J-SOX の3点セット（業務記述書・フローチャート・RCM）が財務報告内部統制の要求を満たしているか AI にチェックさせてみた

ある上場企業の経営管理部門が、J-SOX（金融商品取引法に基づく内部統制報告制度）の整備評価に取り組んでいました。毎年のことではあるものの、担当者を悩ませるのが「3点セットの網羅性と整合性の確認」です。

業務記述書・フローチャート・RCM（リスクコントロールマトリクス）の3文書は、それぞれが独立して作られていることが多く、リスクIDの名称が文書間でズレていたり、キーコントロール（KC）のフラグが漏れていたりすることが少なくありません。財務報告内部統制の評価及び監査に関する実施基準を何十ページも読みながら、担当者が目視で突き合わせるのが実態でした。

問題は整備評価だけではありません。経営者評価・監査人レビューのたびに指摘が来て、その根拠となる評価基準の原文を都度探して説明する手間も重なります。「なぜこの統制でよいのか」「どの評価基準を根拠にしているのか」を後から示せる仕組みが、ずっと欲しかったと言います。

まず、難しい設定は一切しません。「販売プロセスの3点セットが、財務報告内部統制の整備・運用評価の要求を満たしているか確認したい」と、日常の言葉で入力しました。業務記述書・フローチャート・RCMの3ファイルをドラッグ&ドロップでアップロードすると、AIが確認すべき手順（チェックの観点）を自動で組み立ててくれます。

プログラミングの知識も、複雑なルール設定も不要です。生成された手順は中身を確認して修正でき、一度作れば翌年度以降の整備評価でも同じ観点で繰り返し使えます。プロセスが変わったときは対象文書を差し替えるだけで、同じワークフローが走ります。

手順を保存して実行すると、AIが実施基準・評価ガイドラインの要求事項と3点セットを1観点ずつ照合します。結果はこの1画面に集約されます。ポイントは、すべての判定に「どの評価基準の・どの条項が根拠か」が必ず添うこと。AIの言い分を鵜呑みにせず、人が原文で確かめられます。

AIが適合と判定した4観点は、根拠つきなので素通しで確認できます。人が頭を使うのは、要確認2件と不適合2件の、合わせて4件だけ。担当者は不適合だった2件を文書担当者に差戻し、修正・再提出されたRCMをもとにAIを再実行して、最終的に全観点を承認・確定しました。

一連の操作・判断はすべて改ざんできない監査ログに記録されます。「いつ・誰が・何を・どの根拠で判断したか」が後から完全にたどれるので、外部監査人への説明もそのまま使えます。経営者評価報告書の作成時に根拠を再収集する必要がなく、証跡として即座に提示できるのが大きな安心材料でした。

目視で2〜3日かかっていた1プロセスあたりの整合確認が、わずか数時間で完了しました。全プロセス分の整備評価期間も従来の2週間から2日に短縮。何より、KCの識別漏れとリスクIDの不整合を監査人に指摘される前に自分たちで拾えたことが、担当者にとって一番大きな変化でした。監査人レビューで不備の指摘ゼロで整備評価期を終えたのは初めてのことです。

今回はJ-SOX 整備評価の3点セット点検の事例でしたが、INDX Compliance の使い方はどれも同じです。「ものさしになる文書（実施基準・評価ガイドライン・上位規程）」と「確認したい文書（業務記述書・フローチャート・RCM）」を渡し、根拠つきで突き合わせる。ISO 内部監査の事前点検、社内規程の適合性確認、契約書レビュー——ルールとの照合が発生するあらゆる業務に、同じ手順がそのまま使えます。整備評価から運用評価、さらには年度をまたいだ継続的なモニタリングまで、一度作ったワークフローを使い回すことで、J-SOX 対応全体を仕組みで回せるようになります。