内部統制の設計と評価

要点と定義

内部統制は、組織が健全かつ効率的に運営されるよう、自ら体制を整え、運用する仕組みです。業務の流れを明確にし、役割分担や実施ルール、確認の仕組みを設けます。ITは処理を自動化したり記録を残したりする一方、設定や運用に問題があれば統制の弱点にもなります。

統制活動とは、経営者の指示などを実行に移すための方針や手続です。たとえば、重要な処理を担当者が確認してから進めるルールは、指示を業務に反映する仕掛けに当たります。組織の風土に関する統制環境、リスクへの対応、情報の伝達とは役割が異なります。

リスクの評価と対応は、目標を妨げる要因を捉え、対応を決める考え方です。情報と伝達は、業務に必要な情報を識別・処理し、関係者に正しく届ける働きです。統制環境は、組織の風土や統制に対する意識に関わります。

モニタリングは、統制が機能しているかを確かめ、必要に応じて改善につなげる働きです。ITへの対応には、IT環境を踏まえた管理やITの利用、情報システムを支える全般統制、個々の業務処理を支える業務処理統制があります。業務処理統制は、特定のシステムで入力・処理・出力の正確性や完全性を確保するものです。たとえば、受注入力時に商品コードが登録済みかを確認する仕組みが該当します。

適用条件と例

全般統制は、開発・変更、運用、アクセス管理など、複数の業務処理を支えるIT環境の管理です。プログラムの変更を上位者がレビューする手続は、個々の取引処理ではなく開発管理を支えるため、全般統制の例です。

財務報告に関わる評価では、全般統制はIT基盤や管理方法などの共通性を踏まえて評価単位を考え、業務処理統制はシステムごとに評価します。共通の運用ルールと基盤で管理される複数の業務システムは、全般統制をまとめて評価できる場合があります。一方、別の体制で管理するシステムまで同じ単位にまとめるとは限りません。これは過去の出題で扱った補足です。

財務報告に係る内部統制の評価範囲は、財務報告への影響の重要性などを踏まえて定めます。IT全般統制の不備があれば直ちに重要な不備と決まるわけではなく、影響を評価する必要があります。また、財務報告の信頼性以外の目的に関するIT統制を、この制度が直接求めるものではないという整理も、過去の出題で扱った補足です。

統制の運用を監査で確かめるときは、確認したい統制に対応する証拠を選びます。取引の正当性を確かめるなら、実際の取引について責任者が承認した記録などが証拠になります。入力チェックの仕組みへの聞き取りや、帳票を出力するプログラムの検証だけでは、個々の取引が承認されたことを直接確かめられません。これは過去の出題で扱った補足です。

組織のリスク管理では、業務を担う部門、リスク管理などの支援・監視機能、独立した内部監査が役割を分担する三線モデルが扱われています。内部監査は独立した保証を担う立場で、業務の実施部門やリスク管理機能とは役割が異なります。このモデルは過去の出題で扱った補足です。