[コラム] 日本版SOX法における内部統制の整備状況の評価：ウォークスルーのポイント

コラム

[コラム] 日本版SOX法における内部統制の整備状況の評価：ウォークスルーのポイント

2007年07月26日 11:37更新

ソーシャルブックマーク: プリント

出展:みずほ情報総研ホームページ（http://www.mizuho-ir.co.jp/）「コラム／みずほ情報総研（株）　コンサルティング部佐久間敦　
２００７年７月２４日付」より

　日本版SOX法への対応に向けて、適用対象となる企業では準備が進んでいる。内部統制整備の作業は、大きく「文書化フェーズ」と「評価フェーズ」の2つに分けることができるが、現時点では自社の業務プロセスに係る内部統制の状況に関する文書化の作業を実施している企業も多いと思われる。

　文書化のフェーズは重要ではあるが、文書化自体が目標ではないことに留意する必要がある。文書化は、あくまでも後に続く評価フェーズを行うための判断材料の一つという位置づけになる。評価フェーズでは、「整備状況の有効性の評価」（＝内部統制は有効に設計されているか？）と「運用状況の有効性の評価」（＝設計された内部統制は有効に運用されているか？）の2つの観点から評価を行うことが求められている。とりわけ、整備状況の有効性の評価では、文書化フェーズでの作成物が評価結果に直結し、その作業量も決して少なくはないため、文書化フェーズの段階から綿密な計画づくりや体制整備が不可欠となる。

　筆者は、お客様の内部統制整備を支援するコンサルティングサービスを担当させて頂いているが、最近、文書化以降のフェーズ、特に整備状況の有効性の評価に関して、

　「具体的にどのように実務を進めていけばよいかイメージできない」
　「どれくらいの作業負担になるかわからない」
　「どうしたら効率的に作業を進めていくことができるか」

　といった相談やアドバイスを求められることが多くなってきた。企業の関心が文書化の作業から、それに続く評価フェーズへと移ってきていることの表れと取れるが、情報の少なさもあって実務の現場では試行錯誤が続いている。

　加えて、7月18日には日本公認会計士協会から、監査人の立場からみた内部統制監査の実務指針となる「財務報告に係る内部統制の監査に関する実務上の取扱い」（公開草案）が公表されたこともあり、自社の監査人との調整も必要になってくるだろう(http://www.jicpa.or.jp/)。

　2007年2月に公開された金融庁の実施基準では、「個々の重要な勘定科目に関係する個々の統制上の要点が適切に整備され、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性といった適切な財務情報を作成するための要件を確保する合理的な保証を提供できているかについて、関連文書の閲覧、従業員等への質問、観察等を通じて判断する」ことを求めている。

　（3.(3)③業務プロセスに係る内部統制の整備状況の有効性の評価）この、業務プロセスに係る整備状況の評価を行う方法の一つが「ウォークスルー」と呼ばれる手法である。

ウォークスルーとは、一連の業務プロセスのスタートからエンドまでを通して、業務プロセスの内部統制の設計状況を評価する手法のことである。業務の中で発生する帳票や記録を追跡し、文書化された内部統制が実際に適用されているか、識別したリスクを十分にカバーできているか、等を検証する。

実務レベルにおけるウォークスルーの実施方法は様々あるが、基本的な進め方は以下のようになる。

[ウォークスルー実施手順]
(1)証跡集め
　リスクコントロールマトリクス（RCM※）に記載のコントロールについて、サンプルした取引の証跡コピーを収集し、一連の取引の流れを把握する
(2)設計評価
　取引の流れにそって証跡を検証し、コントロールが業務中で意図されたとおりに十分機能しうるものか確認し、評価する
(3)キーコントロールの選定
　RCMに記述されたコントロールについて、運用テストの対象となるキーコントロール（またはその候補）を選定する
(4)改善とフォローアップ
　ウォークスルーのなかで不備が発見された場合には、改善とそのフォローアップを行う。場合によっては文書の修正を行い、最終結果を正式の記録として残す

このなかで「(2)設計評価」は、ウォークスルーにおけるもっとも重要な目的のひとつとなる。自社の業務の中に組み込まれた内部統制が有効に機能するようにデザイン（設計）されているか確認し評価する。設計評価の視点としては以下のようなものがあげられる。

・RCMに記載されたコントロール（統制）は実在するか
・コントロールは識別したリスクに対して有効に機能するように設計されているか
・コントロールの根拠となる規定・手続・マニュアル等に不備、不足がないか、陳腐化して形骸化していないか
・コントロールを実施する部署・人員の職務分掌は十分か

　単に、証跡に責任者の印鑑が押されるようになっているかということだけではなく、コントロールを実施している人の権限や例外的な取引の発生の可能性の有無、コントロールが機能しない場合の代替手段等を確認して、リスクに対して十分強いコントロールとなっているか検討する必要がある。

　また、ウォークスルーにおけるもう一つの主要な目的が「(3) キーコントロールの選定」である。キーコントロールとは、整備状況の有効性評価に続く運用状況の有効性評価のフェーズにおいてテスト対象となるコントロールのことを指す。運用状況の評価では、設計されたコントロールが現場レベルで適正に運用されているか、実地でコントロールの証跡をサンプリングするなどして確認する（「運用テスト」とも呼ばれる）。

　このとき、すべてのコントロールをテストするのではなく、重要なコントロールを一定のクライテリア（基準）に沿って識別し、絞り込むことが考えられる。テスト対象のコントロールについて、関係する取引がどれくらい発生しているか、また、取引が発生する事業拠点や時期に偏りはないか、などを把握してテスト計画を策定する必要がある。そのため、ウォークスルーの段階から、運用テストを担当する者も関与することがポイントとなる。

　ウォークスルーを実施するにあたって実務上大きな問題となるのが、

　「誰が実施するのか」
　「誰が評価結果に説明責任を持つのか」
　「各関係者の役割分担と責任範囲をどう決めるか」

　といった、制度設計に関する事項である。実質的な評価作業を行う主体が、業務の主管部署となるのか、あるいはSOX法対応事務局や内部監査部門などの第三者組織になるのかは、求められる評価の保証レベル、作業スケジュール、社内外のリソース、許容されるコストなど、企業個別の事情によるところが大きい。ウォークスルーの方法論には様々あるが、筆者は業務プロセスにおける内部統制の整備状況の評価に対する説明責任は、第一義的にはその業務の主管部署（＝プロセスオーナー）が負うべきであると考えている。

　業務プロセスの整備状況の評価を行う過程で、不備や改善すべき事項が発見されることがある。業務の責任者としては愉快なことではないかもしれないが、ウォークスルーの段階で改善点を洗い出し、早期に対応しておくことはきわめて重要である。仮に、運用状況の評価まで不備が放置され、その段階で発見されることになると、その不備を改善して文書化をやり直すためのコストは著しく増大してしまう。ウォークスルーの段階で問題のありそうなところは早めにつぶしておく、という積極的な態度が望まれる。

　※リスクコントロールマトリクス（RCM）
業務プロセスの中で発生する、重要な財務諸表項目の妥当性を歪めるリスクとそれを低減するためのコントロールを抽出し、リスク毎に対応する重要なコントロールを一覧にしたもの