気候関連データの内部統制 — 排出量データの統制設計と監査対応

GHG排出量は、サステナビリティ部門が年1回集計する「参考値」ではなくなった。SSBJ基準に基づく有価証券報告書開示と、その翌年度から始まる第三者保証の制度設計によって、排出量データは財務報告に準じた統制水準を問われる数値に変わりつつある。統制が存在しなければ、保証人は代替的に詳細テストの範囲を広げ、その結果はマネジメントレターでの指摘と保証工数の増加として企業に跳ね返る（本稿の情報は2026年09月時点）。多くの企業で算定ロジックはExcelと担当者の記憶にしか存在せず、保証人が最初に問うのは「数値が正しいか」ではなく「正しいと証明できる仕組みがあるか」である。排出量データの内部統制をどう設計し、保証コストと是正リスクをどう最小化するかを、財務内部統制（J-SOX）の延長線上で分析する。

なぜ排出量データに内部統制が必要になったのか — 開示義務化と保証制度化の二段構え

制度は二段構えで動いている。第一段が開示の法定化、第二段が保証の制度化だ。サステナビリティ基準委員会（SSBJ）は2025年3月にサステナビリティ開示ユニバーサル基準、一般開示基準（テーマ別基準第1号）、気候関連開示基準（テーマ別基準第2号）を確定公表した。金融庁は金融審議会「サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ」報告（2025年3月）で、プライム市場上場企業のうち時価総額3兆円以上の企業から2027年3月期の有価証券報告書で適用を開始し、1兆円以上、5,000億円以上へと段階的に広げるロードマップを示した。保証は開示適用の翌事業年度から限定的保証を求め、当初はScope1・Scope2排出量などに範囲を限定して始める設計である。合理的保証への移行は同報告で検討課題と位置づけられ、時期は確定していない。保証を法制度に組み込む金融商品取引法上の手当てと開示府令の条文は金融庁の公表資料に従うものであり、以下の年次はいずれも同報告のロードマップを前提とする。

表1: 排出量データに関わる開示・保証・検証制度の適用時期と要求水準（2026年9月時点。有報関連の年次は金融庁WG報告のロードマップに基づく）

この表で決定的なのは、開示と保証の間が1年しかないことだ。第1陣は2027年3月期に開示した数値を、翌期には保証人の手続に耐える形で再現しなければならない。2026年9月時点で統制を設計し始めても、初回開示に間に合う運用期間は半年程度に過ぎない。GX-ETSを見れば圧力はさらに強い。2026年度排出量から直接排出10万t-CO2以上の企業は検証機関の検証を受けることが制度上の前提となり、検証で否定された排出量は無償割当の算定根拠にも遵守量の算定根拠にも使えなくなる。

誤りの実損も定量化できる。有価証券報告書の訂正は、それ自体が開示統制の不備を示す事実として市場に伝わる。SBTi認定は基準年排出量の再計算トリガーを持ち、算定境界や係数の誤りが判明すれば目標の再設定と再検証を要する場面が生じる。EUでは「消費者のグリーン移行を促す指令」（Directive (EU) 2024/825）が2026年9月27日から適用され、根拠のない環境主張が不公正取引として明示的に禁止される。日本でも景品表示法の優良誤認が環境表示に適用される。排出量の統制品質は、7段階フレームワークで言えば第2段階「測定可能性」の成果物であり、これが崩れると第3段階以降のクレジット化、制度接続、価格形成はすべて成立しない。統制の弱いデータで作ったクレジットは、買い手の側でデューデリジェンスに落ちる。

財務数値との決定的な違い — 排出量データ固有の統制リスク

J-SOXの枠組みをそのまま持ち込めない理由は、排出量が「取引」ではなく「推計」である点にある。財務数値は取引の発生と証憑の存在が一対一で対応するが、排出量は「活動量×排出係数」という構造を持ち、証憑が存在するのは活動量の側だけだ。係数は外部機関が公表する数値を選択・適用するものであり、選択の妥当性は証憑では担保できない。

統制リスクは4つの層に分解される。活動量データの層では、燃料・電力の請求書と入力値の網羅性・正確性が問われる。排出係数の層では、電気事業者別排出係数（環境省・経済産業省が毎年公表）や燃料の単位発熱量の更新が反映されているか、どの年度の係数を使うかのポリシーが文書化されているかが問われる。算定境界の層では、組織境界（出資比率基準か支配力基準か）とScope3の15カテゴリの選定判断が、GHGプロトコルに照らして説明可能かが問われる。集計・換算の層では、拠点別データの合算、単位換算、GWP（地球温暖化係数）の版の統一といった機械的処理の再現性が問われる。保証で最も多く指摘されるのは第1層ではなく、第2層と第3層の「判断の文書化不足」だ。

表2: 財務数値と排出量データの統制リスク比較

この比較で最もリスクが大きいのは、責任部門とシステムの分離である。経理部門は係数の選択を判断できず、サステナビリティ部門は統制文書の作り方を知らない。この分業の隙間に保証人の指摘が集中する。Scope3の「見積もりの階層」問題はさらに厄介だ。カテゴリ1（購入した製品・サービス）を金額ベースの産業連関表係数で算定している企業が、一部サプライヤーから一次データを受け取り始めると、同じカテゴリ内で手法が混在し、前年比較の意味が失われる。統制の設計単位は「カテゴリ」ではなく「カテゴリ×算定手法」にしなければ整合性を担保できない。

統制設計の全体像 — 全社統制・業務プロセス統制・IT統制の三層をどう当てはめるか

設計の骨格はJ-SOXの三層構造をそのまま翻訳するのが現実的だ。既存の内部統制報告制度の運用体制と監査人の理解を流用でき、新しい枠組みを一から作るより初年度コストが小さい。

全社統制の中核は「算定方針書」である。GHGプロトコル準拠の宣言、組織境界の設定基準、Scope3カテゴリの選定根拠と除外理由、排出係数の選択ポリシー（どの機関のどの版を、いつ更新するか）、そして方針変更時の承認ルートを一つの文書にまとめる。取締役会またはサステナビリティ委員会が年1回これを承認し、変更履歴を残す。保証人はまずこの文書の有無を確認し、次に文書と実際の算定が一致しているかを検証する。方針書がなければ、個々の数値がいくら正しくても「統制が機能している証拠がない」という評価になり、手続の範囲が広がる。

業務プロセス統制は、主要な活動量データフローごとにRCM（リスク・コントロール・マトリクス）を作る作業に尽きる。すべてのデータフローを対象にするのではなく、排出総量への寄与率でキーコントロールを絞る。

表3: 排出量データ内部統制RCM（例）— キーコントロールの抜粋

このRCMで優先度が最も高いのは、排出係数マスタと集計・連結の2行である。電力・燃料の照合は既存の経費精算統制の延長で対応でき、初年度から機能する企業が多い。対して係数マスタの変更管理は、多くの企業で「担当者が公表資料を見て手で書き換える」運用のままであり、保証人がサンプリングで版ずれを発見した瞬間に統制上の弱点として記録される。集計・連結における独立再計算は、経理部門を統制に巻き込む唯一の現実的な接点でもある。

IT統制の論点は、排出量算定SaaSに集約される。算定プラットフォームを利用する場合、アクセス権限管理、係数マスタの変更管理、外部システムからのデータ連携の完全性が統制対象になる。ここで保証コストを大きく左右するのが、ベンダーのSOC1またはSOC2報告書（AICPAの枠組みに基づく受託会社の統制報告書）の入手可否だ。報告書があれば保証人はベンダー側の統制に依拠でき、企業側での追加テストを省略できる。報告書のないベンダーを使うと、保証人はデータ連携やアクセス管理を企業側の手続として直接検証することになり、初年度の保証工数が膨らむ。SaaS選定時にSOC報告書の有無を要件にするだけで、後年の保証費用を抑えられる。

拠点網羅性と重要性基準の設定は、財務の考え方から意識的に離れるべき領域である。連結売上高比で重要性を判断すると、売上が小さいが排出量の大きい工場や物流拠点が統制対象から外れる。排出総量への寄与率で統制対象を決め、累積で90〜95%をカバーする拠点・カテゴリをキーコントロールの対象とし、残りは簡易統制で運用する設計が合理的だ。

統制投資と保証コストのシナリオ比較

統制への先行投資は、保証費用と是正リスクの両方を圧縮する。以下は時価総額1兆円規模、国内外30拠点、Scope3カテゴリ1・4・11を主要カテゴリとする製造業を想定した編集部試算である。

表4: 統制整備水準別のコストとリスク比較（時価総額1兆円規模の製造業を想定した編集部試算。保証費用は監査法人の見積水準に依存し、企業規模・拠点数で大きく変動する。公表統計に基づく数値ではない）

この試算が示すのは、保証費用の削減だけでは本格整備の投資が回収できないという事実だ。シナリオCの初年度保証費用はシナリオAより年間1,200〜2,200万円低いが、Cの年間運用コスト1,500〜3,000万円がその差額を上回る。初期投資5,000万〜1億円を保証費用差で埋める計算は成立しない。シナリオBでも、Aとの保証費用差800〜1,500万円と運用コスト500〜1,000万円はほぼ相殺される水準にとどまり、初期投資1,500〜3,000万円の回収には数年を要する。判断を変えるのは是正リスクの側である。訂正開示や限定付き結論が出れば、SBTiの目標再設定、取引先のサプライヤー評価、GX-ETSにおける無償割当の算定根拠のすべてに波及し、損失は保証費用の桁を超える。第1陣・第2陣の企業にとって、シナリオBは「初回保証を通す」ための下限であり、Cは合理的保証への移行と排出量のクレジット化・制度接続を視野に入れる企業の標準解になる。第3陣以降で規模の小さい企業なら、Bで開始しSaaS導入をSOC報告書の入手可否で判断する段階的な進め方が現実的だ。

課題・反論・代替視点

統制の高度化に対する最も強い反論は、「限定的保証にJ-SOX並みの統制は過剰だ」というものだ。限定的保証は保証人が質問と分析的手続を中心に「重要な虚偽表示に気づかなかった」と述べる消極的形式の結論であり、業務プロセス統制の運用評価テストを必ずしも要しない。この主張には一定の妥当性がある。初年度の保証では、保証人は算定方針書の有無、係数の出所、主要拠点の照合記録を確認すれば結論を出せる場面が多い。ただし、ISSA 5000は限定的保証であっても保証人に「内部統制の理解」を求めており、統制が存在しないと判断されれば代替的に詳細テストの範囲を広げるため、結果として企業側の対応工数と保証費用は増える。統制を作らない選択は、保証費用の側で支払うことになる。

前提の限界として指摘すべきは、日本における保証基準が整備途上である点だ。金融庁WG報告は保証基準を公的な基準として策定する方向を示しており、2026年9月時点で監査法人ごとの手続の深さには差がある。表4の保証費用推計はこの不確実性を含んでおり、実際の見積もりは監査法人との早期協議でしか確定しない。もう一つの限界は、Scope3が当面の保証対象から外れていることだ。Scope3の統制を先送りする判断は制度上は正しいが、CDPの調査（2022年）ではサプライチェーン排出は事業排出の平均11.4倍に達し、製造業の多くでScope3が総排出量の大半を占める。投資家やSBTiが見るのはScope3を含む数値であり、保証対象かどうかと、経営上の統制対象かどうかは別の問いだ。

代替視点として、統制を「監査対応のコスト」ではなく「データ資産の整備」と捉える見方がある。統制が効いた排出量データは、GX-ETSにおける無償割当と遵守量の算定根拠、サプライヤーとしての一次データ提供、製品別カーボンフットプリントの算定基盤として再利用できる。この視点に立つと、表4のシナリオCの投資は保証費用との比較ではなく、第4段階以降（制度接続・価格形成）で得られる交渉力との比較で評価すべきものになる。逆に言えば、排出量を収益機会に転換する意思のない企業にとって、Cの投資は正当化しにくい。

日本市場・日本企業への示唆

海外の実務をそのまま持ち込めない理由は三つある。EUのCSRDは、欧州委員会が2025年2月に提案したオムニバス簡素化により、同年4月採択の「stop-the-clock」指令で第2波企業の適用がFY2027へ延期され、適用対象を従業員1,000人超の大企業に絞る内容の指令は2026年に最終採択された（欧州委員会・EU官報）。EU基準に合わせて統制を設計した日本企業は、SSBJ基準と適用時期・保証対象の両方でずれを抱えている。米国SECの気候開示規則は2024年4月にSEC自身が施行を停止し、2025年3月には訴訟での規則擁護を取りやめており、2026年9月時点で参照先として機能していない。日本企業にとっての実質的な基準はSSBJ基準と金融庁の保証制度であり、これらに固有の設計を要する。

日本に固有の条件は、温対法SHK制度とGX-ETSという二つの既存の算定枠組みが有価証券報告書開示と並走する点だ。SHK制度の電力排出量は電気事業者別・メニュー別の調整後排出係数を用いるためGHGプロトコルのマーケット基準に近く、全国平均係数を使うロケーション基準とは同じ電力使用量から異なる排出量が算出される。三つの制度に別々の数値を報告する企業は、保証人からその差異の説明を求められる。算定方針書に「制度別の算定方法と差異の調整表」を含め、一つの活動量データベースから制度別に出力する構造にしておくことが、統制と工数の両面で合理的である。GX-ETSの検証機関による検証と有報の第三者保証は別の手続だが、活動量データの統制が共通していれば、検証の証跡を保証にも流用できる。

内部統制報告制度との関係も日本固有の論点だ。2023年改訂の内部統制基準は、「財務報告の信頼性」を「報告の信頼性」へ拡張し、非財務情報の信頼性確保にも内部統制の考え方を活用することを明示している。J-SOXの評価範囲に排出量算定プロセスを正式に組み込むかどうかは企業の判断だが、内部監査部門の年間計画に排出量統制の評価を入れるだけで、保証人への説明材料が一つ増える。経理・内部統制部門がサステナビリティ部門から統制設計の主導権を引き取る組織上の決断が、この領域では技術的な設計より先に来る。

まとめ

排出量データの内部統制は、開示義務化と保証制度化の二段構えによって、環境部門の善意に依存する運用から、経理・内部統制部門が設計責任を負う領域へ移った。統制リスクは活動量・係数・境界・集計の4層に分かれ、保証人の指摘の中心は数値の誤りではなく、係数選択と境界設定の判断が文書化されていないことに集中する。J-SOXの三層構造を翻訳し、算定方針書と主要データフローのRCM、SOC報告書付きSaaSによるIT統制を組み合わせる設計が、初年度の保証を通す下限と将来の合理的保証への移行を同時に満たす。

統制投資の経済性は、保証費用の削減では説明できない。表4の試算が示す通り、本格整備の年間運用コスト1,500〜3,000万円は現状維持との保証費用差1,200〜2,200万円を上回り、初期投資5,000万〜1億円は保証費用の側からは回収されない。投資を正当化するのは、訂正開示やSBTi目標の再設定、GX-ETS無償割当の算定根拠への波及損失の回避と、統制の効いたデータが第4段階以降で生む交渉力である。統制は第2段階「測定可能性」の完成であると同時に、クレジット化と制度接続の前提になる。

第1陣企業の初回開示が2027年3月期、初回保証が2028年3月期という日程を踏まえると、2026年度下期から2027年度末までの約1年半が、排出量データを「統制された開示数値」にできるかどうかの分水嶺になる。この期間に方針書とRCMを整え、係数マスタの変更管理を仕組みに落とした企業と、Excelと担当者の記憶のまま初回保証を迎える企業の差は、保証費用の差ではなく、脱炭素を収益機会に転換できるかどうかの差として現れる。

主要出典

1. サステナビリティ基準委員会（SSBJ）「サステナビリティ開示ユニバーサル基準」「サステナビリティ開示テーマ別基準第1号 一般開示基準」「同第2号 気候関連開示基準」（2025年3月5日確定公表） https://www.ssb-j.jp/
2. 金融庁 金融審議会「サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ報告」（2025年3月） https://www.fsa.go.jp/
3. 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について」（2023年4月7日）
4. IAASB「International Standard on Sustainability Assurance 5000, General Requirements for Sustainability Assurance Engagements」（2024年11月公表） https://www.iaasb.org/
5. GHG Protocol「Corporate Accounting and Reporting Standard」「Corporate Value Chain (Scope 3) Accounting and Reporting Standard」「Scope 2 Guidance」 https://ghgprotocol.org/
6. 環境省・経済産業省「温室効果ガス排出量算定・報告・公表制度」「電気事業者別排出係数」 https://ghg-santeikohyo.env.go.jp/
7. 環境省「サプライチェーン排出量算定に関するガイドライン」「排出原単位データベース」 https://www.env.go.jp/earth/ondanka/supply_chain/gvc/
8. 経済産業省・GXリーグ事務局「GX-ETS 排出量取引制度の制度設計」 https://gx-league.go.jp/
9. 「脱炭素成長型経済構造への円滑な移行の推進に関する法律の一部を改正する法律」（2025年5月28日成立、6月4日公布） e-Gov法令検索 https://laws.e-gov.go.jp/
10. European Union「Directive (EU) 2024/825 empowering consumers for the green transition」（2026年9月27日適用） https://eur-lex.europa.eu/eli/dir/2024/825/oj
11. CDP「Scoping out: Tracking nature across the supply chain」（2022年） https://www.cdp.net/
12. Science Based Targets initiative「SBTi Corporate Net-Zero Standard」「Target recalculation and validation criteria」 https://sciencebasedtargets.org/
13. AICPA「System and Organization Controls (SOC) Suite of Services」 https://www.aicpa-cima.com/

About The Author

lelandavenue

See author's posts

＼ 最新情報をチェック ／

@climatechnews