内部統制報告書とは｜システム要因の「有効でない」と判断される本当の理由

公開日： ／更新日：

内部統制報告書とは　検証する人が、いなかった

2025年、キーコーヒーとツインバードが相次いで、財務報告に係る内部統制は「有効でない」と内部統制報告書に記載しました。どちらも新しい基幹システムを入れた直後に会計数値の誤りが見つかり、決算の訂正に追い込まれています。日経クロステックもこの2社を並べて、システム刷新と内部統制の関係を取り上げていました（2025年9月19日、永田雄大記者）。

内部統制報告書は、有価証券報告書とセットで上場企業が提出している書類です。ほとんどのケースで、「内部統制は有効である」と書いて終わります。だからこそ、「有効でない」と書かれた報告書はそれ自体が話題になります。

ただ、この2社を「システム導入に失敗した会社の事故」として読むだけではもったいないです。その後に開示された河西工業とネポンを並べて4社の原文を読んでみると、共通していたのは導入の失敗そのものではなく、システムを入れ替えた瞬間、あるいはシステムとシステムをつないだ場所で、「その数字が正しいかを検証する人」がいなくなっていたことです。

この記事では、内部統制報告書の制度の話から始めて、実際に「有効でない」と判定された4社の開示を読み、そこから何が読み取れるのかを整理します。そのうえで、これから基幹システムを入れ替える会社が、着手前にできることを考えます。

この記事を読んでわかること

  • 内部統制報告書の提出義務と記載事項、そして「不備はあるが有効」と「有効でない」の分かれ目
  • 実際に「有効でない」と判定された4社の不備が、IT統制のどの区分で起きていたか
  • 同じ不備が繰り返される3つの構造的な原因
  • 基幹システムの刷新前に、現実的にどこへ手を入れられるか

内部統制報告書とは｜制度の枠組みと提出義務

内部統制報告書とは、上場企業が、財務報告に係る内部統制が有効かどうかを経営者自身で評価し、その結果を記載して提出する書類です。この書類は、金融商品取引法第24条の4の4に基づくもので、有価証券報告書と併せて事業年度ごとに提出します。いわゆるJ-SOXと呼ばれる制度の中心にある書類です。

内部統制報告書の特徴は、「経営者が自分で評価して、自分で結論を書く」という点です。自社で評価範囲を決め、統制を文書化し、運用状況をテストし、不備が出たらその重要性を判断するところまでが会社側の仕事です。そして、その評価そのものに対して監査人の内部統制報告書に対する監査意見が付きます。

記載事項は、①内部統制の基本的枠組み、②評価の範囲・基準日・評価手続、③評価結果、④付記事項、⑤特記事項の5つです。

「不備はあるが有効」と「有効でない」の分かれ目

ここは誤解されやすいところですが、内部統制に不備が見つかったからといって、直ちに「有効でない」になるわけではありません。

内部統制の不備において、特に重要なキーワードが「開示すべき重要な不備」です。これは、内部統制の不備のうち、一定金額を上回る虚偽記載、または質的に重要な虚偽記載をもたらす可能性が高いものをいいます。これが期末日時点で残っているときに、内部統制は「有効でない」という結論になります。

そのことから、IT全般統制の不備は、それ単体では「開示すべき重要な不備」になりにくいと考えられます。例えば、アクセス権の棚卸しをしていなかった、変更管理の証跡がなかったこと自体は、財務諸表の金額に重要な影響を与えるとは言い切れません。

ところが、これから見る4社は、まさにそのIT全般統制の不備が開示すべき重要な不備に直結したケースでした。IT全般統制と業務プロセス統制の関係については、内部統制とIT統制の違いとIT全般統制（ITGC）とはで整理しています。

「内部統制が有効でない」と判定された4社の不備を、IT統制の区分で見てみる

2025年から2026年にかけて「内部統制が有効でない」と開示した4社について、各社の開示文書を読み、不備がどの区分で起きたのかを並べ直しました。会社側が使っている区分と、IT全般統制の4カテゴリの見方を重ねています。

会社 開示時期 不備の区分（会社開示ベース） 不備の内容
キーコーヒー 2025年8月25日（2025年3月期・訂正報告書） 全社的な内部統制（ITへの対応）／IT全般統制（ソフトウエアの品質管理）／棚卸資産の業務プロセス 2025年1月に導入した新基幹システムで、倉庫間を移動した商品・製品が、入庫済みなのに積送中在庫としても計上されていた。在庫金額が過大になり、有価証券報告書を訂正。受入検証で出荷側の積送中在庫の減少を確認しておらず、不具合を検出できなかった
ツインバード 2025年5月29日（2025年2月期） IT全般統制（システムテスト工程）／全社的な観点に基づく決算・財務報告プロセス統制 2024年12月に導入した新基幹システムで、原価計算とデータ連携の検証が不十分なまま稼働し、在庫購買管理の会計処理に誤謬。決算短信の発表後に複数の修正。開発要件を理解した担当者が退職し、適切な引継ぎがされなかった
河西工業（子会社KMEX） 2025年10月8日（2025年3月期） IT全般統制／業務プロセス統制／全社的な内部統制 新ERPに買掛金の特定時点残高を確認する機能がなく、補う機能も追加開発していなかった。フィット＆ギャップ分析のフェーズも不足。
期末残高の手作業調整が引き継がれず、外部ベンダーの作業結果を検証しないまま総勘定元帳を調整。2023年3月期から3期連続で是正未了となった
ネポン 2026年6月30日（2026年3月期） 全社的な内部統制／棚卸資産評価プロセス 基幹システムからAccessの「テーブル」へのデータ更新登録と「クエリ」の集計対象期間の登録が、2019年3月期から正しく行われていなかった。棚卸資産が過小計上。「当社の内部統制監査においても看過されてしまっていた」と記載

4社を並べると、性質が2つに分かれます。

システム入れ替えに際した不備

キーコーヒー、ツインバード、河西工業は、基幹システムを入れ替えた時に起きた話です。
入れ替え自体は経営判断として妥当ではあったかと思います。問題は、システムを入れ替えた後に「この数字は合っているのか」を確かめる工程が、プロジェクトの中に用意されていなかったことです。

特に河西工業のケースは、開示文書が丁寧で、読むと構造がよく分かります。
メキシコの連結子会社KMEXが2022年初めに導入した新ERPには、買掛金の内訳残高を管理する補助元帳のレポート機能に、特定時点の残高を確認する機能が備わっていませんでした。また、それを補う機能も追加開発していませんでした。結果として、期末残高を手作業で調整して入力する運用になっていました。
その手作業が、買掛金担当マネージャーの交代のタイミングで適切に引き継がれず、一時的に外部ベンダーへ委託されました。そして、外部ベンダーの作業結果データを十分に検証しないまま、その数値に合わせて総勘定元帳を調整したことにより、買掛金残高の誤謬が生まれています。

ひとつずつ見れば、どれも「よくある話」です。機能が足りないから手作業で埋める。担当者が変わる。手が足りないから外に出す。外から返ってきた数字をそのまま使う。悪意はどこにもありません。それでも、最後の「外から返ってきた数字をそのまま使う」ところで誤謬が生まれています。

また、不備の生じた拠点が海外子会社だったという要素も無視できないと思います。 河西工業の開示には、本社がKMEXの決算・財務報告プロセスに十分関与できていなかったことが、全社的な内部統制の不備として繰り返し出てきます。2023年3月期、2024年3月期、2025年3月期と3期連続です。物理的・言語的な距離があると、どうしても内部統制の構築に苦労してしまいます。

業務プロセスのブラックボックス化

そしてネポンだけは、少し毛色が違います。 こちらは新システムの導入の話ではありません。棚卸資産の総平均単価を計算するために、基幹システムのデータをAccessに取り込んで集計する仕組みがありました。その取り込みと集計期間の登録が、2019年3月期から正しく行われていなかったのです。判明したのは2026年3月期に在庫金額の過去推移に疑義が生じたときで、経理部門が自分で検証して初めて分かっています。

ネポンの開示で印象的だったのが、「検証項目が業務手順書や内部統制文書に詳細かつ適切に記載されておらず、当社の内部統制監査においても看過されてしまっていた」という記載です。つまり、この仕組みは評価の対象そのものに入っていませんでした。その結果、ブラックボックスになってしまったものと推測されます。

その後、ネポンの開示には「当該開示すべき重要な不備は是正されております」と再発防止策（テーブル／クエリ更新の上長承認、理論値との単価差額の検証）まで記載されております。

台帳の外で動いている仕組みを、まず洗い出す

システム管理台帳と資料一覧のExcelテンプレート（無料）です。評価対象に入っていないExcel・Accessの棚卸しにも使えます。

テンプレートをダウンロードする

同じ不備が繰り返される3つの構造的原因

4社の事例を並べるだけなら、「テスト不足」「引き継ぎ不足」で片付けられてしまいます。ただ、それでは何も変わりません。なぜその不足が起きるのかを、もう一段掘ってみます。

システムを入れ替える瞬間・拠点をまたぐ瞬間・専任担当者がいない業務の3つで、数字を検証する人が不在になる構造の図
図1　「検証する人」が不在になる3つの場所。4社の不備は、技術的にはばらばらに見えても、いずれも検証者が最初から決まっていない場所で起きている。

導入プロジェクトの体制に、統制の視点を持つ人が入っていない

キーコーヒーもツインバードも、直接の引き金は「情報伝達ルールの不明確さ」や「開発要件を理解した担当者の退職と引き継ぎ不足」でした。また、河西工業では、フィット＆ギャップ分析のフェーズ自体が不足していたと記載されています。

共通しているのは、プロジェクトが「予定通り動かす」ことを最優先に組まれていて、「入れ替えた後も財務数値を検証できる状態を保つ」という視点を持つ人が、最初から体制に入っていないことです。体制図を見ると、情シスと業務部門とベンダーはいるのに、経理と内部監査は「関係者」として名前が載っているだけ、ということが起きます。

では、なぜそうなるのか。ERPの導入計画は、多くの場合ベンダーの標準的な導入期間を基準にスケジュールと予算が組まれます。そこに経理や内部監査を巻き込むという発想は、体制図を書く最初の段階で漏れやすいのです。誰かが意図的に外したわけではなく、単に呼ばれなかった。そして呼ばれなかった人は、後から「なぜ相談してくれなかったのか」と言うしかなくなります。

そのため、システム導入プロジェクトの際には、必ず会計側の要件がわかる人材が参画したうえで、曖昧な部分を潰しこむように働きかける必要があります。

海外子会社・拠点は、本社のガバナンスが物理的に届きにくい

河西工業の不備はメキシコの連結子会社で起きました。フィット＆ギャップ分析の不足という技術的な原因の背景に、本社が現地のシステム導入プロセスを詳細にレビューする体制がなかった、という距離の問題があります。

ここにも順番の問題があります。本社の内部統制評価は国内の主要拠点を中心に設計されがちで、海外子会社は重要性が一定以上になってから評価範囲に入る、という後追いの扱いになりやすいということです。
河西工業が3期連続で是正を完了できなかったことも、この距離の話として読めます。遠い拠点の是正には、気づいた後も時間がかかります。

誰のものでもない業務が、完全なブラックボックスになる

ネポンのケースが示しているのは、「新しいシステムを入れるときだけ危ない」という認識では足りないということです。7年間、Accessという枯れたツールでの集計処理が検証されずに動き続けていました。

なぜこの種の仕組みはブラックボックス化するのでしょうか。個人が作ったExcelやAccessの処理は、そもそも「情報システム」としてIT部門の管理台帳に載っていないことが多いからです。いわゆるEUC（エンドユーザーコンピューティング）の領域です。
管理台帳に載っていなければ、IT全般統制の評価対象にも、内部統制監査の対象にも、最初から入りません。ネポンの「内部統制監査においても看過されてしまっていた」という記載は、まさにその状態を指しています。

3つを並べると、共通する本質が分かります。システムを入れ替える瞬間、拠点をまたぐ瞬間、専任担当者がいない業務。いずれも「検証する人が誰なのか」が最初から曖昧な場所です。 技術的な問題である以上に、体制設計の問題がここにはあるといえます。

2027年問題｜基幹システムの刷新はこれから増える

もうひとつ、時期の問題があります。SAP ERP 6.0（ECC 6.0）の標準保守が2027年末に終了します。いわゆる「2027年問題」です。延長保守という選択肢もありますが、多くの企業はS/4HANAなどへの移行を検討することになります。つまり、基幹システムを入れ替える会社の数自体が、これから増えます。

日本の場合、事情がもう少し込み入っています。欧米企業が導入時に業務プロセスを標準に寄せたのに対し、日本では自社独自のプロセスとアドオンを抱えたまま運用してきた会社が多く、外部ベンダーへの依存度も高い。つまり、フィット＆ギャップ分析で落ちる項目が多く、落ちた分を手作業や追加開発で埋める判断が、現場レベルで大量に発生します。河西工業の「機能がないので期末残高を手作業で調整していた」というのは、その典型例です。

件数が増えれば同種の不備も増える、というのは論理的にはそうだろうと思いますが、そこは予測の話です。私が読者に持ち帰ってほしいのは、統計としての件数ではなく、自社が刷新するときに同じ場所でつまずくかどうかのほうです。

基幹システム刷新で内部統制を壊さないために

ここで「統制の視点を持つ人をプロジェクトに入れましょう」「経営層がリーダーシップを取りましょう」と書くのは簡単です。ただ、正直なところ、それができる会社ならこの記事を読んでいないと思うのです。人が足りない、スケジュールが決まっている、経理は決算で手一杯。そういう前提のほうが現実に近いはずです。

そこで、3つの原因それぞれについて、いちばん小さな手間で効果が出る対策だけを挙げます。

原因①　体制に統制の視点がない全工程に張り付かなくてよい。フィット＆ギャップ分析の結果とテスト計画の2点だけ、経理・内部監査を承認者として通す ／ 原因②　拠点の距離子会社の導入を現地任せにせず、フィット＆ギャップ分析の結果だけは本社がレビューする。契約と計画の段階で工程に入れておく ／ 原因③　ブラックボックス新システムを疑う前に、担当者がひとりだけの業務と、何年も同じExcel／Accessが動いている業務を洗い出す

原因①について補足します。承認者として通すタイミングを2つに絞るのは、経理・内部監査の工数を現実的な範囲に収めるためです。フィット＆ギャップ分析の結果を見れば「標準機能で落ちた項目を、何で埋めるつもりなのか」が分かります。テスト計画を見れば「会計数値が正しいことを、誰がどう確かめるのか」が分かります。この2点さえ押さえれば、河西工業型の「機能がないので手作業」は、少なくともプロジェクトの中で可視化されます。

原因③については、順番を強調しておきたいです。刷新の予定がない会社にとっても、ここは役に立ちます。むしろ費用対効果がいちばん高いのは、この棚卸しだと思っています。管理台帳に載っていない仕組みを洗い出す作業は、システムを1円も動かさずに始められます。何をどこまで台帳に載せるかは、IT全般統制（ITGC）とはで整理した4カテゴリの考え方と、IT全般統制チェックリストを出発点に使ってください。

J-SOXの枠組みの中でIT統制がどう位置づけられるのかは、J-SOXのIT統制では？でも書いています。

基幹システムの刷新を控えている方へ

公認会計士・システム監査技術者として、刷新前の評価範囲の設計、フィット＆ギャップ分析の結果レビュー、IT全般統制の整備をお手伝いしています。プロジェクトが動き出す前のタイミングがいちばん費用対効果が高いので、計画段階でお声がけください。

IT統制構築支援について見る

まとめ

内部統制報告書は、経営者が自ら財務報告に係る内部統制の有効性を評価して提出する書類で、「不備がある」ことと「有効でない」ことは別の話です。分かれ目は、開示すべき重要な不備が期末日時点で残っているかどうかにあります。そして2025年から2026年に「有効でない」と開示した4社を読むと、いずれもIT側の問題が金額の誤りに直結していました。キーコーヒー・ツインバード・河西工業はシステムを入れ替えた瞬間、ネポンはシステムとシステムをつないだ場所です。技術的には別々の話に見えますが、構造は同じで、その数字を検証する人が決まっていませんでした。2027年問題を控えて刷新の件数はこれから増えますから、同じ場所でつまずく会社も増えるはずです。自社の刷新計画があるなら、フィット＆ギャップ分析の結果とテスト計画の2点に経理・内部監査の承認を入れるところから。計画がないなら、担当者がひとりしかいない業務と、何年も同じExcelやAccessが動いている業務を書き出すところから始めてみてください。そのうえで自社の評価範囲やIT全般統制の整備に迷うことがあれば、お問い合わせからご相談ください。

システムを入れ替えた後、その数字を誰が確かめていますか

月次決算・IPO準備・IT統制の実務知見を、月1回メールでお届けします

無料でメルマガを受け取る

参考資料

おすすめ記事

一覧へ