規程と証跡。中小企業の規模でつくる内部統制

内部統制という言葉は、大企業のものに聞こえます。実際に困るのは、人が少ない会社です。

経理が 1 人しかいない。その人が請求書も作り、入金も確認し、振込もする。その人を疑っているわけではありません。ただ、間違いが起きても誰も気づけない形になっています。

分けられない会社が、最初にやること

人を増やせないなら、全部を分けるのではなく、いちばん危ないところだけを分けます。

危ないところ	最小限の分け方
振込	作る人と、実行を承認する人を分ける（承認は社長でよい）
現金・小口	月末の残高を、扱う人以外が数える
売掛金の消し込み	入金の消し込みを、請求書を作った人以外が確認する
発注	一定の金額を超えたら、相見積もりか上長の承認を要る形にする
マスタの変更	取引先の口座情報を変えたら、必ず別の人に通知が行く

最後の 1 行は、振込先を書き換える詐欺への備えにもなります。

規程は、守れる量だけ作る

規程集を分厚く作っても、守られなければ意味がありません。守れる量から始めます。

最初に作ると効くのは 3 つです。

1. 職務権限規程（いくらまでを誰が決めるか）
2. 経理規程（締めの手順、承認の流れ）
3. 情報の取り扱い（誰がどのデータを見られるか、持ち出しの扱い）

それぞれ数ページで構いません。実際の運用と合っていることのほうが、量より大事です。

証跡とは、「あとから追えること」

規程どおりに動いたという記録を、証跡と呼びます。難しいものではありません。

• 誰が承認したかが残っている（紙のはんこでも、システムの記録でもよい）
• いつ承認したかが分かる
• 承認する前に実行されていないことが分かる

日付が後から書ける形、承認欄が空のまま処理が進む形は、証跡になりません。ここだけ直せば、多くのことが片付きます。

上場準備・上場後に必要になるもの

上場を目指す場合、ここに評価と報告が加わります。上場後は内部統制報告制度（J-SOX）として、経営者が自社の内部統制を評価し、報告することが求められます。

やることは同じです。**規程を決め、守り、記録を残し、それを点検する。**規模が大きくなると、点検の手順そのものを文書にすることになります。

危機のときにも効く

不祥事や情報漏えいが起きたとき、最初に問われるのは「いつ、誰が、何をしたか」です。証跡が残っていれば、範囲を絞って説明できます。残っていなければ、全部を疑うところから始めることになります。

内部統制は、事故を防ぐためだけでなく、起きたときに被害を小さくするためのものでもあります。

小さく始めて、点検する日を決める

一度作って終わりにすると、実態とずれます。半年に一度、1 時間だけ、規程と実際の運用が合っているかを見る日を決めます。合っていなければ、規程のほうを実態に寄せることもあります。

外部の専門家に頼む範囲

最初の設計（どこを分けるか、規程を 3 つ作る）を財務経理・内部統制の経験者に頼み、その後の点検は社内で回す、という形が多いです。上場準備に入る場合は、監査法人の指摘に対応できる人を入れます。

出典: 本記事は運営の実務経験をもとにした整理で、外部統計の引用はありません。制度の要件は時期により変わるため、具体は金融庁・証券取引所の公表資料をご確認ください（確認日: 2026-09-25）。