IT内部統制の実務～業務処理統制の整備状況の有効性評価

総論：

「整備状況の有効性評価」での作業を「規定の有無を確かめて終わり」「現状をフローチャートやRCMに書いたら終わり」と考えていたのでは、運用テストができないだけでなく、「有効に出来ない」ことが懸念される。

「整備状況」と「運用状況」に分けて有効性評価を行う理由は、理論的にはともかく、実務的に見ると2点考えられる。
１．「運用状況の有効性評価」はいってみれば本番であり、多数のサンプルテストを行う。これをスムーズに行うためには「下見」と「練習」が必要である。
２．「不備」を改善する場合の影響範囲やコストは、「整備状況」に関連するｍののほうが大きいと思われる。システムや体制などの修正が必要になる可能性があるからである。

整備状況の有効性評価とは：

「整備状況の有効性評価」の目的は、実務的にはキーコントロールを選定する（運用テスト「すべき」で、且つ運用テスト「できる」であろう統制活動を絞り込む）ことだと言える。

【整備状況の有効性評価の構成要素と進行】

（１）現状の文書化「こうなっているはず」
（２）評価その１「RCM上での分析」
（３）ウォークスルーによる実地確認「要改善？」
（４）評価その２「運用テストの1件前倒し」
（５）整備状況「有効」の判定（４）で要改善じゃなければ

取引フローの現状の文書化：

デザイン＝「こうなっているはず」という「仕組み」

文書化の着眼点＝リスク発生源である「情報の変換点」
※ここでいう「情報」は仕訳の構成要素となる情報である。（つまり、勘定科目、経常日付、金額）

RCMによる分析：

デザイン評価、およびその結果としての「キーコントロールの選定」においては、統制活動ごとの（１）強弱（２）広狭（３）補完関係に注目する必要がある。
この点でRCMのマトリクス（行列）形式は有意義である。

【キーコントロールの具備要件】
１．強弱、広狭、保管関係、等を考慮して、「リスクを軽減する費用対効果」が高い強制活動であること。
２．テスト手続が意味のある形で、かつ実行可能である統制活動であること。
３．以上の両要件を満たせば、その統制活動は「テスト対象とする費用対効果が高い統制活動である」と言える。

【統制活動の「強弱」の着眼点】
１．業務には例外処理などの想定外処理がつきものだが、防止的統制ではこれに関連する『漏れ』が防げない場合が多い。また内部統制の限界の一つである人間の注意力の限界というべきヒューマンエラーも防ぎきれない。
２．発見的統制は以上のような点を補完できるが、事後に発見できても意味がないという場合もあるし、発見できても原因特定できない場合も多い。

【統制活動の「広狭」の着眼点】
守備範囲が「広い」統制活動は、効率的な統制活動であるから、これをRCMによる分析で洗い出す小t個によって、運用テストなどの有効性評価作業の効率性を大きく向上させることが可能である。

【統制活動の「強弱」と「広狭」：「マクロな統制」の認識】

既存のビジネスリスクに対処するための統制活動は、取引ごとの「防止的」な統制が多く、取引複数に包括的に網をかける「発見的」統制が少ない。
「財務諸表に重要な虚偽記載がない」という目的に照らすと、上記の既存の統制活動は効率が悪い可能性が高い。
マクロな統制は、管理者レベルの統制であるため、効率良く、テスト「すべき」だが「できる」といいきれないところが問題である。

【キーコントロール選定に関する補足】

１．キーコントロールの選定において、「自動化された統制活動」と手作業の統制活動とは、同じプールに入れて検討すべきである。
２．統制活動の「広狭」の検討は他の取引フローとも共通かどうかの検討も忘れずに。
３．防止的統制と発見的統制とは、完全に代替がきくものか？吟味が必要。
（どちらか一方のみへの依存は不健全）

実在実務確認（ウォークスルー）：

【ウォークスルーの目的】

ウォークスルーの目的は、文書の記載内容の確認であると言えるが、記載内容には統制活動も含まれる。この記載が正しいかどうかを確認するのだから、と時点統制テストの性質を持つ。

【ウォークスルーと「運用テスト」の違い】

ウォークスルー＝ある時点におけるその統制活動の実在を評価対象として、順進方向に照合し、1件をサンプルとして、対象の統制活動を多めに実施する。
運用テスト＝ある期間にわたる、その統制活動の継続を評価対象として、順進、逆進のどちらの照合もあり得る。サンプルは複数件であり、対象となる統制活動は、ウォークスルーに比較すると少ない。（キーコントロールのみ）

【ウォークスルーは必須か？】
１．ウォークスルーの実施は必須か？
　法的には経営者の裁量に任されている。
２．実施するとして、毎年実施する必要があるのか？
　変更がなかったということを確かめるのもウォークスルーである。変わっていないということを評価者が確かめ、その記録・証跡を残すことが必要である。

【ウォークスルーと運用テスト1件前倒しの違い】
目的が違う。
ウォークスルーは統制活動が「実在するか」を確認することが目的であり、1件テストは運用テストが「実行可能であるか」を確認することが目的である。