内部統制3点セットの作り方｜業務記述書・フロー図・RCMをAIで下書き

内部統制報告制度（J-SOX）の対応で最初に手が止まるのが、業務記述書・業務フローチャート・リスクコントロールマトリクス（RCM）、いわゆる「3点セット」の文書化です。ひな形を探しても、どこまで細かく書けばよいのか、どの様式が正解なのかがはっきりしません。

結論から言うと、3点セットは法令が様式まで義務付けた書類ではありません。金融庁（企業会計審議会）の実施基準は、業務の流れ図・業務記述書・リスクと統制の対応を「参考例」として掲げたうえで、「必ずしもこの様式による必要はないことに留意する」と明記しています（金融庁・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）」令和5年4月7日）。だからこそ作り方の軸は、様式の模倣ではなく「リスクと統制が追える状態をつくること」に置く必要があります。

この記事では、実施基準の原文に沿って3点セットの位置づけを整理し、作成順・記載項目・整合の取り方を実務手順に落としたうえで、下書きと整合チェックをAI（人間の言葉で指示すると文章や表を作ってくれる道具）に任せる手順とプロンプトを、そのまま使える形で示します。

• 3点セットが実施基準上どう位置づけられているか（義務なのか、参考例なのか）
• 業務記述書 → フローチャート → RCM の作成順と、それぞれの記載項目
• 2023年改訂（2024年4月1日以後開始事業年度から適用）で評価範囲の考え方がどう変わったか
• 3点セットの下書き・整合チェックをAIに任せる手順とプロンプト4本
• 社内の業務情報をAIに貼ってよいかの線引き

内部統制の文書化3点セットとは｜「必須様式」ではない

3点セットとは、業務プロセスに係る内部統制の整備状況を把握・記録するために作る、業務記述書・業務フローチャート・RCM（リスクコントロールマトリクス）の3種類の文書を指す実務上の呼称です。法令にも実施基準にも「3点セット」という言葉は登場しません。

正体は実施基準の「参考2」「参考3」

実施基準は、業務プロセスの整備状況の把握について「取引の流れ、会計処理の過程を、必要に応じ図や表を活用して整理し、理解する」「識別されたリスクが業務の中に組み込まれた内部統制によって、十分に低減できるものになっているか、必要に応じ図や表を活用して、検討する」と定めています。そのうえで、参照先として参考2（業務の流れ図（例）、業務記述書（例））と参考3（リスクと統制の対応（例））を挙げています。この3つの参考例が、実務で3点セットと呼ばれているものの出所です。

「必ずしもこの様式による必要はない」の意味

重要なのは、実施基準がこれらの参考例に付している注記です。「これは、必要に応じて作成するとした場合の参考例として掲載したものであり、また、企業において別途、作成しているものがあれば、それを利用し、必要に応じそれに補足を行っていくことで足り、必ずしもこの様式による必要はないことに留意する」とされています。

つまり、既存の業務マニュアル・システム仕様書・経理規程が実質的に取引の流れとリスク・統制を説明できているなら、それを土台に不足分を補えばよい、というのが基準の立場です。現場で多いのは、既存文書があるのに「3点セットの様式」を新規に作り直して二重管理になり、翌年の更新で早々に実態とズレるパターンです。ゼロから作る前に、社内に何があるかを棚卸しするのが最初の分岐点になります。

何のために作るのか

3点セットの目的は、経営者が内部統制の有効性を自ら評価し、監査人がそれを検証できる状態にすることです。金融商品取引法により、上場会社は事業年度ごとに内部統制報告書を提出し、公認会計士等の監査を受けます（金融商品取引法（e-Gov法令検索））。制度は2008年4月1日以後開始する事業年度から適用され、すでに15年以上の運用実績があります。したがって文書化のゴールは「立派な資料をつくること」ではなく、虚偽記載が発生するリスクと、それを低減する統制の対応関係が第三者に追跡できることに尽きます。この一点を握っておくと、記述の粒度で迷ったときの判断が速くなります。

内部統制3点セットの作り方【4ステップ】

作成順は、範囲を決める → 文章で書く → 図にする → リスクと統制を突き合わせる、が実務上もっとも手戻りが少なくなります。図から先に描くと、後から「この分岐は何のためにあるのか」を関係者に聞き直すことになりがちです。

STEP1｜評価対象の業務プロセスを決める

まず全社的な内部統制の評価結果を踏まえ、評価対象とする事業拠点と業務プロセスを選定します。実施基準は、決算・財務報告プロセスのうち全社的な観点で評価することが適切なもの（総勘定元帳から財務諸表を作成する手続、連結修正・組替の仕訳を記録する手続、財務諸表の開示事項を記載する手続など）は、全事業拠点について全社的な観点で評価するとしています。

範囲が決まらないまま文書化に着手すると、作る必要のないプロセスまで書き込むことになります。なお、この範囲の決め方こそが後述する2023年改訂の最大の論点です。

STEP2｜業務記述書：取引の流れを文章で書き起こす

業務記述書は、取引の開始・承認・記録・処理・報告までの流れを文章で記述する文書です。実施基準の記載例（事業Aに係る卸売販売プロセス）では、受注・出荷・売上計上・請求の4つの単位に分け、「電話による注文の場合は、販売担当者が受注メモを作成する」「受注入力後、販売管理システムから出荷指図書及び注文請書が出力され、受注メモ又は注文書と照合された後、販売責任者の承認が行われる」といった粒度で書かれています。

実務で押さえるべき記載要素は次の5点です。書けない項目が出たら、それは業務の理解が足りていないサインです。

• 誰が（部署・役職。個人名ではなく職責で書く）
• いつ・どの頻度で（都度／日次／月次）
• 何を使って（帳票名・システム名。販売管理システム、得意先マスタ等）
• 何をするか（入力・照合・承認・出力といった動作の語で書く）
• なぜするか（何を防いでいるのか。ここがRCMのリスク欄につながる）

STEP3｜業務フローチャート：部門別のレーンで図にする

フローチャートは、業務記述書の内容を視覚化したものです。実施基準の業務の流れ図（例）は、得意先・販売部門・出荷部門・経理部門・システムを縦の列（レーン）に分け、帳票の受け渡しと承認・照合のポイントを示す構成になっています。列の右端にシステムの流れの欄が設けられている点も特徴で、実施基準はIT統制の評価にあたって「この欄に対する注記の中で、あるいは業務記述書を別途作成する場合にはその中で、業務処理統制の内容について記述することが考えられる」としています。

作図で意識したいのは、装飾ではなく統制ポイント（承認・照合・突合）が図上で一目でわかることです。記号を細かく使い分けるより、承認と照合に印を付けてRCMの番号を振るほうが、翌年の更新でもレビューでも使いやすくなります。

STEP4｜RCM：リスクと統制を「6つの要件」に紐づける

RCM（リスクコントロールマトリクス）は、業務プロセスごとに「リスクの内容」と「統制の内容」を一覧で対応させる表です。実施基準の参考3では、業務・リスクの内容・統制の内容に加えて、次の6つの要件（適切な財務情報を作成するための要件）のどれに効くかを列で示す形式が採られています。

実施基準の例では、「受注入力の金額を誤る」というリスクに対し「注文請書、出荷指図書は、販売部門の入力担当者により注文書と照合される。全ての注文書と出荷指図書は、販売責任者の承認を受けている」という統制を対応させ、実在性・網羅性・期間配分の適切性に丸を付ける、という書き方になっています。リスクは「〜する」ではなく「〜を誤る」「〜が漏れる」と失敗形で書くと、要件への紐づけが機械的に決まりやすくなります。

3点セットの整合の取り方とキーコントロールの絞り込み

3つの文書は独立した成果物ではなく、同じ業務を3つの角度から写したものです。役割の違いを押さえると、どこに何を書くかで迷わなくなります。

3つの文書がズレる典型パターン

現場でもっとも多いのは、システム更改でフローチャートだけを直し、業務記述書とRCMが旧手続のまま残るケースです。次に多いのが、RCMに統制を並べすぎて、どれがキーコントロール（統制上の要点）なのかが判別できなくなるパターンです。運用評価のサンプル件数はキーコントロールの数に比例して増えるため、絞り込みの甘さはそのまま翌期の作業量に跳ね返ります。

キーコントロールの絞り込み基準

実施基準は、統制上の要点を「財務報告の信頼性に重要な影響を及ぼす内部統制」として識別するとしています。実務的には、①そのリスクを単独で低減できるか、②財務諸表の金額に直接効くか、③記録が残り再実施できるか、の3点で足切りするとブレません。「あるに越したことはない統制」をすべてキーコントロールに入れないことが、続けられる文書化の条件です。

2023年改訂で3点セットの作り方はどう変わったか

2023年4月7日、企業会計審議会は約15年ぶりとなる基準・実施基準の改訂を公表しました（金融庁「意見書の公表について」）。改訂基準・改訂実施基準は令和6（2024）年4月1日以後開始する事業年度における内部統制の評価及び監査から適用されています。文書化の実務に効く変更点は次の3つです。

「売上高等のおおむね3分の2」を機械的に当てはめない

改訂の最大の眼目は評価範囲の決定です。意見書は、重要な事業拠点や業務プロセスを選定する指標として例示されている「売上高等のおおむね3分の2」や「売上、売掛金及び棚卸資産の3勘定」を機械的に適用すべきでないことを明記しました。さらに、これらの例示については「段階的な削除を含む取扱いに関して、今後、当審議会で検討を行うこととしている」とされています。

あわせて、開示すべき重要な不備が識別された場合には、その不備が識別された時点を含む会計期間の評価範囲に含めることが適切であること、評価対象に追加すべき業務プロセスの例示を追加したことも示されました。文書化の実務では、「今年は範囲外だから作らない」を前年踏襲で決めないことが求められます。

不正リスクとITへの対応が明示された

基本的枠組みの面では、COSO報告書の2013年改訂を踏まえ、内部統制の目的が「財務報告の信頼性」から「報告の信頼性」に拡張されました（ただし金融商品取引法上の内部統制報告制度は、あくまで財務報告の信頼性の確保が目的である点も強調されています）。「リスクの評価と対応」では不正に関するリスクを考慮する重要性が、「ITへの対応」ではIT委託業務に係る統制の重要性とサイバーリスクを踏まえたセキュリティ確保が明示され、ガバナンス・全組織的なリスク管理と一体的に整備する考え方として3線モデルも例示されました。

RCMを作るときは、誤謬（うっかりミス）だけでなく意図的な不正のシナリオを1行でも入れておくと、改訂の趣旨に沿った文書になります。IT統制の評価を「一定の頻度」で実施することについても、特定の年数を機械的に適用すべきものではないと明確化されています。

内部統制報告書での説明責任が増えた

内部統制報告書には、重要な事業拠点の選定に用いた指標とその一定割合等の決定の判断事由を記載することが適切とされ、前年度に開示すべき重要な不備を報告した場合の是正状況が付記事項に追加されました。範囲を決めた理由を説明できる形で残しておくことが、そのまま文書化作業の一部になったと考えるとよいでしょう。なお、開示すべき重要な不備の金額的重要性の判断指標として「連結税引前利益のおおむね5%程度」という例示は実施基準に残っています。

監査人側がこれらの文書をどう読み、調書に落としているかを知っておくと、提出前の自己点検の精度が上がります。監査法人側の作業の流れは監査調書作成をAIで効率化する実務で整理しています。

3点セットの作成・更新をAIで下書きする手順とプロンプト

3点セットの作業時間の大半は、ヒアリングメモを文章に整える・同じ内容を3つの様式に転記する・前年版との差分を突き合わせる、といった「書き写し」に消えています。ここが生成AI（指示した内容に沿って文章や表を作る道具）の得意領域です。逆に、リスクの重要性判断やキーコントロールの選定は人が担うべき領域で、AIの出力を鵜呑みにしてはいけません。

AIに任せる工程・任せない工程

プロンプト1｜ヒアリングメモから業務記述書を起こす

あなたは内部統制の文書化を支援する担当者です。
以下のヒアリングメモから、J-SOXの業務記述書のドラフトを作成してください。

# 対象プロセス：【例：事業Aに係る卸売販売プロセス】
# ヒアリングメモ：
【箇条書きのメモをそのまま貼る】

作成ルール：
- 受注／出荷／売上計上／請求 のように業務単位で見出しを立てる
- 各手続は「誰が・いつ（頻度）・何を使って・何をする」の順で1文にする
- 担当者は個人名ではなく部署・職責で記載する
- 承認・照合・突合が行われる箇所は【統制】と明記する
- メモから読み取れない項目は推測せず「要確認：〇〇」と列挙する

うまくいかない例 → 直し方：「業務記述書を作って」とだけ指示すると、一般的な販売プロセスの教科書的な記述が返ってきて自社の実態と合いません。ヒアリングメモを貼り、読み取れない項目は推測させず「要確認」に回させることで、ドラフトが確認リストとしても機能します。

プロンプト2｜業務記述書からフローの骨組みを作る

次の業務記述書から、業務フローチャートを作図するための骨組みを表で出力してください。

# 業務記述書：
【本文を貼る】

出力する表の列：
| 連番 | 業務単位 | 実施部門（レーン） | インプット帳票 | 処理内容 | アウトプット帳票 | 使用システム | 統制の種類（承認/照合/突合/自動） |

注意：
- 記述書に出てくる帳票名・システム名は変更せずそのまま使う
- 部門をまたぐ受け渡しがある行には「受渡」と付記する
- 記述書に書かれていない処理は追加しない

うまくいかない例 → 直し方：いきなり図（作図ツール用のコード等）を書かせると、記述書にない工程を勝手に補完しがちです。先に表で構造化させ、行数と帳票名を目で確認してから作図に進むと、実態とズレた図ができません。

プロンプト3｜RCMのリスク・統制候補を洗い出す

次の業務記述書について、リスクコントロールマトリクス（RCM）のドラフトを作成してください。

# 業務記述書：
【本文を貼る】

出力形式（表）：
| 業務 | リスクの内容 | 統制の内容 | 実在性 | 網羅性 | 権利と義務の帰属 | 評価の妥当性 | 期間配分の適切性 | 表示の妥当性 |

ルール：
- リスクは「〜を誤る」「〜が漏れる」のように失敗の形で1文で書く
- 統制は記述書に実在する手続のみを書き、無い場合は統制欄に「統制なし（要検討）」と書く
- 効く要件の欄に○を付け、効かない欄は空欄にする
- 誤謬によるリスクに加え、意図的な不正のシナリオを1件以上含める

うまくいかない例 → 直し方：統制欄まで生成させると、実在しない理想的な統制が書き込まれ、そのままでは虚偽の文書になります。「記述書に実在する手続のみ」「無ければ統制なしと書く」と縛ることで、統制の不備がむしろ可視化され、是正の検討につながります。

プロンプト4｜3文書の整合をチェックする

以下の3つの文書の間で、記載が食い違っている箇所を洗い出してください。

# 業務記述書：【貼る】
# フローの構造化表：【貼る】
# RCM：【貼る】

確認観点：
1. 業務記述書にあってフロー表に無い処理、その逆
2. 帳票名・システム名の表記ゆれ（例：出荷指図書／出荷指示書）
3. RCMの統制が業務記述書のどの手続に対応するか特定できないもの
4. 承認・照合の実施者が文書間で異なるもの

出力：| 論点 | 文書A の記載 | 文書B の記載 | 確認すべきこと |

うまくいかない例 → 直し方：「整合性を確認して」とだけ頼むと「おおむね整合しています」という感想が返ります。確認観点を番号で列挙し、出力を表形式で固定すると、そのまま関係部署への確認依頼リストとして使えます。

なお、前年版との差分確認や、決算・財務報告プロセスの点検リストづくりも同じ発想で効率化できます。決算書側の突合観点の整理は決算書チェックリストの作り方と整合性確認の手順が参考になります。監査人から届く質問リストへの回答準備については、監査の質問への回答をAIで下書きする往査対応の実務で例文を紹介しています。

「士業AI」の会計AIは、企業会計基準委員会（ASBJ）などの公的情報を参照しながら、こうした文書のドラフトづくりや整合チェックを補助する用途に向いています（公認会計士向けの士業AIでできること）。会計・監査の周辺業務でAIをどこから使い始めるかの全体像は、公認会計士・会計事務所のためのAI活用入門で整理しています。

社内の業務情報をAIに貼ってよいか

3点セットの元になるヒアリングメモには、取引先名・与信限度額・システム構成・承認権限といった非公開情報が含まれます。ここで踏むべき手順は3つです。

• 入力データが学習に使われない設定・契約か確認する（法人向けプランやAPI利用では既定で学習に使われない場合が多いが、必ず自社が使うプランの規約で確認する）
• 固有名詞は置き換えてから貼る（取引先名は「得意先A」、システム名は「販売管理システム」と一般化しても、業務記述書のドラフト品質はほとんど落ちない）
• 社内規程・被監査会社側のルールを先に確認する（上場会社では情報システム部門が生成AIの利用範囲を定めていることが多い）

2023年改訂でIT委託業務の統制やサイバーリスクへの対応が明示された以上、AIツールの利用そのものが内部統制の評価対象と無関係ではありません。守秘義務とAI利用を両立させる選び方の判断軸は、会計事務所のセキュリティとAIの選び方ガイドで詳しく整理しています。

よくある質問（FAQ）

3点セットは必ず作らないといけないのですか？

実施基準は業務の流れ図・業務記述書・リスクと統制の対応を参考例として掲げ、「必ずしもこの様式による必要はない」と明記しています。ただし、業務プロセスの整備状況を把握し記録・保存すること自体は求められるため、既存文書で代替するか3点セットの形で整えるかの選択であって、記録が不要になるわけではありません。

Excelで作っても問題ありませんか？

様式が指定されていない以上、Excelでの作成は問題ありません。実務上の分岐点はツールの種類ではなく、更新の運用です。3文書のどれかを直したときに残り2つの更新が漏れない仕組み（連番での紐づけ、更新履歴欄、年次の一括レビュー）を先に決めておくほうが効果があります。

更新はどの頻度で必要ですか？

年度ごとの評価に加え、手続の変更・システム更改・組織改編があったタイミングで更新するのが原則です。実施基準も、内部統制の是正によって新たな取引の流れや会計処理の過程ができた場合には、必要に応じて図や表を更新するとしています。

AIが下書きした3点セットは監査に耐えますか？

下書きの出所がAIであること自体は問題になりません。問われるのは記載内容が実態と一致しているかどうかです。ウォークスルーや証憑の確認によって記載の裏付けを取り、リスクの重要性判断とキーコントロールの選定を担当者が行っていれば、作業効率化の手段としてAIを使うことに支障はありません。逆に、AIが生成した「実在しない統制」を検証せずに残すと、文書と実態の乖離という重大な問題になります。

まとめ

3点セットは法令が定めた必須様式ではなく、実施基準の参考例に由来する実務上の呼称です。だからこそ、様式の完成度ではなく「リスクと統制の対応が第三者に追跡できるか」を基準に設計するのが近道になります。作成順は、範囲の決定 → 業務記述書 → フローチャート → RCM。RCMでは6つの要件への紐づけを機械的に行い、キーコントロールは絞り込む。2023年改訂以降は、範囲を決めた理由まで説明できる形で残すことが求められます。

そして、書き写しと整合チェックはAIに任せ、判断は人が持つ。この分担にすると、文書化にかけていた時間をリスクの検討そのものに振り向けられます。まずは1つの業務プロセスで、ヒアリングメモから業務記述書のドラフトを起こすところから試してみてください。

参考文献

• 金融庁「『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』の公表について」（令和5年4月7日）
• 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」本文（PDF）
• 金融庁「『内部統制報告制度に関するQ&A』等の改訂について」（令和5年8月31日）
• 日本公認会計士協会「財務報告内部統制監査基準報告書第1号『財務報告に係る内部統制の監査』の改正」（2025年2月14日）
• 金融商品取引法（e-Gov法令検索）