株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
内部統制とは？企業経営の基盤を支える仕組み
内部統制とは、企業が事業目的を達成するために、業務の適正性を確保する組織的な仕組み・プロセス・ルールの総称です。日本では金融商品取引法に基づくJ-SOX（内部統制報告制度）は、主に上場会社等の法令上の対象会社による財務報告に係る評価・報告の制度です。一般的な内部統制全体と、報告書の提出義務・監査義務・評価範囲を分けて確認します（金融庁の制度案内）。
2023年に公表された基準改訂は、2024年4月1日以後開始する事業年度から適用されます。原表現の15年ぶりのJ-SOX改訂は改訂の履歴を単純化しています。金融庁の案内には2011年・2019年の改訂公表もあり、制度開始と基準改訂を区別します。IT委託・セキュリティ等は事業とリスクに応じて検討します。AI監査の実用化については個別の実証・導入条件を確認し、取引データや証憑確認への活用を検討します。削減効果は対象業務・導入範囲によって異なります。
内部統制の4つの目的
| 目的 | 内容 | 設計で確認する例（制度一律の必須項目ではない） |
|---|---|---|
| 業務の有効性と効率性 | 経営資源の効率的な利用 | AI自動化による業務効率化 |
| 報告の信頼性 | 組織内外の報告（非財務情報を含む）の信頼性。J-SOX報告制度の目的は財務報告の信頼性 | AI生成データの信頼性担保 |
| 法令等の遵守 | 法規制への適合 | EU AI法・改正個人情報保護法等の対象・役割・規定別施行時期の確認 |
| 資産の保全 | 資産の取得・使用・処分の適正化 | デジタル資産・データ資産の保全 |
日本の内部統制基準の6つの基本的要素（COSOは5要素）
- 統制環境：経営者の倫理観・経営方針が組織の統制文化を形成する基盤
- リスクの評価と対応：事業目的の達成を阻害するリスクの識別・分析・対応策の策定
- 統制活動：経営者の指示が確実に実行されるための方針・手続き（承認・権限分離・照合等）
- 情報と伝達：必要な情報が適時に組織全体に伝達される仕組み
- モニタリング：内部統制の有効性を継続的に評価する活動
- ITへの対応：日本の基準が独立した要素として挙げるIT環境・利用・統制への対応。COSOの5要素にIT統制がないという意味ではない
J-SOX改訂（2024年適用）の重要ポイント
IT統制の強化
改訂はIT委託とサイバーリスクに応じたセキュリティの重要性を明確化しています。以下は自社の利用・リスクに応じて確認する例であり、全企業の評価範囲が一律に拡大したとは扱いません：
- クラウドサービスの統制：外部クラウドサービス利用時のリスク評価と統制手法の確立
- リモートワーク対応：分散環境での承認プロセスとアクセス管理の整備
- サイバーセキュリティ：IT全般統制（ITGC）におけるセキュリティ対策の強化
内部統制の実効性強化
改訂は評価範囲の決定で財務報告への重要性を適切に考慮することや、訂正時の経緯・理由の開示等を明確化しています。従来は有効性を評価しなくてよかったという意味ではありません。IT統制だけを全社共通で最大の変更とせず、自社のリスク・評価範囲に照らして確認します。
2026年のAI監査トレンド
1. 継続的統制モニタリング（CCM）の対象と運用条件
定期評価と日常のモニタリングを組み合わせ、必要な統制を継続して確認する設計を検討します。「24時間365日の継続的モニタリング」は原記載の運用例で、2026年に標準化したという比較原典は未確認です。自動検知の対象・稼働時間・確認遅延・誤検知と担当者の対応を定め、年次評価や四半期の報告を自動監視だけで代替しません。
2. J-SOX調書のAIレビュー
J-SOX調書のAIレビューでは、次のような処理を設計案として検討できます。デザインファクター記載を自動レビューするという原説明の製品・案件・実績原典は未確認です。一般的な処理概要と、特定システムの実用化実績を区別します：
- Excel調書から関連セクションを自動抽出
- 参照基準（PDF等）に基づくAIレビューの実施
- 大規模PDFのチャンク分割と、分割で失われる文脈・参照先・抽出漏れの検証
- 個別チャンクの結果を統合した最終レポートの自動生成
3. AIエージェントがSOXリスクに
AIを業務に用いる際の確認事項として、AIエージェント自体がSOX統制上のリスクになっています。AIが役割・権限・アクセスポリシーを変更できる環境では、「どの自律プロセスが、どのポリシーに基づいて、何を行い、エンドツーエンドで証明できるか」が問われます。
4. 監査業務のAI自動化
監査でのAI活用率や検出効果は、調査条件・母数・対象業務で異なります。個別事例の原典を確認し、次のような処理を支援対象として検討します。自動化範囲と判断責任は業務ごとに定めます：
- データ照合・突合の自動化
- 承認プロセスの自動検証
- 異常検知（不正パターンの検出）
- 統制テストの自動実行
内部統制構築の5ステップ
- リスクの識別と評価：財務報告に影響するリスクをトップダウンで洗い出す
- 統制活動の設計：各リスクに対する統制手続き（承認・照合・権限分離等）を設計
- 文書化：業務フロー、リスクコントロールマトリクス（RCM）、業務記述書を作成
- 運用テスト：統制が設計通りに運用されているかを検証
- 評価と報告：有効性を評価し、内部統制報告書を作成・提出
よくある質問（FAQ）
Q1. J-SOXとSOXの違いは？
SOXは米国のサーベンス・オクスリー法、J-SOXは日本の内部統制報告制度の通称です。日本ではトップダウン・リスクベースで評価範囲を決め、内部統制監査と財務諸表監査を連携させます。米国のPCAOB AS 2201も統合監査とトップダウンの手法を定めているため、この2点だけを日本固有の相違とはしません。適用会社・報告と監査の対象・免除等は各制度で確認します。（AS 2201）
Q2. J-SOX改訂で最も影響が大きい変更は？
改訂は報告の信頼性、IT委託・セキュリティ、評価範囲の決定や訂正理由の開示等を扱います。どの変更の影響が大きいかは自社の事業・リスクで判断し、クラウド・リモートワーク等の利用に応じた統制を検討します。ITGCの範囲が全企業で一律に拡大したとは扱いません。
Q3. AIで内部統制をどこまで自動化できますか？
PwC Japan監査法人は2025年7月7日の発表で、複数企業との実証により、特定条件下で生成AIとGRCツールを使い、全社的な内部統制の42の評価項目例の一次評価を自動化できたとしています。全企業・全調書での自動化や監査意見の自動決定を示すものではありません。証拠・対象・例外を確認し、人が評価・判断します。（発表原典）
Q4. 中小企業にも内部統制は必要ですか？
J-SOXは上場会社等の法令上の対象会社に係る財務報告の制度です。提出義務・監査義務の免除条件と、企業集団や委託業務の評価範囲は別に確認します。未上場であることだけで関係する統制の評価が不要とは判断しません。企業規模に応じた内部統制は経営の基盤となり、IPO準備では上場審査と報告制度への対応を分けて整備します。
Q5. 監査ログの保管はどうすべきですか？
全操作の監査証跡をデータベースに記録し、改ざん不能な状態で保管します。ユーザーID、操作内容、タイムスタンプ、アクセス元IPを含む構造化されたログが基本です。必要な保存期間や記録項目は、法令、社内規程、監査方針に照らして定めます。