J-SOX解説：財務報告に係る内部統制とITコントロールの実務（2026年版）

日本の規制環境ガイドシリーズの一部です。サイバーセキュリティ・個人情報保護の全体像は日本のサイバーセキュリティ法・ガイドラインをご覧ください。

日本で上場している企業グループ——あるいはその子会社——であれば、気付いているかどうかにかかわらず、すでにある内部統制の制度の中にいます。それがJ-SOXです。日本の上場親会社の連結決算に重要なウェイトを占める海外子会社のITコントロールがJ-SOXのスコープに入っている、と監査の過程で初めて知る——これがよくある発見のされ方です。

私はCISSP・CCSP保有の情報セキュリティ実務者であり、日本における登録セキュリティスペシャリスト（情報処理安全確保支援士）でもあります。J-SOXは、ITコントロールという私の世界と、財務・監査の世界が交差する場所です。「あなたのシステムはJ-SOXのスコープに入っています」と突然言われて、何のことかよくわからないまま対応を迫られる——そんな状況にある方に向けた解説がこの記事です。

J-SOXとは何か

J-SOXは、**金融商品取引法（FIEA / 金融商品取引法）に基づく財務報告に係る内部統制（ICFR）**の報告制度です。FSAが2007年に基準を公表し、2008年4月開始の事業年度から適用されています（EisnerAmper）。

仕組みは米国SOXと大枠で似ています——経営者はICFRの有効性を評価・報告し、独立した監査人がその評価に対して意見を表明します。この類似から「J-SOX」の名が付きましたが、その下にあるフレームワークには日本独自の特徴があります。

フレームワーク：4つの目的と6つの構成要素

米国の内部統制の考え方（COSO）が3つの目的と5つの構成要素を採用しているのに対し、J-SOXは4つの目的と6つの構成要素を使います（ComplianceOnline）。

• 4つの目的： 業務の有効性・効率性、財務報告の信頼性、法令等の遵守、そして追加された資産の保全。
• 6つの構成要素： 統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、そして——海外のITチームが注目すべき——「ITへの対応」。

この第6の構成要素こそが、財務報告の制度に情報セキュリティの実務者が関心を持つ理由です。J-SOXはITコントロールを内部統制の第一級の要素として明示的に位置付けています。

→ 詳細記事：J-SOXにおけるIT全般統制（ITGC）——監査人が何を求めるか

スコープ：海外子会社を含む連結ベース評価

これが海外のチームが驚くポイントです。J-SOXは連結ベースで評価されるため、日本上場の親会社の海外子会社もスコープに含まれる可能性があります。

スコープの決定はリスクベースかつ定式化されています——経営者は重要性に基づき（通常は売上高で）拠点・事業部門を順位付けし、連結売上高のおおむね3分の2に累積カバレッジが達する線を引いた上で、重要な勘定科目とそれを支えるプロセス・ITシステムを評価します（EisnerAmper）。日本の親会社の連結数値に対して自社が重要なウェイトを持つ場合、そのプロセスとITコントロールはJ-SOXの評価スコープに入っている可能性が高いです。

2023年改正：IT統制の強化

J-SOXは静的な制度ではありません。FSAの2023年改正では、評価範囲の拡大、IT統制要件の強化、ガバナンス要件の充実が図られ、2024年4月以降に開始する事業年度から適用されています（EisnerAmper）。

この方向性が重要です——日本のグループ企業がクラウド・SaaSへの移行を進める中、改正はそれに対応できるようIT統制の厳格さを高めています。システムのアップグレード、クラウド移行、新規アプリケーション導入は、コントロールの文書化が遅れがちになる正にその場所であり、強化された期待値が問われる場面でもあります。大手グループも例外ではありません。

→ 詳細記事：J-SOXにおけるクラウド・SaaSのコントロール

J-SOXと米国SOXの違い

米国SOXを基準にしている方は、類似点ではなく相違点を起点に考えてください。

実務上の要点：J-SOXは「日本語版SOX」ではありません。米国SOXのプログラムを持つ組織には転用できる部分も多いですが、フレームワークの形状、資産保全という目的、明示的なIT構成要素、連結ベースでの海外スコープは日本固有です。

実務担当者のための対応ガイド

監査アドバイスではなく、実務担当者としての第一ステップです。

• スコープ対象かどうかを確認する。 日本上場の企業か、またはその重要な子会社か？　連結売上高に対する重要性がトリガーです。
• スコープ内のプロセスとそれを支えるITシステムをマッピングする。 J-SOXは財務データがシステムを流れる経路を追います。
• IT全般統制（ITGC）を整備する——アクセス管理、変更管理、運用管理。詳細はITGC詳細記事を参照。
• クラウド・SaaSをコントロールの説明に含める；プロバイダーへの依拠には独自のルールがあります。詳細はクラウド詳細記事を参照。
• 米国SOXプログラムがあれば整合を取り、日本固有のギャップのみを埋める——重複作業ではなく。

参考文献

• J-SOX: Japan’s Sarbanes-Oxley equivalent （EisnerAmper, 2026-06-11 確認）
• Internal Control Provisions in Japan’s FIEA (J-SOX) （ComplianceOnline, 2026-06-11 確認）
• J-SOX vs Sarbanes-Oxley Act: key differences （Zluri, 2026-06-11 確認）
• Financial Instruments and Exchange Act （概要, 2026-06-11 確認）