日本の製造業におけるJ-SOX対応と承認ワークフロー

4月。静岡県浜松市に本社を置く東証プライム上場の工作機械メーカーが、J-SOXの内部統制評価に向けて準備を進めています。経理、購買、現場を合わせて約300名の従業員が働いています。システムは動いています。数字も合っています。問題はその間にあるものです。購買の承認はいまもメールで飛び、仕訳の修正は電話と一言のメモで済まされています。押印された請求書はバインダーに綴じられ、デジタルの記録には別の金額が残っています。監査人がやってきたとき、誰が、いつ、なぜ承認したのかを復元できる人は誰もいません。

これが、メールと押印とスプレッドシートの継ぎ接ぎで製造業を回すことの静かなコストです。統制は存在します。証拠が存在しないのです。

課題の構造（いま何を失っているか）

上場する日本企業にとって、J-SOXの内部統制は選択ではありません。職務分掌の証拠、文書化された承認、そして誰がどの記録をいつ変更したかの明確な痕跡が求められます。基準が求めるのは「主張」ではなく「提示」です。

メールと押印のプロセスは、この試練に3つの具体的な形で敗れます。

第一に、職務分掌を証明しづらいことです。発注を入力する担当者が、そのまま承認まで兼ねてしまうことがあります。取引先に急かされれば、メールのスレッドに他の人がおらず、結局その人が完了させます。J-SOXは、依頼者と承認者と記録者が別々であり、監査人が追える形で残ることを求めています。

第二に、承認の証拠が消えてしまうことです。押印された紙の請求書は「見た」ことは証明できても、条件を確認したか、金額に対して正しい管理者が決裁したかまでは証明できません。半年後に監査人が大きな支払の理由を問えば、戻ってくるのは明確な判断ポイントのない転送メールの山だけです。

第三に、変更が見えないことです。だれかが仕訳を修正すると、スプレッドシートは前の値を上書きします。変更前も変更後も、タイムスタンプも残りません。日本の中小企業の多くでは、月次決算にいまなお1週間から2週間、あるいはそれ以上かかります。理由の一つは、チームが監査証跡を手作業で組み立て直しているからです。

その結果訪れるのが、評価時期の恐怖です。担当者は数週間をかけてバインダーをひっくり返し、順序を再構築し、その時点では誰も記録しなかった判断についての説明文を書きます。内部統制の評価は、取引が起きた当日に取得されるべき証拠を、あとから必死に組み立てる作業に変わってしまいます。

何が変わるのか

モダンな基幹システムは、出発点を変えます。事後に痕跡を復元するのではなく、業務が進むと同時に痕跡を取得します。日本市場向けに作られたモジュラー型のERPである基幹システムは、まさにこの思想を中心に据えて設計されています。

この変化は、J-SOXが求めるものに直接対応するいくつかの能力の上に成り立ちます。

承認ワークフローエンジンが、依頼を正しい役割へ自動で回します。ルールは一度定義します。たとえば、ある金額を超える購買は部門長へ、クレジットメモは営業以外の二次決裁を必須に、といった具合です。依頼は、誰もメールで承認を追わなくても正しいキューに届きます。職務分掌は記憶ではなく経路に組み込まれます。

役割ベースのアクセス制御が、誰に何ができるかを決めます。権限は役割、部門、役職ごとに割り当てられ、請求書を入力する人が同じ帳簿に計上することはできず、現場の作業者が財務諸表を見ることもありません。各社のデータは互いに分離されて保たれます。これは複数の事業体を運営するグループにとって重要な点です。

ログインは企業環境に合わせて強化されています。パスワードレスのパスキーログインが、共有パスワードという最も弱い環節を取り除きます。二要素認証が二つ目の確認を加えます。ログインを社内ネットワークに限定できれば、社屋の外で漏れた認証情報が帳簿に届くことはありません。

すべての記録変更が追跡されます。仕訳の編集、取引先の条件更新、決算期の調整のいずれが起きても、システムは誰がいつ変更したかを記録します。この監査証跡こそが、内部統制の評価が本当に求めている生の素材です。

これはJ-SOXの認証ではありません。もっともらしい内部統制のストーリーを可能にする証拠の層です。システムはプロセスを支えます。結論を下すのは、貴社の経理チームと監査人です。

実際のシナリオ

浜松の工作機械メーカーに戻りましょう。現在、5,000万円の設備購入は、購買担当者がスプレッドシートに発注を打ち込むところから始まります。工場長はメールで一言だけ返します。「承認」。請求書が届き、押印され、綴じられます。J-SOXの評価で監査人が承認の連鎖を求めたとき、チームは4日をかけて転送メールをかき集め、タイムスタンプを比較し、誰がいつ何を知っていたのかを復元します。

同じ購入が基幹システムを通る場合を想像してください。購買担当者が依頼を作成します。ワークフローエンジンが金額を把握し、役員決裁の閾値を超えることを認識して、ものづくり部門の責任者へ回します。その管理者は、予算の文脈が見える同じシステム上で確認し、一回の操作で承認します。承認はタイムスタンプと名前とともに記録されます。

請求書が届いたとき、システム上で発注と突き合わせられます。二要素認証が計上する経理担当者を確認します。役割ベースのアクセスが、請求書を入力した人と期を締める人が別々であることを保証します。すべての段階が監査証跡に残ります。

前後の違いは測定可能です。再構築に4日かかっていた承認の証拠が、数分で出力できるようになります。職務分掌は熱心さではなく設計によって見えるものになります。月次決算は引き締まります。チームが決算の最中に証跡を組み直す必要がなくなるからです。

これこそ、内部統制の評価が報いる成果です。完璧なシステムではなく、一貫し、追跡可能なシステムです。

日本でなぜ重要なのか

日本は問題の重さを一段と強めます。2025年のレガシー問題は、約12兆円の潜在的な経済影響があると広く引用され、多くの企業をセキュリティ更新が届かない老朽化したオンプレミスシステムの刷新へと押し出しました。サポート終了のソフトウェアで動き続けるシステムは、それ自体が内部統制の弱点です。未修正のインフラは開いた扉であり、監査人が必ず指摘するものです。

日本の人手不足がもう一つの層を加えます。経験豊かな担当者が定年で退職し、暗黙の承認慣行をいっしょに持ち去れば、バインダーもメールの連鎖も意味を失い始めます。中小企業の後継者問題は、監査可能で移譲可能なシステムの価値を引き上げます。後継者が、作った人に聞かなくても統制を読めるからです。

日本の製造業はさらに、2023年10月に始まった適格請求書制度にも直面しています。経過措置の仕入税額控除の割合は2026年の税制改正で見直されました。クレジットメモ、登録番号、そして売上税の負債勘定と仕入税の資産勘定の分離は、すべて綺麗な記録を必要とします。売上税を負債として、仕入税を資産として強制し、適格請求書発行事業者の登録番号を印刷用に保持するERPは、証拠ファイルから手作業の誤りというカテゴリーを取り除きます。

ロットとバッチの追跡が全体像を整えます。工作機械メーカーにとって、不良部品のリコールは、製造オーダー、在庫移動、出荷を通じて一つのロットを追跡することを意味します。この同じ追跡可能性こそ、物理資産と原価の流れについて内部統制の評価者が見たがるものです。

ここにも一貫したパターンがあります。適格請求書からロットのリコールまで、日本特有の義務はすべて、元となるシステムがデータを一度、正しく、発生元で取得すれば、証拠として提示しやすくなります。

貴社に当てはまるか

J-SOXの評価に向けて準備中の日本企業のCFO、業務責任者、経営者、あるいは四半期ごとに承認の証拠を組み直すのに疲れている方にお読みください。

承認がいまだメールの中に生きているとき、この問題は最も重くのしかかります。経理チームがPDFを転送し、請求書に押印のために印刷し、直近の設備投資を誰が承認したかを記憶に頼っているなら、監査証跡はすでに損なわれ始めています。

来年以内にレガシーシステムを刷新する予定であれば、理由はさらに強くなります。サポート終了のインフラの入れ替えは、統制に目のない新しい基幹システムにワークフローのルールを後付けするよりも、統制の層を引き上げる自然なタイミングです。

上場水準のガバナンスへと成長していること、あるいは事業の承継を控えていることも、さらに高いハードルを設けます。監査可能なシステムは綺麗に移譲できます。メールの痕跡はできません。

これが何でないかをお伝えします。監査法人の代わりでも、J-SOXの認証でも、サインオフの保証でもありません。システムは、内部統制のストーリーを組み立てるための証拠を経理チームに提供します。結論を下すのは、やはり監査人です。

よくある質問

こうしたERPを使えばJ-SOX対応が保証されますか。

いいえ。システムが提供するのは、J-SOXの評価者が探す証拠です。役割ベースの承認、経路に組み込まれた職務分掌、そして記録変更の完全な監査証跡などです。統制の枠組みを設計し、対応の結論を所有するのは、やはり貴社の経理チームと監査法人です。ERPはプロセスを支えますが、認証するものではありません。

記録を修正したとき、監査証跡は実際にどう働きますか。

仕訳、取引先の条件、決算期の調整を問わず、記録へのすべての変更は、変更した人と発生時刻とともに取得されます。変更前と変更後の状態は見えるまま残り、監査人は何を、誰が、いつ変更したかを正確に追跡できます。これは、修正が前の値をただ消し去るスプレッドシートの上書き問題を置き換えるものです。

一部の取引ではメールでの承認を続けてもよいですか。

可能ですが、システムを通して承認を回せば証拠が自動で取得されます。メールでの承認は後からの再構築を必要とし、それこそがいまのJ-SOX時期にかかっているコストです。重要な取引について、承認をワークフローエンジンに載せることは、焦燥を定型の決算業務に変えます。

社内ネットワークにログインを限定すると、リモートワークが遅くなりますか。

アクセスを狭めるものであって、奪うものではありません。二要素認証とパスワードレスのパスキーログインにより、正規の利用者にはログインが速いまま保ちつつ、信頼できない環境で認証情報が使われるのを防ぎます。上場水準の多くの企業は、社内ネットワークへのログイン制限を生産性の障壁ではなく、基本統制として扱っています。

重要なポイント

J-SOXの内部統制は、主張より証拠に報います。評価時期を穏やかに切り抜ける企業は、基幹システムが業務の進行と同時に承認を取得し、職務を分掌し、すべての変更を記録する企業です。何ヶ月もあとになって、メールと押印から痕跡を組み直す企業ではありません。

整った統制に向けて次の一歩を

基幹システムは、承認ワークフロー、役割ベースのアクセス、パスワードレスのパスキーログイン、二要素認証、社内ネットワークへのログイン制限、そして完全な監査証跡を、日本市場向けにネイティブに作られた一つのモジュラー型のERPにまとめています。まずは2ユーザーまで無料、カード不要で始められます。システムが証拠を書き記すとき、貴社の承認の記録がどう読まれるかを確かめてみてください。

→ 無料で始める

関連記事

• クラウドERP 基幹システムの選び方ガイド
• 日本企業のためのバイリンガル基幹システム