ホーム › 記事 › 「開示すべき重要な不備」を出した44社の本文を読んだ。ITを不備の区分に挙げたのは6社、うち4社は基幹システムの入れ替え
「開示すべき重要な不備」を出した44社の本文を読んだ。ITを不備の区分に挙げたのは6社、うち4社は基幹システムの入れ替え
上場企業は毎年、財務報告に係る内部統制が有効かどうかを自分で評価して、内部統制報告書を金融庁に出します。有効でないと判断したときは「開示すべき重要な不備」の中身を本文に書きます。民間の集計は毎年この社数を数えていますが、不備の中身をITの観点で数えたものは見つからなかったので、本文を全部読んで数えました。
2025年4月1日から2026年3月31日にEDINETへ提出された内部統制報告書を「開示すべき重要な不備」で全文検索すると178件。本文で「有効でない」か「評価結果を表明できない」と判断していたのは44社でした。そのうち、不備の区分として自社でIT全般統制やITへの対応（表記は社ごとに違います）を挙げたのは6社。4社は新しい基幹システムの導入時にテストや受入検証が足りなかった話、1社は銀行取引システムの特権的な権限の話、1社はIT環境の管理体制の話でした。
サイバー攻撃や不正アクセスを不備の原因に挙げた社は、44社の中に0社でした。
この記事の要点
- EDINETの全文検索で178件（原本128件、訂正報告書50件、132社）。本文を読んで「有効でない」「表明できない」だったのは44社
- 不備の区分にIT全般統制やITへの対応を自社で書いたのは6社（表記は社ごとに違う）。ツインバード、キーコーヒー、河西工業、旅工房、フルテック、イーエムネットジャパン
- 6社のうち4社は新基幹システム／ERPの導入時の不備。テスト工程、受入検証、必要機能の事前確認が不十分で、決算の遅れや在庫・買掛金の誤りになった
- 1社は、銀行取引システムで役員が1人で送金できる特権的な権限の棚卸とモニタリングが不十分だった。1社はIT環境の管理体制（2022年3月期の不備が、訂正報告書に書かれている）
- IT統制とは書いていないが、システムの設定が不備の説明に出てくる社が2社（販売管理システムで自己承認が可能、在庫管理システムの外で数量を変更できた）
- サイバー攻撃を原因に挙げた社は0。44社のうち「サイバーセキュリティ」の語を不備の区分に使ったのは旅工房の1社だけ
使った数字
- 金融庁 EDINET「書類全文検索」。検索文字列は「開示すべき重要な不備」、書類種別は「内部統制報告書」と「訂正内部統制報告書」の2つ、提出期間は範囲指定で2025年4月1日から2026年3月31日
- 各報告書の本文は、検索結果から開いた書類のPDF。文中の引用はこのPDFからで、社名の後ろに書類の提出日を添えています
- 先行の集計：東京商工リサーチ「2025年度「内部統制の不備」開示企業調査」（2026年5月14日）。41社42件、内容別は「決算・財務報告プロセスの不備」21件、「全社的な内部統制の不備」19件、「業務プロセスの不備」2件
- 参照日：2026年10月10日
数え方
検索は178件を返しました。内部統制報告書の原本が128件、訂正報告書が50件、提出者は132社です。訂正報告書は、過年度の報告書の評価を書き直すときに年度ごとに1通ずつ出すので、1社で4通になる社もあります。
「開示すべき重要な不備」という語は、不備が無い社も書きます。「開示すべき重要な不備は識別されなかった」という言い回しや、前の年の不備を是正したという説明です。そこで178件すべてについて、本文の「評価結果に関する事項」を読み、「有効でない」「有効ではない」「評価結果を表明できない」のどれかを書いている報告書だけを残しました。訂正報告書は「訂正後」の段落で判定しています。残ったのは86件、44社です。
この44社について、期間内のすべての報告書の不備の説明と是正策を読み、ITが出てくるかで4つに分けました。
| 区分 | 基準 | 社数 |
|---|---|---|
| A | 会社自身がIT全般統制やITへの対応を不備の区分として書いている（表記は「IT全般統制」「ITに係る全般統制」「ITへの対応」「IT環境への対応」） | 6社 |
| B | 不備の説明にシステムの設定や機能が出てくるが、会社は業務プロセスなどの不備として区分している | 2社 |
| C | 不備の原因はシステムの設定や機能ではなく、システムは是正策か手続きの説明に出てくるだけ | 4社 |
| D | どちらにも出てこない | 32社 |
| 合計 | 44社 |
社名は、金融庁に提出された公開書類に書かれているものをそのまま使います。このサイトで社名を伏せているのは、自分が面談や応募をした会社だけです。
ITを不備の区分に自分で挙げたのは6社
区分Aの6社です。提出日の順に並べました。
| 社名（提出日） | 会社が書いた不備の区分 | 何が起きたか |
|---|---|---|
| ツインバード（2025年5月29日） | 「IT全般統制の不備：新基幹システム導入時におけるシステムテスト工程の不備」 | 2024年12月に導入した基幹システムで、原価計算の検証が不十分なまま稼働。システム外で原価計算をする暫定対応になって決算が遅れ、在庫購買管理の会計処理を決算短信の発表後に修正した |
| キーコーヒー（訂正報告書、2025年8月25日） | 「全社的な内部統制(ＩＴへの対応)」と「ＩＴ全般統制の不備：ソフトウエアの品質管理の受入検証手続に係る整備上の不備」 | 2025年1月に導入した基幹システムのカスタマイズプログラムで、同じ品目が複数行に分かれた出荷データの2行目以降が入荷処理エラーになる設計だった。エラー分を手作業で入荷処理すると出荷元の積送中在庫が減らない仕組みで、在庫が過大計上された |
| 河西工業（2025年10月8日） | 「IT全般統制（KMEXの新ERPシステム導入時に関する不備）」 | 海外子会社の新ERPに特定時点の買掛金残高を見る機能が無く、補う機能も作らず、手作業の調整で誤謬が出た。外部ベンダーの作業結果を検証しなかったことは、業務プロセスの不備として別に挙げている |
| 旅工房（訂正報告書、2025年10月31日） | 「全社的な内部統制の不備（IT環境への対応）」、末尾の区分は「IT環境への対応：サイバーセキュリティ管理体制の不備」 | 2022年3月期の不備。ソフトウェアの過大計上の問題の支出に関連して、IT環境の管理体制の構築・運用が不十分と内部監査で指摘されていたのに、社内リソースの問題で対応できていなかった。翌期の訂正報告書では、主要なシステムをクラウドへ移し販売管理システムを刷新して是正したと書いている |
| フルテック（2026年3月30日） | 「①IT全般統制の不備」 | 2025年7月に導入した新基幹システムで、原価計算の数値検証が不十分なまま本格稼働し決算が遅れた。「システム開発時のIT全般統制に関する責任者の役割・権限が明確に定義されておらず」と書いている |
| イーエムネットジャパン（2026年3月31日） | 「ITに係る全般統制における開示すべき重要な不備」 | 常務取締役CFOが銀行取引システムで1人で送金できる特権的な権限を持ち、その棚卸とモニタリングが不十分だった。会社の口座から自分の口座へ送金し、会計システムから出力した仕訳帳から振込取引を削除していた |
6社のうち4社は、新しい基幹システムやERPを入れたときの話です。テスト工程、受入検証、必要な機能が備わっているかの事前確認のどれかが不十分で、稼働後に原価、在庫、買掛金の数字が合わなくなりました。4社のうち、システムの不具合で決算が遅れた社が2社、在庫や買掛金の金額を間違えた社が3社です（1社は両方）。
イーエムネットジャパンは、システムを入れ替えた話ではありません。送金できる特権的な権限が1人に付いていて、その付与状況の把握と不正使用のモニタリングが足りなかった話です。
旅工房は、2022年3月期の報告書を2025年10月に訂正したときに、この区分を訂正後の本文に加えています（訂正前の本文にはありません）。不備の中身はIT環境の管理体制で、攻撃を受けた話ではありません。
IT統制とは書かないが、システムの設定が原因に出てくる社が2社
区分Bの2社は、不備を業務プロセスや全社的な内部統制の不備として区分していますが、不備の説明にシステムの設定や機能が出てきます。
- アライドアーキテクツ（2025年6月13日）。販売管理システムの承認フローの設定が適切でなく、「販売管理システム上で自己承認が実行可能となっておりました」。検収確認のメールを自動送信するシステムは、送信先に顧客以外のアドレスを追加できる仕様で、自分で検収確認ができた
- 京都機械工具（2025年9月16日）。子会社の在庫管理システムは製造ロットの工程管理にしか使われず、実地棚卸の在庫金額は手作業で評価していたため改ざんが容易で、「在庫管理システム外で在庫数量等の変更が実行可能となっており」、実地棚卸の結果が会計データに正確に反映されていなかった
区分Cの4社は、不備の原因がシステムの設定や機能ではない社です。是正策に「システムの構築」や「電子記録制度の導入」が出てくる社、不備の手続きの説明にシステムの名前が出てくる社です。不備そのものは診療報酬の請求、売上の計上時期、保険金の管理、収益認識の手続きでした。
残りの32社は、人と手続きの話だった
区分Dの32社の不備は、経理の人員不足と引き継ぎの失敗、会計基準の理解不足、子会社の資金の着服、経営者が主導した不適切な会計、循環取引、暗号資産の評価などです。44社のうち、期間内の「有効でない」報告書が訂正報告書だけの社が8社あります。過年度の評価を書き直したものです。
最初の提出月で見ると、6月が10社で最多でした。
サイバー攻撃を原因に挙げた社は0
44社の不備の説明に、サイバー攻撃、ランサムウェア、不正アクセス、マルウェア、情報漏えいを原因として書いた社はありませんでした。語として「サイバーセキュリティ」が不備の区分に出てくるのは旅工房の1社で、上に書いたとおり管理体制の整備が不十分だったという内容です。
前の年の不備を期末までに是正して「有効」と判断した社は、44社に入っていません。その中に、前年度の報告書に書いたサイバーセキュリティに関する全社的な統制の不備を当期に是正したと付記した社が1社（イズミ、2025年5月29日）あります。
内部統制報告書は、金融商品取引法にもとづく財務報告に係る内部統制の評価です。有価証券報告書の「事業の状況」に「サイバーセキュリティ」と書いた3月決算の上場企業は16%で見た有価証券報告書のリスク記載とは、別の書類です。
民間の集計との違い
東京商工リサーチの集計は、2025年度（4月から3月）に不備を開示した企業を41社42件としています。自社開示と、金融庁・東京証券取引所などの公表資料にもとづく集計で、内容別の区分は「決算・財務報告プロセスの不備」21件、「全社的な内部統制の不備」19件、「業務プロセスの不備」2件の3つです。ITの区分はありません。
この記事の44社と社数が合わない理由は確かめていません。数え方の違いとして分かっているのは、東京商工リサーチが開示の日付で数えているのに対し、この記事はEDINETへの提出日で区切り、報告書の本文で判定していることです。この記事の6社が、東京商工リサーチの3区分のどこに入っているかは分かりません。
ここからは出典ではなく、この記事の見方です。6社の本文に出てくるITの不備は、新しいシステムを入れるときのテストと受入検証、必要な機能の事前確認、特権的な権限の把握とモニタリング、IT環境の管理体制の整備でした。攻撃を受けた話は出てきません。J-SOXのIT統制を担当する人が日々見る対象は、この6社の本文に近いと思っています。
この数字で言えないこと
- 「開示すべき重要な不備」という語を本文に含まない報告書は、検索に出ません。不備があれば必ずこの語を書くはずですが、表記の揺れがあれば漏れます
- 提出日で区切っているので、開示日で数えた集計とは母集団がずれます。訂正報告書は過年度の不備を書いたもので、不備が起きた年と提出年は一致しません。旅工房のIT環境の不備は2022年3月期のものです
- 区分は会社が本文に書いたことで決めています。本文にITが出てこない社に、IT上の原因が無かったとは言えません
- 44社の中に、同じ事案で複数の報告書を出した社があります。社数は1社1と数え、件数は数えていません
- 44社は、当期末に「有効でない」と判断した社です。前の年の不備を期末までに是正した社は、不備の中身がITでも44社に入りません
- 期間中に提出された内部統制報告書の全数は数えていないので、「有効でない」の割合は分かりません
- 本文の読み取りと分類は1人で行い、第三者の確認は受けていません
- 不備の説明にシステムが出てくるかどうかと、その社のセキュリティ対策の水準は別のことです
まとめ
- 2025年4月から2026年3月の提出分で、「有効でない」「表明できない」と判断した内部統制報告書は44社
- 不備の区分にIT全般統制やITへの対応を自社で書いたのは6社（表記は社ごとに違う）。うち4社は新基幹システム／ERPの導入時のテストや受入検証の不足、1社は銀行取引システムの特権的な権限、1社はIT環境の管理体制
- IT統制とは書かないが、システムの設定が不備の説明に出てくる社が2社
- サイバー攻撃を原因に挙げた社は0
- 民間の集計の3区分にITは無い。数え方が違うので社数は合わない
東京商工リサーチの集計が来年も同じ時期に出れば、2026年4月から2027年3月の提出分を同じ条件で数え直して、この記事に追記します。
関連する記事
- 有価証券報告書の「事業の状況」に「サイバーセキュリティ」と書いた3月決算の上場企業は16%
金融庁が EDINET を数えた表を3年ぶん。371/2,261社（16.4%）。語がある会社でもサステナ欄に書くのは28.3% - 証跡集めを自動化すると、監査される対象が増えることがある
反対はされなかった。止まったのは権限の取得と保存先の決定だった - バックアップは9割が取っていて、復元できたのは2割だった
警察庁の被害組織アンケート5年分。取っていた89%、復元結果に答えた組織の22%が復元。Sophos 日本の58%とは分母が違う
エージェントを選ぶところなら、転職エージェントの比較に、面談してよかった3社と条件で選べる会社を分けて並べています。よかった3社には紹介料が発生するリンクを置いていません。