活用例一覧 › 監査対応・内部統制 › J-SOX・統制文書
監査対応・内部統制 › J-SOX・統制文書活用案

業務記述書・RCMの更新差分を洗い出す

前年度の業務記述書・RCMと、当年度に起きた業務の変更情報を突き合わせ、更新が必要な箇所を一覧にする方法です。「重要な変更があったか」の判断と文書の確定は人が行います。

AI操作難易度★★☆☆☆ 経理財務 実務難易度★★★★☆ 使う道具Cowork

1. 現場の課題

内部統制評価の文書——業務の流れ図、業務記述書、RCM（リスクと統制の対応表）——は、一度作ると更新が後回しになりがちです。その一方で現場では、販売管理システムの更改、組織改編による部署名や役職の変更、規程改正に伴う承認権限の変更、業務委託先の入れ替えなどが毎年起きています。評価の時期になって現場を見に行ったとき、文書に書かれた手続と実際の業務が食い違っていることに気づき、そこから文書の書き直しと評価のやり直しが始まる、という順序になりやすい部分です。

実施基準は、全社的な内部統制の評価結果が有効である場合、統制上の要点として識別された内部統制のうち、前年度の評価結果が有効で、かつ前年度の整備状況と重要な変更がないものについては、その旨を記録することで前年度の評価結果を継続して利用できるとしています。つまり「重要な変更があったかどうか」を確かめて記録することが、評価の負担を適切な範囲に収めるための前提です。ところがその確認は各部署へのヒアリングに頼っており、聞く相手や聞き方が担当者によって変わるため、変更を拾い漏らすと文書も評価結果も古いまま残ってしまいます。

2. AIに任せること／人が判断すること

AIに任せる
  • 前年度の業務記述書とRCMを読み込み、統制の一覧（統制番号・統制内容・実施者・頻度・証跡）を表に整理する
  • 当年度に集めた変更情報（規程改正、システム更改、組織改編、権限変更の記録）と突き合わせ、影響を受けそうな統制を挙げる
  • 統制ごとに「変更の有無」「変更の内容」「文書のどこを直すか」を書き込む確認シートを作る
  • 前年度のRCMと当年度の下書きを比べ、追加・削除・記述変更の差分を一覧にする
人が判断する
  • 拾い出された変更が「重要な変更」に当たるかどうかの判断
  • 変更後の統制が、虚偽記載が発生するリスクを十分に低減しているかの評価
  • 統制上の要点の選定を見直す必要があるかどうか
  • 文書の確定と、記録の保存、監査人との協議
ここはAIを使わない

統制が有効かどうかの評価と、不備の判定。ここは評価の基準と自社の運用実態に基づく判断です。また、現行の業務が文書どおりに行われているかは、現場に確認しないと分かりません。AIに任せるのは、前年度文書と当年度文書の差分の抽出と、確認すべき箇所の一覧化です。

3. 進め方

  1. 材料を1か所に集める。前年度の業務記述書・RCMに加えて、当年度の変更情報（規程改正の記録、システム更改の稟議・議事録、新旧の組織図、職務権限表の改訂履歴）をフォルダにまとめます。この「変更情報を集める」ことが、この活用例で最も大事な準備です。
  2. 統制一覧と影響候補を出させる。下のプロンプトでフォルダを読ませ、統制の一覧と「変更の影響を受けそうな統制」の候補を出させます。
  3. 確認シートを各部署に回す。変更の有無と内容は現場の事実なので、人が確認して埋めます。AIが挙げた候補は質問の出発点であって、結論ではありません。
  4. 文書を更新し、記録を残す。更新が必要なものは文書を直します。「重要な変更がない」と判断したものについては、その旨と判断の根拠を記録として残します。
用語：Coworkを使うと、フォルダの中にある複数のWord・Excel・PDFをまとめて読ませることができます。統制文書のように「複数のファイルを横断して突き合わせる」作業に向いています。用語集
プロンプト例（そのまま貼って使えます）【場面と読み手】 以下は、内部統制評価の担当者が、前年度の統制文書を当年度向けに更新するための準備です。読み手は経理部門・内部監査部門の担当者と責任者で、各部署への確認に使う資料を作ります。 【事実／入力】 ・docs/前年度/ ：前年度の業務記述書（Word）とRCM（Excel）。対象は販売プロセス ・docs/変更情報/ ：当年度の規程改正の記録、システム更改の稟議書、新旧の組織図、職務権限表の改訂履歴 ・評価対象は販売プロセス（受注・出荷・売上計上・請求・入金消込） ・「重要な変更があったか」の結論は、各部署への確認後に人が記入する 【依頼】 1. 前年度のRCMから、統制の一覧を作ってください（統制番号／統制内容／実施者／頻度／証跡） 2. docs/変更情報/ の内容を読み、各統制について「関連しそうな変更情報」があれば、その文書名と該当箇所を挙げてください 3. 統制ごとに、変更の可能性がある観点（実施者の役職名、承認の方法、システムの画面や権限、証跡の保存場所など）を挙げてください 4. 各部署への確認シートを作ってください 【出力の型】 ・確認シートの列：統制番号／統制内容（前年度）／関連する変更情報／変更の可能性がある観点／変更の有無（空欄）／変更の内容（空欄）／文書の修正箇所（空欄）／確認者（空欄） ・関連する変更情報が見当たらない統制は「該当なし」と記載し、行は残す ・引用した変更情報には、必ず文書名とページ・該当箇所を添える 【禁止事項】 ・「重要な変更である」「変更なしでよい」といった結論を書かない ・変更情報に書かれていない業務の変更を推測で補わない ・統制の有効性を評価しない ・実施基準の項番号を確信がないまま書かない

出力のイメージ（確認シートの抜粋）

統制番号統制内容（前年度）関連する変更情報変更の可能性がある観点変更の有無（人が記入）
P-02受注データは営業課長がシステム上で承認する稟議書「販売管理システム更改の件」（2026年4月）p.3承認画面・承認権限の設定、証跡の取得方法（空欄）
P-07出荷実績と請求データを月次で照合し、経理課長が承認する新旧組織図（2026年7月）／職務権限表 改訂第8版実施者の役職名、承認者の変更（空欄）
P-11与信限度額を超える受注は与信管理部門の承認を得る該当なし—（空欄）

※ 説明用の架空の例です。

4. 期待できる効果

各部署へのヒアリングが「何か変わりましたか」という漠然とした質問から、「この統制のこの観点が変わっていませんか」という具体的な確認に変わるため、回答が早くなり、聞き漏らしも減ります。統制文書と変更情報を突き合わせる作業が先に済んでいるので、担当者の時間は事実の確認と、重要な変更に当たるかどうかの判断に使えます。確認シートがそのまま記録として残るため、前年度の評価結果を継続して利用する場合に必要な「重要な変更がない旨の記録」を、別に作り直す必要がなくなります。担当者が交代しても、同じ観点で確認を進められます。

明日の仕事で試すこと
  • 担当している業務記述書を1つ選び、前年度版との差分をAIに出させる
  • 差分のうち、文言だけの修正と、業務の実態が変わったものに分ける
  • 実態が変わったものについて、RCMの統制が更新されているかを確認する

5. 注意点

「重要な変更」の判断と統制の評価はAIにさせません。変更が財務報告の信頼性にどう影響するか、統制が虚偽記載のリスクを十分に低減しているかは、会社の判断です。AIには「変更情報と統制の対応付け」と「確認すべき観点の提示」までを任せ、結論は人が記入してください。
自社の文書の様式を変えないでください。実施基準の参考2（業務の流れ図・業務記述書）と参考3（リスクと統制の対応）は参考例であり、「企業において別途、作成しているものがあれば、それを利用し、必要に応じそれに補足を行っていくことで足り、必ずしもこの様式による必要はない」と明記されています。AIに「標準的な様式」へ作り直させると、監査人との間で積み上げてきた自社の文書体系を崩すことになります。
AIが挙げた対応付けは原文と照合します。「この稟議書のこの箇所が、この統制に関係する」という指摘は候補にすぎません。引用元の文書名と該当箇所を必ず出させ、人が原文で確認してください。実施基準の項番号を引用する場合も、金融庁が公表する原文で確認します（ハルシネーション）。
統制文書は機密性の高い資料です。業務記述書やRCMには、どこにどのような統制があるか（裏を返せば、どこが弱点になりうるか）が書かれています。社外のAIに読ませてよいかは会社のルールによります。共通ルールに従ってください。

6. 難易度を上げる／下げる場合

★★★：前年度と当年度のRCM（Excel）を読み込んで統制番号ごとの差分表を自動生成し、変更情報の一覧と突き合わせる処理をClaude Code／Pythonで組むと、対象プロセスが多い会社でも一度に処理できます。評価結果の記録と合わせて管理すれば、翌年以降の準備がさらに短くなります。★に下げるなら、1つの業務プロセスの業務記述書だけをチャット型AIに貼り付け、「この記述のうち、システム更改で変わりそうな箇所はどこか」と尋ねるところから始められます。