内部統制システム開発の進め方/やり方/流れや方法/手法/工程/手順

内部統制システム開発は、申請や承認を電子化するだけではなく、リスク・統制・担当者・証憑・評価結果を一つの流れで追跡できる業務基盤を整える取り組みです。最初に対象範囲を定め、要件整理から定着まで六つのフェーズで進めると、監査に説明できる証跡と現場で続く運用を両立しやすくなります。

本記事では、内部統制システムの全体像、要件整理・製品選定・設計開発・テスト・稼働・定着の進め方、費用相場、見積もりの確認項目、導入後によくある疑問までを解説します。J-SOX対応を急ぐ上場企業やIPO準備企業だけでなく、紙・Excel・メール承認を整理したい企業が、どこから着手するか判断できるように具体的なチェックポイントを示します。

▼全体ガイドの記事
・内部統制システム開発の完全ガイド

内部統制システム開発の全体像

内部統制システムは特定の一製品を指す言葉ではなく、業務の正確性、財務報告の信頼性、法令遵守、資産保全を支える仕組みの総称です。会社法上の内部統制システムは取締役会が決議する基本方針を含み、J-SOXは財務報告に係る内部統制の評価・監査を指すため、開発前に目的と評価範囲を分けておくことが重要です。

最初に「何を証明したいシステムか」を一文で決めます。たとえば、上場準備企業なら、売上計上・購買・支払・決算・ITアクセス権のうち、財務報告に重要な影響がある業務を対象にし、会社法のリスク管理や情報セキュリティまで含めるかを別欄で整理します。対象業務、対象会社、対象拠点、利用者、証憑の保存期間、評価頻度を一覧化すると、後から機能を過剰に足すことを防げます。

金融庁が2023年4月に公表した改訂基準は、2024年4月1日以後開始する事業年度から適用され、評価範囲の選定や不正リスクへの対応を重視しています（出典: 金融庁「財務報告に係る内部統制の評価及び監査の基準・実施基準の改訂について」、2023年）。したがって「J-SOX対応製品を入れれば法令対応が完了する」という考え方ではなく、自社のリスク評価と運用責任をシステムに落とし込む設計が必要です。

J-SOXで頻繁に使われる業務記述書、業務フロー図、RCM（リスク・コントロール・マトリクス）は、別々の資料として保管するのではなく、同じ業務ステップIDで紐付けます。RCMのリスクに対して、どの統制が、誰によって、どの頻度で実施され、どの証憑が残り、誰が評価するかを登録できれば、評価調書の作成や不備の追跡が容易になります。

機能面では、ワークフロー、権限・職務分掌、監査ログ、証憑・文書の版管理、リスク・統制・評価管理、ERPや会計システムとの連携が中心です。全機能を同時に導入する必要はなく、購買申請や支払承認など重要な1〜2業務で、申請から承認、証憑出力、評価までを通しで確認してから範囲を広げる方法が現実的です。

内部統制システム開発の進め方

進め方は、要件整理、選定、設計・開発、テスト、稼働、定着の六つのフェーズに分けます。各フェーズの完了条件を先に決め、次の工程へ進む前に、業務部門・情報システム部門・内部監査・経理・法務などの責任者が確認します。監査法人の論点を早い段階で共有すると、稼働直前に証跡不足が判明するリスクを抑えられます。

要件整理では、製品の機能一覧を見る前に、現行業務を一件の取引単位で追跡します。購買なら、発注依頼、見積比較、発注、検収、請求、支払、仕訳、月次レビューのどこに承認・照合・証憑保存があるかを記録します。紙、Excel、メール、共有フォルダ、ERPのどこで実施しているかも書き出し、規程上の業務と実際の運用の差分を確認します。

成果物は、対象業務一覧、業務フロー、リスク・統制一覧、利用者と権限の一覧、連携先一覧、非機能要件、移行対象データ一覧です。必須要件には「承認者と申請者を分離できる」「代理承認の理由が残る」「変更前後の値を追跡できる」「評価者が証憑を検索できる」など、監査で確認される状態を文章で書きます。便利そうな通知機能はWantに分け、予算と納期を守れる形に絞ります。

選択肢は、ワークフローやGRCのパッケージ、SaaS、既存ERPの拡張、スクラッチ開発に分けて比較します。帳票と承認ルートが標準機能で収まり、APIやCSVで既存システムと連携できるなら、SaaSやパッケージが有力です。独自のグループ会社構造や複雑な職務分掌があり、標準機能に合わせると統制が弱くなる場合は、追加開発や個別設計を検討します。

RFPでは、製品機能だけでなく、現状フローをサンプルデータで再現できるか、監査ログをCSVやPDFで出力できるか、ユーザー異動・退職時に権限が自動で変わるかを質問します。クラウドの場合は、MFA・SSO、IP制限、暗号化、バックアップ、データ所在、データ返却・削除、障害時の通知、SOC 1またはSOC 2、ISO 27001などの第三者保証・認証も確認します。SaaSの統制報告書があっても、自社の設定や利用者管理まで保証されるわけではない点に注意が必要です。

設計では、役割、組織、承認権限、職務分掌、例外処理、ログ保存、証憑の保管場所を定義します。とくにSoD（職務分掌）は、申請・承認・支払・マスタ変更を同じ人が実行できないようにするだけでなく、緊急時の代替手順と事後レビューまで決めます。組織改編や異動があるため、権限を一度設定して終わりにせず、定期レビューの担当者と期限もシステム上で管理します。

連携開発では、会計・販売・購買・人事・ID管理のどのデータを正とするか、連携頻度、エラー時の再送、手動補正の権限、連携結果のログを決めます。AIによる異常検知や文書要約を使う場合も、AIの出力をそのまま承認根拠にせず、元データ・利用者・指示内容・確認者を残す設計が必要です。開発中は、3点セットの各項目と画面・ログ・帳票をトレーサビリティ表で結び、要件漏れを防ぎます。

テストは、画面が動くかを確認する機能テストだけでは不十分です。申請、承認、差戻し、代理承認、取消、再申請、金額変更、組織異動、退職者のアカウント停止、連携エラー、障害時の代替処理を一件ずつシナリオ化します。各テストには、入力、期待結果、実際の結果、証憑、実施者、実施日、不備の是正状況を記録し、監査人に説明できる受入基準にします。

ユーザー受入テストでは、経理・購買・営業・人事などの代表者に実際の業務を操作してもらいます。とくに「忙しい月末でも申請できるか」「スマートフォンで承認した証跡が残るか」「監査用に期間・部門・統制IDで検索できるか」を確認します。重大な不備が残ったまま本番へ進めず、軽微な操作性の課題と、統制上の欠陥を分けて判定することが大切です。

稼働前は、利用者・組織・権限・承認ルート・帳票・証憑・3点セットの移行結果を照合します。データ移行では件数だけでなく、旧帳票の版、適用期間、承認状態、添付ファイル、統制IDが正しく結び付いているかを確認します。移行後のサンプルを業務責任者と内部監査が確認し、承認を得てから旧システムを参照専用にする流れが安全です。

本番切替の当日は、問い合わせ窓口、障害時の連絡網、手作業による暫定承認、後日入力の期限、切り戻し判断を決めます。月末決算や組織改編の直前を避け、まず一部門で稼働してから全社へ展開する方法も有効です。稼働判定は「ログインできる」ではなく、「重要統制を実施し、必要な証憑を検索・出力できる」ことを基準にします。

定着化の責任は、開発会社だけに置けません。業務部門は日々の統制実施、情報システム部門はアカウント・連携・障害対応、内部監査は評価と不備管理、経営者は重要な判断と改善の承認を担当します。RACIで役割を明文化し、操作マニュアル、FAQ、異動時の教育、月次の利用状況確認、四半期または半期の権限レビューを運用カレンダーに組み込みます。

定着のKPIには、承認の期限超過率、差戻し率、未処理の例外件数、証憑の検索にかかる時間、権限レビューの完了率、不備の是正期限遵守率を設定します。規程や組織が変わったときは、業務フロー、RCM、ワークフロー設定、テストケースを同時に更新します。システムを導入しても運用が変わらなければ、Excelやメールに戻るため、稼働後90日間は改善会議を定例化することが効果的です。

内部統制システム開発の費用相場とコストの内訳

内部統制システムの費用は、利用者数や帳票数だけでなく、3点セットの整理、既存データの移行、ERP・会計との連携、権限設計、監査対応支援の量で大きく変わります。以下は、公開料金と類似するワークフロー・GRC・基幹システム導入の相場から整理した目安です。専用GRCや監査法人報酬を含むかどうかで金額が変わるため、見積もりでは項目を分けて確認します。

申請・承認ワークフローを1〜2部門で導入し、帳票数と連携先を絞る場合は、初期費用50万〜300万円程度、期間1〜3か月が一つの目安です。全社ワークフローに帳票移行、権限・SSO、会計連携、教育を加える場合は、初期費用300万〜1,000万円程度、期間3〜6か月が目安になります。これらは一般的な導入構成からの推定レンジであり、個別の確定価格ではありません。

J-SOXの3点セット、リスク・統制・評価、不備管理まで含むクラウド導入は、初期費用500万〜1,500万円程度、期間4〜9か月程度が目安です。ERP・会計・購買・人事を横断して基盤を刷新する場合は1,500万〜4,000万円以上、グループ・多言語・スクラッチGRCまで含む場合は3,000万〜1億円超となる可能性があります。いずれも対象会社数、業務数、データ量、海外展開、監査対応支援で増減します。

初期費用は、ライセンスまたは利用開始費、要件整理、統制文書の棚卸し、画面・承認ルート設定、追加開発、API連携、データ移行、テスト、教育、稼働支援に分けて記載してもらいます。ランニング費用は、月額または年額ライセンス、基本容量、セキュリティオプション、保守、問い合わせ、バージョンアップ、追加ユーザー、データ容量、監査対応支援を確認します。

公開料金の例として、エイトレッドのX-point Cloudは初期費用0円、基本サービス20,000円、1ユーザー月額500円（税抜）からと案内されています。100ユーザーならサービス利用料だけで月5万円、年60万円の計算ですが、複雑な帳票設定、SSO、IP制限、API連携、教育、3点セットの作成は別途費用になる場合があります（出典: 株式会社エイトレッド「X-point Cloud 料金」、2026年確認）。このように公開単価は比較の起点であり、内部統制全体の総額と同じではありません。

中小企業・小規模事業者であれば、デジタル化・AI導入補助金2026の通常枠を確認できます。通常枠では、ITツールの導入に必要なソフトウェア購入費、クラウド利用料、導入設定や研修などが対象になり得ます。補助額は申請するプロセス数などにより5万円以上150万円未満、または150万円以上450万円以下、補助率は枠と事業者区分により1/2以内または2/3以内と案内されています（出典: 中小企業基盤整備機構「デジタル化・AI導入補助金2026 通常枠」、2026年）。対象ITツールと登録支援事業者の確認が前提で、内部統制機能なら必ず対象になるわけではありません。

比較では初期費用だけでなく、3年間のライセンス、追加ユーザー、データ容量、保守、連携改修、教育、監査資料の作成、移行、サービス終了時のデータ搬出まで合計します。安価な製品でも、帳票を大量に個別設定したり、既存ERPとの連携を毎年改修したりするとTCOが高くなる場合があります。逆に、最初は購買と支払だけに絞り、利用率と不備削減を見ながら拡張する方が、初年度の投資を抑えやすくなります。

内部統制システムの見積もりを取る際のポイント

見積もりの精度は、発注側がどこまで対象業務と成果物を定義できるかで変わります。価格だけを並べるのではなく、同じ業務・同じ利用者数・同じ連携条件で比較し、何が標準で何が追加費用かを明らかにします。提案を受ける前に、対象業務、組織図、利用者数、既存システム、3点セット、監査指摘、希望稼働日、移行対象、社内で担える作業を準備します。

RFPには、機能名だけでなく「導入後に何ができれば完了か」を書きます。たとえば、承認ルートを組織と金額で分岐できること、代理承認の理由を必須入力にできること、権限変更の申請・承認・実施を別々に記録できること、監査担当者が統制IDと期間で証憑を検索できることを受入条件にします。処理件数、同時利用者数、保存年数、添付容量、レスポンス、稼働時間などの非機能要件も明示します。

また、3点セットの更新責任、データ移行の件数と品質基準、既存システムとの連携方式、エラー時の再処理、テストデータの準備者、教育対象、稼働後の問い合わせ窓口をRFPに含めます。監査法人に事前相談する論点と、ベンダーに確認する技術論点を分けると、責任分界が明確になります。「監査に通ること」を納品条件にせず、監査で説明できる証跡を企業側とベンダーがどこまで整備するかを合意することが重要です。

候補企業は、内部統制コンサルティングに強い会社、ワークフロー製品の開発元、ERP・会計連携に強いSIerに分けて比較します。評価項目は、類似業務の実績、J-SOXや3点セットへの理解、既存システムとの連携力、権限・ログ機能、クラウドのセキュリティ資料、導入後の運用支援、担当者の体制、データ搬出の可否、見積の透明性です。大手か安価かだけで選ばず、自社の規模と内製体制に合うかを確認します。

最終候補には、購買申請など一つの実業務を使った短期PoCを依頼します。申請者、承認者、経理、内部監査の役割を用意し、通常処理、差戻し、代理承認、権限変更、証憑検索、監査用出力まで確認します。PoCで製品の良し悪しだけでなく、現場が入力を続けられるか、内部監査が必要な資料を自力で出せるか、設定変更を社内で管理できるかを評価できます。

見積差が出やすいのは、帳票の個別設定、データクレンジング、旧資料の版管理、API連携、SSO、権限設計、監査用帳票、教育、海外拠点対応です。各項目を「含む・含まない・条件付き」に分け、条件付きの場合は、帳票数や連携本数が増えたときの単価や上限を確認します。月額の安さだけを理由に選ぶと、導入支援や移行費用が後から膨らむため、3年間のTCOで比較します。

リスク対策として、要件変更の承認手順、納期遅延時の対応、成果物の著作権と利用権、脆弱性対応、障害時の復旧目標、バックアップ、委託先の再委託管理、契約終了時のデータ返却を契約書に含めます。クラウド事業者の第三者保証を利用する場合も、報告書の対象期間、対象サービス、利用企業側に残る統制を確認します。SCSKは2026年4月にERP「PROACTIVE」のSOC1保証報告書Type2受領を公表しており、こうした情報も委託先統制を比較する材料になります（出典: SCSK株式会社ニュースリリース、2026年）。

よくある質問（FAQ）

内部統制システムは、法令対応だけでなく、業務の重複や承認待ちを減らし、監査資料を探す時間を短くするための業務基盤でもあります。ここでは、導入前に特に質問されやすい論点を、実務上の判断基準に沿って回答します。

内部統制システムという特定製品の導入自体が一律に義務付けられているわけではありません。ただし、上場会社には金融商品取引法に基づく財務報告に係る内部統制の評価・報告・監査が関係し、会社法上も取締役会で内部統制システムの基本方針を決議する会社があります。自社の規模、上場状況、監査の対象、取締役会の決議内容を確認し、必要な業務をシステム化する判断が必要です。

ワークフローは申請・承認・差戻し・承認履歴を電子化する重要な構成要素ですが、それだけでJ-SOX対応が完了するわけではありません。業務記述書、業務フロー図、RCM、アクセス権管理、変更管理、バックアップ、評価調書、不備の是正管理などが必要になるため、対象範囲に応じてGRC、文書管理、ERP、ID管理を組み合わせます。購買や経費の承認から始める場合も、将来3点セットや評価情報と紐付けられる製品を選ぶと拡張しやすくなります。

クラウドであることだけを理由に監査対応ができないわけではありません。重要なのは、サービスのセキュリティ、可用性、ログ、バックアップ、変更管理などの委託先統制と、自社が行う利用者登録、権限レビュー、設定変更、承認業務、証憑保管を分けて説明できることです。SOC 1 Type2などの報告書がある場合は、対象サービスと期間を監査人に確認し、自社側の統制証跡を別途整備します。

最初にすべてのExcelを移行するのではなく、現行資料を正式な規程、業務記述書、フロー、RCM、証憑、参考資料に分類します。版が異なる資料を一括投入すると、古い承認ルートや重複した統制が残るため、業務責任者が正本と適用期間を確定してから移行します。移行前後の件数、サンプル内容、添付ファイル、アクセス権、検索結果を照合し、移行完了の証拠を保存することが重要です。

まとめ

内部統制システム開発を成功させるポイントは、最初に会社法・J-SOX・情報セキュリティなどの対象範囲を分け、3点セットと実際の業務を照合することです。そのうえで、要件整理、選定、設計開発、テスト、稼働、定着の六つのフェーズに完了条件を置き、申請・承認から証憑・評価までを一つの流れとして設計します。

費用は、ワークフローの小規模導入なら50万〜300万円程度、全社導入なら300万〜1,000万円程度、J-SOX/GRCや基幹連携まで含めると500万〜1,500万円以上が目安ですが、これらは構成からの推定レンジです。製品価格だけでなく、文書化、移行、連携、教育、保守、監査対応を含む3年間のTCOで比較し、PoCで現場と内部監査の双方が使えることを確かめてから発注してください。最新の法令、補助金、公的認証、各社の価格・サービス範囲は、導入時点の公式資料と監査法人への確認が必要です。

▼全体ガイドの記事
・内部統制システム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。