内部統制とIT統制

要点と定義

内部統制とは、組織が健全で効率的に運営されるよう、自ら体制を整え、運用する仕組みです。業務プロセスを明確にし、職務を分け、実施ルールとチェック体制を整えることが土台になります。ITへの対応では、組織内外のIT環境やITの利用に加え、ITに係る全般統制と業務処理統制を扱います。過去の出題で扱った補足として、IT統制は全般統制と業務処理統制に分けて捉えます。

全般統制は、システムの変更や運用など、複数の業務処理を支える仕組みです。業務処理統制は、個々の業務データや取引を適切に処理するため、業務の流れに組み込まれます。変更手続の承認やシステム運用の管理は前者、入力値の確認やエラーデータの再処理は後者として整理できます。

全社的な内部統制におけるITへの対応には、経営者がITの戦略や計画を定めているかを評価する観点があります。これは組織全体の方針を確認するものです。システムの導入試験、障害対応、外部委託契約の管理は、システムを支える個別の管理手続に当たります。

過去の出題で扱った補足として、受託業務に関する文書では、受託会社監査人が保証報告書を作成し、受託会社がシステムに関する記述書と受託会社確認書を作成します。再委託先に関する範囲を除外する扱いでも、文書の作成者の分担は変わりません。

過去の出題で扱った補足として、リスクアプローチでは、財務諸表の重要な虚偽表示につながるリスクが高い領域に監査資源を重点配分します。リスクの高さを考慮せず対象を任意に選んだり、すべての業務を網羅的に評価したりする考え方とは異なります。

過去の出題で扱った補足として、サンプリングの母集団は評価対象となるデータ全体です。許容逸脱率は、内部統制の運用評価で受け入れられる逸脱割合の上限であり、サンプル数を検討する材料の一つです。サンプリングリスクは、サンプルからの結論が母集団全体を調べた場合の結論と異なる可能性を指します。

過去の出題で扱った補足として、入力値が所定の条件や範囲に合うか調べる機能を確かめるときは、条件外の値を試しに入力して、検出されるかを確認できます。

適用条件と例

経費精算の上限チェックを例にします。上限を超える申請を入力し、警告や登録制御の動作を確かめるのは、個々の業務処理に組み込まれたチェックの確認です。一方、そのチェック設定を変更する際の承認や変更後の試験手順を確かめるのは、システムを支える全般統制の確認です。

自動処理が動いているだけで、統制が有効とは判断できません。設定が適切か、変更が管理されているかなど、処理を支える条件も確認します。手作業の統制も、目的に照らした設計と運用が適切かを評価します。手作業であることだけを理由に不備とはいえません。