項目 | 記入内容 |
|---|---|
| 調書番号 | WT-販売-01 など（RCMのプロセス番号と対応） |
| 事業拠点 | 評価対象の拠点名 |
| 業務プロセス | 販売（受注〜売上計上）など |
| 関連する勘定科目 | 売上高、売掛金 など |
| 参照文書 | 業務記述書・フローチャート・RCMの名称と版数 |
| 評価基準日 | 追跡した取引の処理時期と実施日 |
| 評価者・レビュー者 | 氏名、記入日、レビュー日 |
| 前年度からの変更 | 組織・規程・システムの変更の有無と内容 |
参照文書の版数を書くのは、どの説明と突き合わせたかを特定するためです。文書が改定されたのに旧版と比較していた、という事態を防げます。
取引の特定
| 項目 | 記入内容 | 記入例 |
|---|---|---|
| 取引の種類 | 追跡した取引の類型 | 掛売上（国内・通常品） |
| 選定理由 | なぜこの取引を代表とするか | 取引件数の大半を占める通常の受注パターン |
| 取引識別番号 | 受注番号・伝票番号など | 受注番号 SO-26-004512 |
| 取引日・金額 | 開始日と金額 | 2026年7月3日、1,320,000円（税込） |
| 他の類型の扱い | 別の類型を追跡したか | 返品・値引きは WT-販売-02 で別途追跡 |
「選定理由」の欄は軽視されがちですが、重要です。代表的な取引とは、そのプロセスで通常行われる処理の典型です。処理方法が大きく異なる類型（例：通常の掛売上と、前受金を伴う受注生産）がある場合は、1件で全体を代表させることはできません。類型ごとに追跡するか、追跡しない類型の扱いを記録します。
テンプレート本体②：ステップ別の追跡表
追跡表の列
| 列 | 内容 |
|---|---|
| ステップ番号 | 業務記述書・フローチャートの番号と一致させる |
| 処理内容 | 誰が、何を基に、何をするか |
| 担当者（役職） | 説明を受けた担当者と役職 |
| 手続 | 質問／閲覧／観察の別（複数可） |
| 閲覧した証跡 | 帳票名・画面名と識別番号、日付 |
| 統制番号 | RCMの統制番号（統制でないステップは空欄） |
| 文書との相違 | 業務記述書との違いの有無と内容 |
この表の要は「閲覧した証跡」の列です。書類名だけでなく、伝票番号や日付まで書くことで、第三者が同じ証跡をたどって検証できるようになります。実施基準は、評価手続等の記録について、後日、第三者による検証が可能となるよう、関連する証拠書類を適切に保存する必要があるとしています。証跡の写しを添付するか、保管場所を特定できるように書きます。
「手続」の列に質問・閲覧・観察の別を書くのは、証拠の強さが異なるからです。質問だけで確かめたステップは、担当者の説明に依存しています。統制に当たるステップは、少なくとも閲覧か観察を組み合わせるのが基本です。
テンプレート本体③：統制ごとの評価と結論
統制ごとの評価欄
追跡表で統制番号を付けたステップについて、統制ごとに整備状況を評価します。実施基準が整備状況の評価で留意する事項として挙げている観点を列にしています。
| 列 | 確認する観点 |
|---|---|
| 統制番号・統制の内容 | RCMの記載と一致しているか |
| 対応するリスク・アサーション | 実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性のどれに対応するか |
| 防止／発見 | 不正または誤謬を防止する統制か、適時に発見する統制か |
| 職務の分離 | 実施者と、処理の起票者・承認対象者が分かれているか |
| 実施者の知識・経験 | 実施者が統制の目的と判断基準を理解しているか |
| 例外への対処 | 統制で見つかった誤りを処理する手続があるか |
| 評価 | 有効／不備あり |
| コメント | 判断の根拠、追加確認事項 |
「実施者の知識・経験」は、質問によって確かめる項目です。たとえば承認者に「承認の際に何を確認しますか」「差異があったらどうしますか」と尋ね、答えがRCMの記載と一致するかを見ます。承認印が押されていても、承認者が確認すべき内容を知らなければ、その統制はリスクを低減できません。質問の組み立て方は監査インタビューの技法が参考になります。
統制のステップで使う質問の例
| 観点 | 質問の例 | 記録のポイント |
|---|---|---|
| 実施の根拠 | この確認は、どの規程・手順書に基づいて行っていますか | 規程名と条項を書く |
| 判断基準 | 何を見て、どうなっていれば承認（照合完了）としますか | RCMの記載との一致・不一致 |
| 例外の処理 | 誤りや差異を見つけたら、誰に、どう報告しますか。直近の例はありますか | 例外処理の記録があれば番号を書く |
| 不在時の代替 | 担当者が不在のときは、誰が実施しますか | 代替者の権限と職務分離 |
| 使用する情報 | 確認に使う一覧表や帳票は、どこから出力したものですか | 情報の出所と網羅性の確かめ方 |
最後の「使用する情報」の質問は見落とされがちです。承認者が照合に使う一覧表が、システムから正しく出力されたものでなければ、照合そのものが意味を失います。出所がわかれば、その情報の正確性と網羅性をどう確かめるかを運用テストの計画に組み込めます。
結論欄
| 項目 | 記入内容 |
|---|---|
| 整備状況の結論 | 有効／不備あり（不備の場合は不備一覧の番号） |
| 文書の修正要否 | 業務記述書・フローチャート・RCMの修正の要否と依頼日 |
| 運用テストへの申し送り | 運用テストで特に確認すべき点 |
| 継続利用の判断 | 前年度結果を継続利用する場合、変更がないことを確かめた手続 |
| 評価者署名・日付 | — |
| レビュー者署名・日付 | — |
不備を識別した場合は、記録シートの中で完結させず、不備一覧表に登録して一元管理します。登録の方法は【テンプレート】J-SOX 不備一覧表で紹介しています。
記入例：販売プロセス（受注〜売上計上）
架空のモデルケースとして、卸売業B社の本社営業部で、受注番号 SO-26-004512 を追跡した記録を示します。
| No. | 処理内容 | 手続 | 閲覧した証跡 | 統制番号 | 文書との相違 |
|---|---|---|---|---|---|
| 1 | 営業担当が注文書を受領し、販売システムに受注入力 | 質問・閲覧 | 顧客注文書（7/3受信）、受注入力画面 SO-26-004512 | — | なし |
| 2 | システムが与信残高を自動チェックし、超過時は保留 | 閲覧 | 与信チェック結果画面（超過なし） | S-02（自動） | なし |
| 3 | 営業課長が受注内容と単価を承認 | 質問・閲覧 | 受注承認履歴（7/3 課長承認） | S-03 | なし |
| 4 | 物流部が出荷指図に基づき出荷し、出荷実績を入力 | 質問・閲覧・観察 | 出荷指図書、出荷実績画面（7/7出荷） | — | あり（下記） |
| 5 | 出荷実績に基づき、システムが売上を自動計上 | 閲覧 | 売上明細（7/7計上）、仕訳番号 JE-0707-0231 | S-05（自動） | なし |
| 6 | 経理部が月次で売上と出荷実績の差異を照合 | 質問・閲覧 | 7月度 売上・出荷照合表（経理課長の確認印 8/5） | S-06 | なし |
| 7 | 総勘定元帳への転記、月次決算での確認 | 閲覧 | 7月度 総勘定元帳 売上高・売掛金 | — | なし |
ステップ4では、業務記述書に「物流担当者が出荷指図書と現品を照合する」と書かれていましたが、観察した結果、繁忙期は照合を翌日にまとめて行う運用になっていることがわかりました。相違点欄に記入し、プロセスオーナーに業務記述書の修正要否を確認します。この照合がRCMで統制として識別されていないかも確認し、識別されていれば統制の実施時期が変わったことを評価に反映します。
統制ごとの評価では、S-03について、課長に承認時の確認事項を質問したところ、「単価が標準単価表から外れていないか、特別値引きには部長承認が付いているかを見る」との回答で、RCMの記載と一致しました。結論欄は「有効」とし、運用テストへの申し送りとして「特別値引きを含む受注をサンプルに含める」と記入します。
システムが絡むステップの記録
画面・帳票・自動処理を区別する
実施基準は、業務プロセスの把握について、取引の発生から集計、記帳といった会計処理の過程の整理に加えて、システム間のデータの流れなども把握することを述べています。記入例のステップ2と5のように、システムが自動で処理するステップは、人が行うステップと区別して記録します。
| 記録する事項 | 記入例 |
|---|---|
| 処理の種類 | 手作業／システムの自動処理／手作業とシステムの組み合わせ |
| 使用システム | 販売管理システム、会計システム |
| データの受け渡し | 販売管理から会計へ日次バッチで仕訳連携 |
| 自動処理の設定 | 与信限度額マスタ、売上計上基準（出荷基準）の設定 |
| 関連するIT全般統制 | 変更管理、アクセス管理の評価調書番号 |
自動処理の統制（IT業務処理統制）は、設定どおりに処理されることを1件の追跡で確かめたうえで、その設定が期中に不正に変更されていないことをIT全般統制で担保するのが一般的な考え方です。記録シートには、依拠するIT全般統制の評価調書番号を書いておくと、ITの評価チームとの連携が取れます。両者の関係はITACとITGCの違いで解説しています。
手作業で加工するデータに注意する
システムから出力したデータを表計算ソフトで加工し、その結果を別のシステムに入力したり、照合に使ったりするステップは、文書に書かれていないことがよくあります。ウォークスルーでこうした加工を見つけたら、ファイル名、加工の内容、加工結果の確認者を記録します。こうしたファイルは、計算式の誤りや改ざんのリスクを持つ一方、統制として識別されていないことが多いからです。
よくある記入ミスと運用のコツ
よくある記入ミス
| 記入ミス | 何が問題か | 対策 |
|---|---|---|
| 業務記述書の文章をそのまま転記 | 実際に確かめた内容がわからない | 追跡表は評価者が見た事実だけを書く |
| 取引識別番号がない | 第三者が同じ取引をたどれない | ヘッダーの取引特定欄を必須にする |
| 証跡の欄が「確認済」だけ | 何を見たかがわからない | 帳票名・番号・日付を書く |
| 手続が質問だけ | 担当者の説明に依存している | 統制のステップは閲覧か観察を必ず組み合わせる |
| 相違点欄が空欄のまま | 相違を見逃した、または記録していない | 相違がなければ「なし」と明記する |
| 追跡を途中で終える | 記帳・財務諸表への反映が未確認 | 総勘定元帳への計上まで追う |
| 前年度シートの日付だけ更新 | 当年度の整備状況を確かめていない | 当年度の取引で追跡し、継続利用なら変更がないことを確かめた手続を書く |
運用のコツ
- 追跡する取引は、評価者が選びます。説明者に選ばせると、処理がきれいに流れた取引が選ばれやすくなります
- 各ステップは、その処理を実際に行う担当者に説明してもらいます。上司がまとめて説明すると、現場の運用との違いが見えません
- 証跡の写しは、個人情報や取引先の機密を含む場合があります。必要な部分に絞って取得し、保管場所とアクセス権を決めておきます
- 相違点を見つけたら、その場でプロセスオーナーに伝え、文書修正か業務改善かの方向性を早めに決めます。評価の終盤に相違が積み上がると、運用テストの計画が崩れます
- 記録シートの構成を監査人と共有し、監査人が利用しやすい形にそろえておくと、同じ担当者に何度も説明を求める負担を減らせます（監査法人との連携も参照してください）
よくある質問
1つの業務プロセスで何件の取引を追跡すればよいですか？
実施基準は、監査人の手続として代表的な取引を1つあるいは複数選ぶとしています。処理方法が同じ類型であれば1件で足りることが多い一方、処理の流れが大きく異なる類型があれば、類型ごとに追跡するのが一般的です。何件追跡したかより、プロセスの主要な類型をカバーしているかを説明できることが大切です。
業務記述書やフローチャートがない場合でもウォークスルーはできますか？
できます。実施基準は、業務の流れ図や業務記述書を必要に応じて作成する参考例として示しており、企業で別途作成しているものがあればそれを利用し、必要に応じて補足していくことで足りるとしています。文書がない場合は、ウォークスルーの追跡表そのものがプロセスの記録の役割を果たします。3つの文書の関係はJ-SOX 3点セットとはで解説しています。
ウォークスルーで見つかった相違は、すべて不備になりますか？
なりません。文書の記載が古いだけで、実際の処理がリスクを十分に低減しているなら、文書を修正すれば足ります。一方、実際の処理で統制が省略されている、または統制がリスクを低減できない形になっている場合は、不備として評価します。記録シートの相違点欄と結論欄で、どちらに当たるかの判断を明確に書き分けておきます。
リモートでウォークスルーを行ってもよいですか？
画面共有で担当者にシステムを操作してもらい、帳票を電子データで受け取る方法で実施する会社もあります。その場合は、観察ができないステップがあることを踏まえ、閲覧で確かめられる証跡を増やします。記録シートの「手続」欄には、リモートで行ったことと、使った方法を書いておきます。
まとめ
ウォークスルーの記録シートは、「確認した」という結論ではなく、「何を追い、何を見て、どう判断したか」を残すための様式です。取引を識別番号で特定し、各ステップで閲覧した証跡を帳票名・番号・日付まで書き、文書との相違を記録する。統制ごとに実施基準の観点で整備状況を評価し、結論と運用テストへの申し送りを書く。この流れを守れば、翌年の担当者も監査人も、同じ道筋をたどって検証できる調書になります。
次の一歩として、本記事のヘッダー・追跡表・評価欄をそのまま表計算ソフトに写し、まず売上プロセスの1件で試してみてください。関連する様式はRCMの記入例、【テンプレート】監査調書様式、【テンプレート】J-SOX 不備一覧表で紹介しています。
J-SOX評価の記録様式や進め方についてのご相談は、お問い合わせからお寄せください。
参考資料
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日、2024年4月1日以後開始する事業年度から適用） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 日本公認会計士協会 財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」
- 日本公認会計士協会 https://jicpa.or.jp/
