▦BENTO

J-SOX（財務報告に係る内部統制）で、業務プロセスのどこにリスクがあり、どの統制で防いでいるかを文書化するための基本セット。3つの文書は同じ統制Noで相互に紐付き、整合している必要がある。本アプリはこの3点を1つのデータ（SSOT）から自動生成する。

取引の発生から会計計上までの作業手順を順番に文章で記述し、各統制の目標・内容・職務分掌・根拠規程・証憑をまとめる。フロー図が「図」、RCMが「表」なのに対し、記述書は「文章」で同じ内容を説明する。例外処理や改訂履歴も含む。

部署・担当者ごとの縦列（スイムレーン）に作業を並べ、開始・処理・判断・書類・データ・DB・終端などの記号と矢印で取引の流れを描く。統制が効くポイントには統制Noを付す。取引の発生から仕訳→元帳→終端（会計計上）まで到達していることが求められる。

各リスクに対しどの統制が対応するかを行単位で示し、アサーション・頻度・種類・キーコントロール・整備/運用の評価結果まで横並びで一覧化する。リスクと統制の漏れや不整合を発見しやすく、3点セットの中で監査人が最も重視する。

リスク・統制・フロー等を1か所のデータベースで一元管理し、そこから記述書・フロー図・RCMを投影（生成）する設計思想。同じ統制を各文書に二重入力しないため、表記揺れや不整合が起きにくい。修正は元データを直すだけで全文書に反映される。

統制Noが記述書・フロー図・RCMで一致しているか、リスクに統制が対応しているか、アサーションが整合しているか、KC根拠やIPE・ITGC連携があるか、フローが仕訳→元帳→終端まで到達しているか等を自動チェックする。大手監査法人レビューで頻出する不備を事前に潰せる。

財務報告の信頼性を損なう事象を指し、本アプリでは「いつ・誰が・何を・どのように」(5W1H)を含む『〜するリスク』形式で書く。各リスクには毀損するアサーションと重要度（高/中/低）を付す。大きく誤謬リスクと不正リスクに分かれる。

故意ではない人為的ミスやシステムの不備で、金額や計上時期を誤るリスク。入力ミス・計算誤り・転記漏れなどが典型。意図的な不正リスクとは区別して識別する。

故意に財務諸表を偽る、または資産を横領するリスク。不正は「動機（プレッシャー）」「機会（やれる隙）」「姿勢（正当化）」の3条件が揃うと起きやすい（不正のトライアングル）。本アプリではこの3区分を明記してリスクを識別する。

財務諸表への影響の大きさと発生可能性からリスクをランク付けする。重要度が高いリスクには、より確実な統制（とりわけキーコントロール）を配置する。評価範囲やテストの厳しさを決める基準にもなる。

承認・照合・確認などの具体的な作業で、リスクを許容範囲まで低減する。本アプリでは「いつ・誰が（実役職）・何を・どのように・何に基づき（規程条項）・証跡は何か」を具体的に記述することを求め、「上長が確認」だけのような曖昧な記述は不可とする。

他で代替できず財務影響が大きい、リスク低減に決定的な統制。RCMでは★で示し網掛けする。評価（テスト）はKCを中心に行う。過剰に指定せず高リスクに絞るのが原則で、KC比率が高すぎると十分性の観点から絞り込みが必要になる。

統制がどれくらいの頻度で行われるかの区分。頻度は運用評価でのサンプル件数（母集団）に直結し、本アプリでは都度・日次は25件、月次2件、年次1件などのサンプルルールに対応づく。月次以上の低頻度統制は取引フロー外として扱われることがある。

統制が果たす役割の型。承認（権限者の許可）、照合（突合せ）、確認（チェック）、分析（趨勢比較）などがあり、リスクの性質に合った種類を選ぶ。各統制に1つ付与してRCMに記載する。

防止的統制は誤りや不正が起きる前に止める（例：承認なしでは発注できない）。発見的統制は起きた後に検出する（例：月次で残高を照合し差異を調査）。両者をバランスよく配置することが望ましい。

一次的統制は取引の処理時点で直接リスクを防ぐ（多くは防止的）。二次的統制は事後のモニタリングや照合で補完する（多くは発見的）。本アプリでは防止的を一次的、発見的を二次的に対応づけて整理する。

統制が誰の手で実行されるかの区分。自動(ITAC)はシステムが自動で実行、手動は人が紙等で実施、IT依存手動はシステム出力（帳票・データ）を人が確認する。IT依存手動・自動統制は、依拠するシステムの信頼性（IPE・ITGC）の検証が前提となる。

システムが出した一覧表やデータを使って人がチェックする統制。出力データが完全・正確でないと統制が機能しないため、その情報の信頼性（IPE）と、システムを支えるITGCの評価が必要になる。

申請・承認・記帳・現物管理などを別々の人に分けることで、1人による不正や誤りを防ぐ統制の基本原則。例えば発注する人と検収する人を分ける。不正の「機会」を断つ最も重要な仕組みの1つで、記述書に分掌の説明を記す。

購買プロセスで、発注内容・実際に受け取った物・請求された金額の3つの書類を照合し、一致を確認してから支払う統制。数量・単価・金額の誤りや架空請求を防ぐ代表的な照合統制（マッチング）。

各サブプロセスや統制が、財務諸表上どの科目に影響するかを示すために紐付ける。例えば販売プロセスなら「売上・売掛金」。科目とアサーションを結ぶことで、財務諸表のどの主張を守る統制かが明確になる。

承認印のある注文書、検収書、突合表、システムのログなど、統制が実際に行われたことを裏付ける資料。評価（テスト）はこの証憑を確かめて行う。本アプリでは証憑の正式名称を記載し、業種により保管年数も示す。

誰が・いつ・何を行ったかを後から追跡できる記録（承認ログ、変更履歴、タイムスタンプ等）。証憑と近い概念で、特にシステム上の操作記録を指すことが多い。改竄されない形で残っていることが望ましい。

決算日をまたぐ取引を、属すべき会計期間に正しく計上する手続。出荷基準・検収基準などの収益認識時点に沿って期末前後の取引を区分する。期ズレ防止のためアサーションの期間配分（CO）に直結する。

出荷・検収・引渡や進行基準、本人/代理人（総額/純額）判定、ライセンス/ロイヤリティ、保険料など、業種により収益を計上する時点と金額の考え方が異なる。期ズレ（カットオフ）や架空売上の防止が統制の主眼になる。

財務諸表の各項目が満たすべき正しさの主張。実在性(E)・網羅性(C)・権利と義務の帰属(RO)・評価の妥当性(V)・期間配分の適切性(CO)・表示の妥当性(PD)の6つ。各リスクが毀損するアサーションと、各統制がカバーするアサーションを紐付け、両者が一致しているかをチェックする。

帳簿に載っている売上や資産が架空でなく本当に存在・発生しているという主張。架空売上や水増し計上を防ぐ統制が対応する。アサーション6区分の1つ。

発生した取引がすべて漏れなく帳簿に記録されているという主張。計上漏れ・簿外取引を防ぐ統制が対応する。連番管理や全件照合などが網羅性を担保する。

計上された資産に対する権利、負債に対する義務が確かに会社に帰属しているという主張。預り資産を自社資産と誤計上しない、担保差入れの開示漏れを防ぐ等の論点に対応する。

貸倒引当金・棚卸資産の評価減・時価評価など、計上額が会計基準に沿って妥当に算定されているという主張。見積りや評価の正確性を担保する統制が対応する。

売上や費用が正しい期に計上され、期ズレがないという主張。決算日前後の取引（カットオフ）を正しく区分する統制が対応する。期末の押し込み計上などを防ぐ。

科目分類・表示区分・注記などが会計基準に沿って適切に行われているという主張。開示チェックや組替などの統制が対応する。決算・財務報告プロセス（FCRP）で特に重要になる。

代表的な取引を1〜数件選び、発生から計上まで証憑を辿りながら、統制が設計どおりに業務に組み込まれているかを確認する。主に整備状況評価（表Ⅵ）で用いられ、統制の存在と妥当性を検証する。

統制が「リスクを防ぐように正しく設計され、実際に整備されているか」を確認する評価。主にウォークスルーで1〜数件を辿って検証する。本アプリでは表Ⅵの調書として、評価手続・結果・評価者・評価日を記録する。運用評価の前提となる。

整備された統制が評価対象期間を通じて実際に運用され続けたかを、サンプルを抽出して検証する。母集団から所定件数を選び、逸脱（不適切な事例）の有無を確かめる。本アプリでは表Ⅷの調書として母集団・件数・逸脱数・結論を記録する。

全件を確かめる代わりに代表サンプルを抽出してテストする手法。本アプリでは頻度に応じてサンプル件数を決める（都度・日次25件、月次2件、年次は全件1件など）。無作為抽出や全件抽出といった抽出方法を用いる。

評価対象期間に統制が実施された取引・事象の全体。ここから一部を抽出（サンプリング）してテストする。母集団の件数と期間を特定することが運用評価の前提で、母集団の網羅性自体がIPEの論点になる。

運用評価のサンプルテストで見つかった、統制が正しく実施されていなかった件数。逸脱が許容範囲を超えると統制が有効でないと判断され、不備（デフィシエンシー）の検討につながる。本アプリは逸脱件数をRCMと評価調書に記録する。

統制が無い・設計が不十分・運用されていない等で、リスクを防げていない状態。影響度により重要な不備・開示すべき重要な不備に分類される。発見されたら是正（改善）が必要となる。整合性チェックでも不備・警告として検出される。

Information Produced by the Entity の略で、統制に使う一覧表やデータが信頼できるかを担保する考え方。本アプリでは網羅性（completeness）・正確性（accuracy）・改竄防止（tamperProof）の3観点で検証する。自動・IT依存手動の統制では、この検証記録がないと統制の有効性が揺らぐ。

IT General Controls。個々の業務処理ではなく、システム環境全体を健全に保つ統制。アクセス権限管理・プログラム変更管理・運用管理（バッチ）・バックアップ/DR・セキュリティ・外部委託管理などからなる。ITACが正しく機能する前提となり、表Ⅸで対象システム・リスク・統制活動・評価結果を管理する。

IT Application Controls。システムが業務処理の中で自動的に行う統制（入力チェック、自動計算、承認限度のシステム制御、連番採番など）。実施形態の「自動(ITAC)」に対応する。ITACが正しく働く前提として、その土台となるITGCの有効性が必要になる。

誰がどの機能・データにアクセスできるかを職務に応じて制限し、特権ID（強い権限）の利用を管理する統制。職務分掌をシステム上で担保する基盤で、不正アクセスや不適切な操作を防ぐ。ITGC（表Ⅸ）の代表的な区分。

プログラムの変更を、開発・テスト・本番移送の役割を分けて承認のうえ行う統制。未承認の改修や不正な変更が本番システムに混入するのを防ぐ。開発と移送の職務分掌が重要。ITGC（表Ⅸ）の代表的な区分。

管理者権限など、データ改竄や設定変更ができる強いID。乱用されると統制を回避できてしまうため、付与の最小化・利用ログの監視・定期棚卸が求められる。アクセス権限管理ITGCの重点項目。

決算・見積りなどで使う重要なスプレッドシートに対し、ロック・計算式の検証・版数管理などを行う統制。EUC（End User Computing）はユーザーが自作するツールを指し、システムの統制が及びにくいためIPEとは別に明示することが望ましい。

Entity Level Controls。個々の業務ではなく、経営者の姿勢・組織体制・方針など全社に効く統制。COSOの6つの基本的要素（統制環境・リスク評価・統制活動・情報と伝達・モニタリング・ITへの対応）に沿って評価項目（着眼点）を設け、表Ⅰで会社の統制状況を確認する。

COSOの基本的要素の1つで、内部監査や経営者による定期的な点検を通じて統制の有効性を継続評価し、不備を是正につなげる。日常業務に組み込む方法と、独立的に評価する方法がある。多くは取引フロー外の二次的・発見的統制として位置づく。

日常の取引処理ではなく、決算整理・連結・開示資料作成に係るプロセス。トップサイド仕訳・残高分析・新会計基準の適用・開示チェックなど、表示の妥当性（PD）に直結する統制が集まる。全社的な財務報告ガバナンスの中核で、ELCとも結びつく。

通常の業務処理を経ず、決算で上層部や経理が直接計上する調整仕訳。業務統制をすり抜けやすく金額も大きいため、利益操作の温床になりやすい。承認・根拠資料・レビューの統制を効かせることが重要で、FCRPの重点論点。

内部統制を体系化した国際的な枠組みで、統制環境・リスク評価・統制活動・情報と伝達・モニタリングの5要素（J-SOXではITへの対応を加え6要素）からなる。本アプリは各統制にCOSOの基本的要素を紐付け、ELC（表Ⅰ）の評価軸として用いる。

金融商品取引法に基づく内部統制報告制度（J-SOX）の実務指針で、評価範囲の決め方・3点セットの作り方・評価手続を定める。2023年に改訂された。本アプリはこの実施基準とCOSO 2013に準拠し、大手監査法人のレビューに耐える品質を目指す。

Key Audit Matters。監査報告書に記載される、当年度の監査で特に重要と判断した事項。会計監査調書セットで扱います。

Summary of Audit Differences。監査で発見された未修正の差異を集計し、重要性と比較する調書。

Financial Closing and Reporting Process。決算数値を確定し開示資料を作るまでの一連のプロセス。J-SOXの評価対象領域のひとつ。

Forward Deployed Engineer。会計士がクライアント先に入り込み、管理部の仕組みそのものを設計・構築・定着させる伴走型サービス。

Financial Due Diligence。M&Aの前に対象会社の財務内容を調査する手続。M&A DD・SPAパッケージで扱います。

Quality of Earnings。一時的な損益を除いた実力ベースの利益。M&Aの価格算定の基礎になります。

Share Purchase Agreement。M&Aの最終契約。表明保証・価格調整・補償条項などをDDの発見事項とつなげて設計します。

有価証券報告書等の開示書類を機械可読にするための国際標準形式。開示AIパッケージで扱います。

NPV=正味現在価値、IRR=内部収益率。投資評価の基本指標で、事業計画（FP&A）パッケージで扱います。

ARR=年間経常収益、NRR=売上維持率。SaaS等の継続課金ビジネスのKPI。事業計画（FP&A）パッケージで扱います。

LTV=顧客生涯価値、CAC=顧客獲得コスト。マーケティング投資の採算を測る指標。

IT Application Control。システムが自動で行う統制（自動計算・自動照合・入力チェック等）。ITGCが有効であることを前提に依拠します。

暗号資産の送付時に送付人・受取人情報を通知する規制。暗号資産交換業者の監査・UAT会計検証で登場します。