IT内部統制の実務～業務処理統制のスコーピング

総論：

１．キーコントロールとは、「運用テスト」（期間にわたる有効性の検証）対象となる統制活動のこととする。

２．財務会計数値の生成過程全体を「取引フロー」、その実際の処理や統制活動を受ける各局面を「プロセス」と呼ぶ。

３．キーコントロールとなり得るか（財務報告目的で重要な役割を負っているのか）は、会計仕訳までつながる「取引フロー」として、「プロセス」を「つなげて」認識しなければ判別できない。

４．どの業務処理統制（の中の「自動化された統制活動」）をテスト対象にするかは、その取引フローにおいてどの「自動化された統制活動」がキーコントロールであるかと、同義である。

５．ある業務システムの提供する「自動化された統制活動」が、一つもキーコントロールではないとしたら、その業務システムの全般統制は、有効性評価の対象とする必要がなくなる。

取引フローとしての「つながり」：

内部統制記述の文書の（担当組織ごとの）「プロセス」ごとの細分化は、作業実務上やむをえない。ポイントは、それらの文書を「つなげる」ことができるかである。
なぜなら、仕訳に結び付けて考えなければ、どれが重要であるか判断できないはずだから。
「財務報告に係る内部統制」の有効性評価という観点からは、プロセスにおける活動を常に仕訳に結び付けて考えなければ、リスクにせよ統制活動にせよ、どれが重要なのか、特にキーコントロールが何か、を的確に判断しにくくなる可能性が高い。

取引フローの終点＝分析の起点：

「T字分析」（勘定科目ごとの「仕訳パターン」の洗い出し）等による仕訳数値の構成要素分析によって、仕訳パターン別の金額を把握して、量的・質的に重要なものを判別した根拠とする。その仕訳数値の生成過程が「取引フロー」となる。

取引フローの「束ね」：

認識された「取引フロー」の数々は、あくまで「仕訳」としては別のものだったというだけで、その数値生成過程である「取引フロー」上の内部統制は同じかもしれない。
「束ね」られるものなら「束ね」て評価作業のボリュームをへらすにこしたことはない。

「束ね」についてある程度の基準の枠内で迷う場合は、とりあえず「分けて」であれ「一つにして」であれ進めてみて結果で判断するしかない場合もある。この見直しをかけるタイミングを前もって決めておくことも重要である。

取引フローの「始点」：

取引フロー（財務会計情報の生成過程）の、「どこが始点になるか」は、「どこまで遡るか」、つまり「どこまで『しばり』があるか」で決まる。

始点と終点の間に含めるプロセス：

仕訳から逆進して把握した取引フロー上に出てこないプロセスは、仕訳数値に対する直接の関連性は低いと解釈できる。