上場会社約3900社および関係会社に対し、財務報告にかかる内部統制の整備を求める「日本版SOX法（J-SOX）」の適用開始が着々と迫っている。3月期決算の企業の場合、単純計算すると残された期間は13.5カ月しかない。特にはじめの2カ月は大切だ。SOX法対応の経験を持つコンサルタントや公認会計士、ユーザー企業の担当者への取材を通じて、システム部門が踏まえるべきポイントを紹介する。

（島田 優子、田中 淳）

日本版SOX法「素朴な疑問」
コミュニケーションの土台を築く
基本は「ムダなく、ムリせず」
座談会●「ITガバナンス強化の契機になる」

【無料】サンプル版を差し上げます本記事は日経コンピュータ2月19日号からの抜粋です。そのため図や表が一部割愛されていることをあらかじめご了承ください。本「特集」の全文をお読みいただける【無料】サンプル版を差し上げます。お申込みはこちらでお受けしています。なお本号のご購入はバックナンバーをご利用ください。

　上場会社約3900社および関係会社に対し、財務報告にかかる内部統制の整備を求める「日本版SOX法（J-SOX）」の適用開始が着々と迫っている。3月期決算の企業の場合、2008年4月に始まる会計年度から適用になる。単純計算すると、準備のために残された期間は13.5カ月しかない。

　残された期間を効率よく使い、システム部門が日本版SOX法に対応していくには、どうすればよいのだろうか。

図●日本版SOX法が求める内部統制整備の目的は、「財務報告の信頼性」を確保することだ
　何といっても大切なのは、はじめの2カ月だ。この時期に、日本版SOX法の全体像を理解した上で、方針や対象範囲を決める（図）。内部統制監査を担当する監査人との信頼関係を築くことも重要だ。これらをあいまいにしたままで作業を始めると、「対策が過剰になり、手戻りが発生しやすくなる」と、ベリングポイントの新井聡マネージングディレクターは指摘する。

　この後も、広く使われているガイドライン（指針）を生かす、「現状プラスアルファ」の方針で進める、といったポイントを踏まえて、効率よく作業を進める必要がある。そうすれば、現時点でほとんど手付かずの企業でも、日本版SOX法への対応を間に合わせるのは決して不可能ではない。

　日本版SOX法や米SOX法（2002年サーベインズ・オクスリー法）への対応に携わるユーザー企業の担当者やコンサルタント、公認会計士の意見を総合すると、ポイントは三つに集約できる。(1)実施基準を読んで、日本版SOX法の全ぼうを把握する、(2)対象となるシステム範囲を決める、(3)監査人からの信頼を得る、である。

(1)　実施基準を読む
IT以外の記述にも目を通すべき

　まずシステム部門が取り組むべきなのは、「実施基準」を読んで日本版SOX法の全貌を理解することだ。特に、システム部門の日本版SOX法対応プロジェクトの担当者や、システム部門の対策に責任を持つシステム部長は必須となる。

　実施基準は、日本版SOX法対応を進めるための実務上のガイドラインとなる文書。同法の考え方に加え、対応プロジェクトの手順や、経営者や監査人が内部統制の有効性を評価する際の方法を例を挙げながら説明している。金融庁のWebページから無償で入手できる。

　日本版SOX法について解説した書籍やWebサイトは数多いが、同法の全ぼうを理解するには、金融庁が作成した実施基準を避けて通れない。「内部統制のあり方は企業ごとに異なる。だが、実施基準を踏まえて対策を考える必要があるという点は、どの企業も共通している」と、金融庁企業会計審議会内部統制部会の専門委員を務める堀江正之 日本大学商学部教授は話す。

　とはいえ実施基準は100ページ近くもあり、システム部員にとって分かりにくい記述も少なくない。それでもベリングポイントの山本浩二ディレクターは、「IT関連の記述だけでなく、最初から最後までひと通り目を通すべき」と主張する。そうしないと、日本版SOX法の全ぼうが見えてこないからだ。

　ただし、KPMGビジネスアシュアランス（BA）の小見門恵 執行役員マネージングディレクターは、「実施基準を解説した本を読むのでも構わない」という。そのときのコツは、「自社に置き換えたらどうなるかを頭の中で想像しながら、読み進めること」（同）。できれば「1週間くらい集中して勉強すべきだ」と、小見門マネージングディレクターは話す。

続きは日経コンピュータ2007年2月19日号をお読み下さい。この号のご購入はバックナンバーをご利用ください。