内部統制ソフトの最適な選び方を徹底解説！おすすめの製品も紹介

選び方に入る前に、内部統制ソフトが何を担うソフトなのかを押さえます。ここが曖昧なままだと、期待と実際の機能がずれたまま契約することになりかねません。3点に絞って確認しましょう。

内部統制ソフトが担う業務

内部統制ソフトは、財務報告に係る統制を実行し、その証跡を残すためのソフトウェアです。稟議や購買の申請承認、仕訳の承認権限、システムへのアクセス権限の管理が主な対象になります。

誰がいつ何をどの権限で処理したかを記録に残す点が、中核の役割といえます。規程や業務記述書、RCMの版管理を担う製品も少なくありません。統制を人手で回す負担を、システム側へ寄せる道具と考えるとよいでしょう。監査のたびに証跡を集め直す手間も減らせます。

J-SOX対応で求められること

J-SOXは、金融商品取引法にもとづく財務報告に係る内部統制の制度です。2023年4月に、評価・監査の基準と実施基準が改訂されました。適用は2024年4月1日以後に開始する事業年度からです。

従来の「財務報告の信頼性」は、「報告の信頼性」へ広がりました。ITへの対応には、サイバーセキュリティの観点が加わっています。求められるのは、統制の整備と運用、そして毎期の評価です。製品を選ぶ際は、改訂後の枠組みで記録と評価ができるかを確認しましょう。

選定でつまずきやすい理由

製品はどれも「J-SOX対応」をうたいますが、対応の範囲は製品ごとに違います。強い領域が申請承認か会計処理かによって、解決できる課題が変わるためです。

もうひとつの落とし穴は、ソフトを導入すれば評価まで終わると考えることです。製品が支えるのは主に統制の実行と証跡化で、整備状況評価や運用状況評価の作業は自社に残ります。デモの印象だけで選ぶと、自社の統制ポイントに使えないと導入後に気づく場合があります。この前提を共有しておくと、言葉の印象に流されずに比較できるでしょう。

編集部コメント：製品を先に見ると、機能の多さで判断してしまいがちです。自社が指摘を受けやすい統制ポイントを3〜5個書き出してから製品を見ると、比較しやすくなります。

内部統制ソフトは、統制する対象領域の違いから3つのタイプに分けられます。この分類を押さえると、候補を絞り込みやすくなります。まず全体像をつかみましょう。

• ワークフロー型
• 会計・財務一体型
• 統合ERP型

ワークフロー型

稟議・購買・経費といった申請承認を電子化し、その証跡を残す製品です。承認経路を職務分掌に沿って設計でき、申請者と承認者の分離をシステム側で強制できます。

紙やメールで承認していた業務の証跡が散逸している企業に適しています。対象を申請承認に絞るぶん、導入と運用の負荷は軽めです。ただし会計や基幹システムとのデータ連携方式は、選定の段階で確かめておく必要があります。手作業の突合が残ると、統制の効果が薄れてしまうためです。

会計・財務一体型

会計システムや財務領域の製品に、統制機能が組み込まれたタイプです。仕訳の承認権限、アクセス制御、操作ログが業務処理と同じ基盤の上で完結します。

会計・債権債務・固定資産・人事給与といった領域の統制を固めたい企業に適しています。財務報告プロセスそのものが課題の中心なら、まず検討したいタイプといえるでしょう。業務と統制が別のツールに分かれないため、二重運用が起きにくい点も利点です。一方で申請承認まわりの柔軟さは、ワークフロー専用の製品に劣る場合があります。

統合ERP型

会計・販売・購買・原価を1つの基盤に統合し、業務横断で統制をかける製品です。承認権限の管理、アクセス制御、証跡の記録を全社共通の仕組みとして運用できます。

複数拠点や複数事業の業務データを、一元的に統制したい企業に向いています。基幹システムの刷新とあわせて検討するケースが多いでしょう。その反面、導入の規模と期間は3つのタイプのなかで最も大きくなりがちです。小規模な組織には負担が重いため、対象領域を絞った段階導入も選択肢になります。

同じ内部統制ソフトでも、何をしたいかで優先すべき軸が変わります。製造業の管理部門でよくある3つの目的を取り上げました。自社に近いものから読んでみてください。

申請承認の証跡を確実に残したい

まず確認したいのは、承認経路を設定で再現できるかどうかです。稟議や購買の承認が紙やメールのままだと、証跡が散逸して監査で提示できないためです。

候補はワークフロー型が中心になります。確認したい点は2つです。自社の申請フローを設定だけで組めるか、申請者と承認者の分離を強制できるかを見ます。試用の段階で、実際に運用している申請を3〜5パターン再現してみましょう。基幹システムへの連携方式も、あわせて確認しておくと安心です。

財務報告プロセスの統制を固めたい

会計基盤の中で統制が完結するかを軸に選びます。仕訳の承認権限やアクセス制御が業務処理と別基盤だと、二重運用になりやすいためです。

候補は会計・財務一体型が中心です。決算プロセスの権限管理、仕訳の承認履歴、権限変更の追跡をどこまで残せるかを確認しましょう。監査で指摘を受けやすい領域から着手すると、効果が見えやすくなります。会計領域の統制を重視する中堅以上の企業に適しています。小規模だと機能も費用も過大になりやすいので、規模とのバランスを見て判断しましょう。

業務横断で統制を一元化したい

拠点や事業をまたいで統制を一元化したいなら、統合ERP型が有力な候補です。会計・販売・購買・原価が別々のシステムだと、権限や証跡の管理がばらつくためです。

全社共通の承認権限を、1つの基盤で定義できるかどうかを確認しましょう。拠点ごとの運用差をどこまで許容するかも、あわせて決めておきます。導入の規模が大きくなるため、基幹刷新の計画とセットで進める企業に向きます。段階的に対象範囲を広げる進め方も、現実的な選択肢の1つです。

統制ソフトに求める条件は、使う部門の立場によっても異なります。内部統制ソフトに関わる3つの部門で整理しました。複数部門で共有する場合は、条件の厳しいほうに合わせます。

経理・財務部門

日常の会計処理と決算を担うため、統制が業務の流れを止めないかが判断を分けます。承認の待ち時間が延びると、月次や年次の締めに影響が出るためです。

確認したいのは、仕訳の承認権限の設定のしやすさと、承認履歴の追いやすさです。決算期に権限を一時的に変える運用があるなら、その変更履歴が残るかも見ておきます。会計システムと同じ基盤で統制できる製品なら、入力と承認の往復が減るでしょう。日々使う部門なので、操作の負担が軽いほど定着しやすくなります。

内部監査部門

この部門では、証跡を監査資料として取り出せるかを優先して確かめます。ログが取れることと、実用的な形で出せることは別だからです。

確認するのは、操作ログと承認証跡の取得範囲、検索のしやすさ、出力形式の3つです。デモの場で直近半期の特定ユーザーの承認履歴を出してもらうと、差が見えます。権限の定期棚卸や職務分掌違反の検出が自動化されていれば、毎期の工数を継続して減らせます。監査部門の人数が少ない組織ほど、この自動化の価値が大きくなるでしょう。

情報システム部門

既存システムとの連携方式と、運用を誰が担うかで判断します。連携が手作業中心だと、権限マスタや承認結果の二重管理が残るためです。

確認するのは、権限マスタ・承認結果・操作ログのどれをどちら向きに連携するかです。頻度と方式をAPIかCSVかまで含めて表に落とすと、ベンダー間の比較がしやすくなります。クラウドかオンプレかは、データ保管場所と全社のセキュリティ方針にそろえて決めましょう。専任の担当を置けない場合は、運用負荷の軽い製品が適しています。

企業規模そのものより、規模から来る制約が判断を分けます。専任担当の有無、拠点数、稟議の通し方の3点です。自社の体制に近いところを見てみてください。

中小企業

情報システムの専任担当がいない前提で選びます。設定や日々の運用を、経理担当者が兼務することになるためです。

クラウド型のように、初期費用と運用負荷を抑えやすい製品から検討するとよいでしょう。対象領域を申請承認か会計のどちらかに絞ると、稟議も通しやすくなります。導入支援や研修をベンダーが担ってくれるかも、あわせて確認しておきましょう。全社一斉ではなく、不備指摘を受けやすい領域から始める進め方が現実的です。

中堅企業

部門をまたいだ利用と、拠点間の運用の統一が課題になります。同じ統制でも拠点ごとにやり方が違うと、評価のたびに確認の手間が増えるためです。

会計・財務一体型やクラウド型が候補に入りやすい規模です。承認経路や権限の設計を、全社で標準化できるかを確認しましょう。内部監査の担当が兼務の場合は、権限棚卸やログ出力の自動化度が工数を左右します。ユーザー数の増加に応じて費用がどう伸びるかも、契約前に試算しておくと安心です。

大企業

拠点数と既存システムの多さが判断を左右します。統制の対象範囲が広く、後からタイプを変えたときの影響も大きくなるためです。

統合ERP型や会計・財務一体型が中心の候補になります。グループ会社を含めた権限管理と、連結決算までを見据えた設計が要ります。稟議では単価より3年分の総額と移行コストが問われるため、費目を分けて積み上げておきましょう。全社一斉ではなく、対象領域や拠点を区切った段階展開で影響を抑える進め方もあります。

目的・部門・規模で方向が見えたら、具体的な条件に落とし込みます。ここからは確認の順番が大切です。上から順に見ていくと、手戻りを抑えやすくなります。

• 統制する対象領域を特定する
• 評価と不備管理の支援範囲を確かめる
• 会計・基幹システムとの連携範囲を決める
• 証跡とログの出力を実機で確認する
• 運用負荷と3年分の総額を見積もる

統制する対象領域を特定する

最初に整理するのは、自社のどこに不備リスクがあるかです。文書管理、ワークフロー、職務分掌、アクセス管理の4つから対象を絞り込みます。

指摘を受けやすい統制ポイントを3〜5個書き出すと、対象がはっきりするでしょう。申請承認の証跡が散逸しているならワークフロー、決算の権限管理が弱いなら会計領域を優先します。ここを曖昧にしたままユーザー単価だけで選ぶと、別製品の追加導入につながりかねません。後から変えるコストが最も大きい軸なので、先に固めておきましょう。

評価と不備管理の支援範囲を確かめる

次に、整備状況評価と運用状況評価をどこまで支援するかを確認します。製品が担うのは主に統制の実行と証跡化で、評価まで自動化されるとは限らないためです。

評価の記録や不備の管理をシステム上で扱えるかは、製品によって差があります。支援がない部分は自社の運用で補うため、担当と手順を導入計画に含めておきましょう。ここを確認しないと、ソフトを導入したのに評価は表計算のまま、という状態になりがちです。範囲を先に線引きしておくと、導入後のギャップが小さくなるでしょう。

会計・基幹システムとの連携範囲を決める

連携は承認結果だけでなく、権限マスタと操作ログまで広げて設計します。範囲を狭くすると、どこかで手作業の突合が残り、運用負荷が下がらないためです。

何を・どの頻度で・どちら向きに連携するかを、要件定義の段階で表に落とします。API、CSV、手動のどれで実現するかまで決めておくと、比較の精度が上がるでしょう。業務は基幹システム、統制は別ツールという分断は、統制の形骸化を招きます。連携の設計は、対象領域の次に後戻りのコストが大きい部分といえます。

証跡とログの出力を実機で確認する

監査で問われるのは、誰がいつ何をどの権限で実行したかを後から示せるかどうかです。ログが取れることと、監査資料として実用的に取り出せることは違います。

確認するのは、取得範囲、改ざん防止と保管期間、検索と出力のしやすさ、権限変更履歴の追跡可否です。デモの場で具体的な出力を依頼し、所要時間まで見ておきましょう。抽出のたびに工数がかかる製品では、監査対応の負担が毎期発生します。実機で確かめておけば、運用開始後の落差を避けられます。

運用負荷と3年分の総額を見積もる

費用は初期費用だけでなく、3年程度の総額で比べます。ライセンスとユーザー課金、導入支援、データ移行、教育、保守に費目を分けます。カスタマイズの費用も含めて積み上げておきましょう。

あわせて、毎期の評価作業にどれだけ人手が残るかを見積もります。権限棚卸やログ出力が自動化されていれば、監査対応の工数を継続して減らせます。安く見えても対象領域が合わず二重運用が残れば、実質のコストはかえって高くなるでしょう。費用は対象領域・連携・運用負荷とセットで判断することが重要です。

製品データとして数値化できる4項目を、製造業適合性スコアで横並びにしました。品質管理・工程管理・多拠点対応・中小適合の4つを5段階で評価しています。並びは中小適合の高い順です。下へ向かうほど、想定する企業規模と導入の重さが上がります。評価が設定されていない項目は「－」としました。

製品ごとの詳しい比較は内部統制ソフトの比較記事で扱っています。カテゴリ全体は内部統制ソフト（J-SOX対応）のカテゴリページから確認できます。

導入でつまずく企業には、共通したパターンがあります。事前に知っておけば、稟議の段階で対策を示しやすくなるはずです。よくある4つを回避策とあわせて挙げます。

対象領域がずれたまま製品を選ぶ

よくあるのが、ワークフローの証跡化が課題なのに会計統制型を選ぶ、あるいはその逆の選び方です。課題と製品の強みが合わず、導入しても不備が解消しない状態になります。価格や知名度から入ると、この順序が崩れやすくなります。

回避策：不備リスクの棚卸で対象領域を特定してから、製品のタイプを選びましょう。デモを見る前に、指摘を受けやすい統制ポイントを書き出しておきます。領域が明確になれば、候補のタイプも絞り込みやすくなるでしょう。

ソフトの導入でJ-SOX対応が終わると考える

ソフトを導入すれば評価まで終わると誤解しているケースが見られます。実際には、整備状況評価や運用状況評価が手作業のまま残ります。製品が支えるのは、統制の実行と証跡化までだからです。評価の体制まで含めて設計しないと、毎期の負担が減らないままになります。

回避策：評価と不備管理の運用設計を、導入計画の中に含めましょう。誰がいつ評価を行い、不備をどう記録するかまで決めておきます。ソフトが担う範囲と自社が担う範囲を線引きすれば、期待と実態のずれが起きにくくなります。

会計・基幹システムとの連携を軽く見る

統制ツールと会計・基幹システムを別運用にし、権限マスタや承認結果を二重管理する例は珍しくありません。片方を直してももう片方が古いままで、証跡の突合に手間がかかります。監査のたびに同じ確認を繰り返すことにもなります。

回避策：連携範囲は、要件定義の段階で明確にしておきましょう。承認結果、権限マスタ、操作ログの3つについて、方式と頻度を表に落とします。連携が手作業中心なら、その工数も導入後の運用コストとして見積もっておくと安心です。

運用と評価の体制を用意しない

毎期の権限棚卸や評価作業を担う体制がないと、導入した仕組みが形骸化しかねません。統制は一度作って終わりではなく、毎期の運用と評価が続きます。担当者の異動や繁忙期をきっかけに、運用が止まってしまう例も見られます。

回避策：運用フローと責任分担を、稟議の段階で導入計画に組み込みましょう。内部監査部門との連携や、利用部門への研修も同時に設計します。仕組みを導入するだけでなく、回し続ける体制まで用意することで効果が出やすくなります。

内部統制ソフトの選定は、まず統制したい対象領域を特定するところから始めます。申請承認が課題ならワークフロー型、会計処理が課題なら会計・財務一体型が有力です。業務横断で一元化したいなら統合ERP型が候補になるでしょう。次に会計・基幹システムとの連携範囲を決め、証跡とログの出力を実機で確かめます。

製品が支えるのは統制の実行と証跡化までで、毎期の評価と不備管理は自社に残ります。この線引きを先に済ませておけば、導入後のギャップは小さくなるでしょう。費用は初期費用だけでなく、3年分の総額で比べることが大切です。製品ごとの比較は内部統制ソフトの比較記事、用語の整理は内部統制ソフトの解説記事で扱っています。