すべてのExcelに統制が要るわけではありません。統制を整備するのは、財務数値に直結するスプレッドシート（売上の集計、引当金の計算、連結パッケージなど）です。財務報告内部統制監査基準報告書第1号（以下、内基報1）は、監査人がスプレッドシートについて、計算式の検証・アクセス制御・変更管理等の統制が整備されているかを検討することを求めています。経営者の側で先に整備しておけば、監査対応がスムーズに進みます。まず経理で使っているExcelを一覧にし、数字が間違ったときの影響が大きいものから統制を整備します。
この記事の要約
架空のA社（社員50人、経理3人）は、freee会計で記帳していますが、決算のたびにExcelが増えます。売上の月次集計はSaaSからCSVをエクスポートしてExcelで加工し、加工した数字をfreeeに手入力しています。賞与引当金の計算もExcelです。監査法人から「そのExcelの計算式は誰が確認していますか」と聞かれ、答えに詰まりました。
決算で使うスプレッドシートは、EUCの統制対象になる
経理部門がExcelで集計や計算を行い、その結果を仕訳に使う運用は、エンドユーザーコンピューティング（EUC）にあたります。日本公認会計士協会の監査基準報告書315実務ガイダンス第1号（以下、315実務ガイダンス）のQ22は、EUCを「システムの開発・運用を情報システム部門等で集中的に管理するのではなく、利用部門（エンドユーザー）が実施する管理体制」と説明しています。経理部が自分でExcelを作り、自分で使い、自分で直す運用が典型です。
内基報1は、決算・財務報告プロセスでスプレッドシートが広く使われていることに触れ、「エンドユーザーコンピューティング（EUC）の観点からのリスクの評価が重要になる」としています（第175項）。会計システムの中で動く承認フローや自動仕訳はITACとして管理されますが（承認フローや自動仕訳をITACとして評価する記事）、Excelの集計は会計システムの外にあり、情シスの管理を通りません。計算式を間違えても、決算の数字を確認するまで誰も気づかないおそれがあります。
ただし、すべてのExcelが統制の対象になるわけではありません。315実務ガイダンスQ22は、「比較的単純なスプレッドシート（マクロ機能を含む。以下同様）については、手作業による検算や、スプレッドシートの整合性チェックツールの利用による補完統制により、信頼性を損なうリスクを低減できる場合もある」としています。統制の程度は、処理する金額の重要性と処理の複雑さで変わります。
統制が要るかは、重要な勘定に直結するかどうかで分ける
統制を整備するスプレッドシートを選ぶ判断基準は、「そのExcelの数字が間違ったとき、財務諸表の重要な勘定に影響するか」です。
| 統制を優先するもの | 統制が簡易でよいもの |
|---|---|
| 売上の月次集計（仕訳の元データ） | 社内の進捗管理表 |
| 賞与引当金・退職給付の計算 | 経費精算の下書き |
| 連結パッケージの組み替え | 会議用の集計資料 |
| 税効果会計の一時差異の計算 | 営業の受注予測 |
315実務ガイダンスQ22は、監査人がリスクの程度を評価する観点として「処理の複雑さ、処理する金額の重要性、処理する内容と目的、変更頻度、他システムとの連携の程度等」を挙げています。経営者の側でも、この観点を参考に統制を優先するスプレッドシートを選べます。編集部の見立てでは、仕訳の元データになるExcel、財務諸表の注記の計算に使うExcel、連結の組み替えに使うExcelの3つを優先して統制を整備します。
一方、「自動化機能を多用したスプレッドシートの利用や、処理の内容が複雑でブラックボックス化しているような処理が行われている場合には、自動化された情報処理統制と同様の、処理の一貫性を維持するような内部統制の整備が求められる場合もあります」と同じQ22は続けます。マクロで何十もの加工を重ね、作った本人以外が中身を追えないExcelには、計算式の保護に加えて仕様書に準じた文書管理が要ります。
統制は、計算式の検証・アクセス制御・変更管理の3つで組む
内基報1は、監査人が経営者のスプレッドシートに関する評価を検討する際に、3つの観点を挙げています（第176項）。経営者の側でもこの観点に沿って統制を整備しておくと、監査対応がスムーズに進みます。内基報1第176項③はアクセス制御・変更管理・バックアップをまとめて挙げていますが、ここでは実務で先に手を付けやすいアクセス制御と変更管理に絞り、バックアップは省略します。
1つ目は、計算式やマクロの検証です。内基報1は「スプレッドシートを使用し、財務報告の基礎資料を作成している場合、マクロや計算式等を検証していること」を検討事項としています（第176項①）。検証の頻度は基準で定められていませんが、四半期の決算のタイミングで、シートを開いて数式を目で追い、数式の結果を手計算と照合するのが実務的です。同じ項の②で、「マクロ、計算式等の検証が適切になされていない場合、手計算で確かめる等の代替的な手段がとられていること」も検討事項に含まれます。検算の記録として、日付と確認者の名前を残します。
2つ目は、アクセス制御です。同③は「スプレッドシートに対するアクセス制御、変更管理、バックアップ等の対応について検証していること」としています。ファイルサーバーのフォルダ権限やSharePointの共有設定で、編集できる人を経理担当に限定します。315実務ガイダンスQ22も「アクセス制限に関する内部統制」を管理体制として挙げています。経理の担当者がそれぞれデスクトップにコピーを持っている状態では、どれが正本か分かりません。
3つ目は、変更管理です。計算式やマクロを変えたら、いつ・誰が・何を変えたかを記録します。Excelには会計システムのような変更履歴の機能がないため、ファイル名に日付を入れるか、SharePointのバージョン履歴を使います。315実務ガイダンスQ22が指摘するとおり、「仕様書の作成や変更記録の作成等の全般的な管理体制」はスプレッドシートでは整備が難しいことが多く、まず変更の記録だけでも始めます。
SaaSからCSVで出して加工する流れにも統制を設ける
SaaSから数字をCSVでエクスポートし、Excelで加工してから別のSaaSにインポートする手順は、経理でよく見る運用です。この手作業の連携にも統制が要ります。
CSVをExcelで開くと、数字が変わるおそれがあります。先頭のゼロが落ちる、日付が数値に化ける、文字コードの違いで行がずれるなどは、Excelの既知の挙動です。加工の途中で行を消す、フィルタで一部を見落とすなどの人為ミスも起こります。
統制は3つの段階ごとに設けます。出力の段階では、エクスポートした件数と金額の合計を記録します。加工の段階では、完成したExcelの件数と合計を出力時の記録と照合します。入力の段階では、インポート後の件数と合計をもう一度照合します。監査基準報告書500（以下、監基報500）第8項は、監査人が企業の作成した情報を利用する場合に正確性と網羅性の監査証拠を入手することを求めています。経理の側で先に3段階の照合を行い記録しておけば、監査人に正確性と網羅性を示す証拠になります。
freee会計では、「他社会計ソフトインポート」機能でCSVをインポートできます（公式ヘルプ、2026年10月時点）。1つの仕訳（伝票番号が同じ行の集まり）が200行を超える場合は、freeeのヘルプで分割が推奨されています。インポート後の仕訳に承認フロー（アドバンスプラン以上）が適用されるかどうかは、公式ヘルプに明示されていません。freeeのサポートに確認するか、テスト仕訳を1件インポートして確かめます。件数と金額の照合は、インポート前後の合計で行います。
API連携にすればCSVの手作業は減りますが、その場合の統制の置き方は別の記事で扱います（SaaSで経理を回す会社に残るITGCの記事）。
統制を置くと決めたExcelは、台帳と検証の記録で示す
統制を整備しても、監査人に示せるのは記録だけです。内基報1第176項の①〜③の観点で検討されることを踏まえると、対象のExcelごとに、何を計算しているか、誰がいつ検証したか、誰が編集できるか、いつ何を変えたかを後から追える状態にしておく必要があります。編集部の見立てでは、次の列を持つ台帳を1枚作るのが手早い方法です。
| 列 | 書く内容 |
|---|---|
| ファイル名と保存場所 | 正本の置き場所を1つだけ書く |
| 用途と影響する勘定 | 売上高、賞与引当金など |
| 元データ | どのSaaSのどの帳票から取ったか |
| 手入力する値 | 料率や支給見込額などの前提と、その根拠資料 |
| 編集できる人 | フォルダの権限設定と一致させる |
| 最終検証日と検証者 | 手計算と照合した日と名前 |
| 最終変更日と変更内容 | 計算式やマクロを変えた日と中身 |
保護の設定は、目的を分けて考えます。Excelのシート保護は、ロックしたセルを誤って書き換えないための機能です。Microsoftのサポートページも「ワークシート レベルの保護は、セキュリティ機能を意図したものではありません」と明記しています。計算式のセルはシート保護で誤操作を防ぎ、誰が編集できるかはフォルダやSharePointの権限で制御する、という役割分担になります。
検証のときに見る点は、315実務ガイダンスQ20が監査人の手続として挙げる元データ、ロジック、パラメータの3つに沿うと漏れが減ります。元データの合計が総勘定元帳や補助元帳の数字と一致しているか。計算式が目的どおりの範囲を参照しているか（行を足したときに合計範囲から漏れていないか）。手入力した料率や前提が根拠資料と一致しているか。検証した時点のファイルを残し、台帳の検証日と結びつけておきます。
CSVの照合は、毎月同じ照合表に残す
前の節の3段階の照合は、毎月同じ形式の表に記録すると、監査人に示しやすくなります。架空のA社であれば、売上の月次集計について次のような照合表を作ります。
| 段階 | 記録する値 | 突き合わせる先 |
|---|---|---|
| 出力 | SaaSの画面上の件数と売上合計、CSVのファイル名と出力日時 | 照合の起点 |
| 加工 | Excelの完成シートの件数と合計 | 出力時の件数と合計 |
| 入力 | インポート後の仕訳の件数と金額合計 | 加工後の件数と合計 |
| 月次 | freeeの売上高の月合計 | SaaS側の月次売上レポート |
315実務ガイダンスQ19は、システム間の連携の信頼性を確かめる方法として、送信データと受信データの突合や、数値項目の合計を照合するトータル・チェックを挙げています。手作業の連携では、この照合を人が行い、その記録を残すことになります。差異が出たときは、差異の金額、原因、直した日、確認者を同じ表に書きます。差異がない月も0と記録し、照合を実施したこと自体が分かるようにします。返品や値引きの処理で出力時と加工後の件数が意図して変わる場合は、どの調整で何件・いくら変わったかを書き添え、説明できる差異にしておきます。
監査法人から聞かれやすい質問
監査人が確かめる点（内基報1第176項、315実務ガイダンスQ20・Q22）から逆算すると、次のような質問が想定されます。どれも、台帳と照合表があれば記録を見せて答えられます。
- このExcelの元データは、どのシステムのどの帳票から取っていますか
- 計算式を最後に検証したのはいつ、誰ですか。どの方法で確かめましたか
- 手入力している料率や前提の数字は、何を根拠に決めていますか
- このファイルを編集できるのは誰ですか。前期から計算式を変えましたか
- CSVを出してから仕訳に入るまで、件数と金額が一致していることをどう確かめていますか
315実務ガイダンスQ22は「利用しているＥＵＣのツールが簡易だからといって、統制リスク評価手続が不要となるものではなく」としています。単純な集計表でも、重要な勘定の数字を作っているなら、こうした質問は来ると考えておくのが無難です。
手作業を減らすかは、繰り返しと件数で決める
照合と記録を続けるより、加工そのものをSaaS側の設定や連携に移した方が早い場合もあります。実施基準は、入力情報の完全性・正確性・正当性等を確保する統制などのIT業務処理統制について、「手作業により実施することも可能であるが、システムに組み込むことにより、より効率的かつ正確な処理が可能となる」としています（Ⅰ.2.(6)②ロ.b）。315実務ガイダンスQ19も、帳票を見て手入力する、ファイルをアップロードする、自動でデータを引き渡す、という連携の3つの形を挙げ、自動化された連携に適切な情報処理統制やIT全般統制があれば、データの正確性は高いと考えられるとしています。
編集部の見立てでは、次の3つがそろう流れが、SaaS側に移す候補です。
- 毎月同じ手順で同じ加工を繰り返している
- 加工する件数が多く、照合で差異が出たことがある
- 加工のルールが決まっていて、担当者の判断が入らない
逆に、見積りや判断が入る引当金の計算などは、Excelに残して検証の記録を厚くする方が現実的と考えられます。連携を自動化すると、今度はその設定の変更を管理する統制が要ります。移す前に、誰が連携の設定を変えられるかも決めておきます。
基準を読み違えやすいポイント
- 監基報500の「企業が作成した情報」（実務ではIPE: Information Produced by the Entityと呼ばれます）は、Excelの集計だけを指すのではありません。SaaSから出力した帳票やレポートも、監査人がそれを監査証拠に使うなら正確性と網羅性の評価が要ります。企業が作成した情報の評価は次の記事（システム帳票の正確性と網羅性を確かめる方法の記事）で詳しく扱います
- 315実務ガイダンスQ22も内基報1第176項も、監査人向けの記述です。経営者の評価で統制をどこまで整備するかは、監査法人と協議して決めます。ただし、監査人がこの観点で検討することを踏まえ、経営者の側で先に整備しておくのが得策です
明日からやること
- 経理で使っているExcelを一覧にする。ファイル名、何の計算に使っているか、仕訳の元データになるか、最後に計算式を変えた日、誰が編集できるかをファイルごとに書き出す
- 仕訳の元データになるExcelと、財務諸表の注記に使うExcelに印を付ける。この2つが統制を優先する対象
- 印を付けたExcelの計算式を、今期中に1回、手計算で検算する。検算した日付と確認者を記録する
- 印を付けたExcelの保存先を1か所にまとめ、編集権限を経理担当に限定する。デスクトップのコピーは削除する
- CSVで手作業の連携をしている流れを書き出し、出力時・加工後・入力後の3回で件数と合計の照合を始める
IT統制・J-SOX対応の進め方をご相談ください
使っているSaaSの洗い出し、IDと権限・設定変更の記録の始め方、SOC1レポートの読み込み、監査法人との協議に出す案づくりまで、公認会計士とエンジニアが一緒に整理します。