内部統制・J-SOXの基本と責任体制総まとめ｜経営者の責任・3線のディフェンス・過去問対策
企業の不正防止やコンプライアンス遵守、ITガバナンスの根幹をなす仕組みが「内部統制（Internal Control / J-SOX）」です。IPAの各種試験では、ストラテジ系や法務・セキュリティ分野において「誰が最終責任者か」「統制の構成要素は何か」が繰り返し問われます。
1. 内部統制の4つの目的と6つの基本的要素（COSO / 金融庁フレームワーク）
日本の金融商品取引法に基づく内部統制報告制度（J-SOX）では、内部統制の目的と要素が明確に定義されています。
内部統制の4つの目的 | 内部統制の6つの基本的要素 |
|---|---|
1. 業務の有効性及び効率性 | 1. 統制環境（企業の気風、誠実性・倫理観） |
2. 財務報告の信頼性（J-SOXの主対象） | 2. リスクの評価と対応 |
3. 事業活動に関わる法令等の遵守 | 3. 統制活動（権限分掌、職務分離、承認手続き） |
4. 資産の保全 | 4. 情報と伝達 |
5. モニタリング（日常的・独立的な評価） | |
6. IT（情報技術）への対応 |
2. 責任体制：誰が何に責任を負うのか？
【超頻出ポイント】 内部統制の整備および運用に「最終的な責任」を負っている者は『経営者（代表取締役・CEO）』です。取締役会や監査役、従業員ではありません。
役割・組織 | 内部統制における責務と位置付け |
|---|---|
経営者（代表取締役） | 内部統制の整備および運用に関する最終責任を負い、内部統制報告書を作成・提出する。 |
取締役会 | 経営者による内部統制の基本方針を決定し、その整備・運用状況を監督する。 |
監査役・監査等委員会 | 取締役および経営者の職務執行ならびに内部統制の整備・運用状況を独立した立場から監査する。 |
内部監査部門 | 経営者の直轄として、各事業部門の内部統制の有効性を日常的・定期的にモニタリング・評価する。 |
全従業員 | 各自の担当業務において、定められた内部統制手順（職務分掌・承認等）を遵守・実行する。 |
3. 3線のディフェンス（Three Lines Model）
組織のリスクマネジメントと内部統制を実効的に機能させるための国際標準モデルが「3線のディフェンス」です。
第1線（現業部門 / 業務執行）：日々の業務の中で直接リスクを識別・管理し、統制活動を実行する。
第2線（管理部門 / リスク管理・コンプライアンス・情報セキュリティ）：全社的なポリシー策定、モニタリング、第1線への指導・支援を行う。
第3線（内部監査部門）：第1線・第2線から完全に独立し、ガバナンスと統制の妥当性を経営者・取締役会に客観的に報告する。
4. 頻出過去問パターン
例題（ITパスポート / 基本情報技術者）
問：我が国の金融商品取引法に基づく内部統制報告制度において、内部統制の整備及び運用に最終的な責任を負っている者は誰か。
ア：監査役
イ：株主総会
ウ：経営者
エ：内部監査人
正解：ウ
【解説】内部統制の整備および運用の最終責任者は「経営者（代表取締役等）」です。監査役は監督・監査機能、内部監査人は評価機能を担いますが、最終的な構築・運用責任は経営者が負います。
5. まとめ
内部統制の学習では、単なる用語暗記ではなく「経営者が最終責任を負い、ITを活用して全社的な統制とリスク管理を徹底する」というガバナンスの構造を理解することが高得点への近道です。
この記事に関連する教科書用語
次におすすめの学習
編集・検証について
編集・検証：IT資格ラボ編集部
IPAが公開する試験要綱・シラバス・過去問題と、各技術の公式資料を優先して内容を確認しています。制度変更や誤りを確認した場合は、記事を見直して更新します。
編集方針・情報源・訂正方針を見る