整備評価・運用評価・ロールフォワード｜内部統制は「存在」ではなく「期末日までの有効性」で判断する

内部統制評価の現場で最も誤解されやすいのは、「統制があること」と「統制が有効であること」を同じものとして扱ってしまう点です。

規程がある。承認欄がある。RCMに統制が記載されている。サンプルテストを実施した。例外事項も少なかった。

これらはいずれも重要な情報です。しかし、それだけで財務報告に係る内部統制が有効であるとはいえません。

内部統制が監査判断に使える状態であるためには、少なくとも次の3つがつながっている必要があります。

第一に、その統制が、財務報告上の重要な虚偽記載リスクを低減するように設計されていること。第二に、その統制が、評価対象期間において実際に運用されていること。そして第三に、期中評価を実施した後も、評価時点である期末日まで有効性を説明できることです。

この3つを実務上整理するための概念が、整備評価、運用評価、ロールフォワードにほかなりません。

本稿では、J-SOXにおける整備評価・運用評価・ロールフォワードを、単なる内部統制評価手続としてではなく、財務諸表監査のリスク評価、監査証拠、不備評価、内部統制報告書、監査役等・審査担当者への説明可能性へと接続する判断論点として整理していきます。

整備評価・運用評価・ロールフォワードの位置づけ

財務報告に係る内部統制の評価は、期末日を評価時点として行われます。内部統制監査報告書における監査人の意見も、期末日における財務報告に係る内部統制の有効性の評価について表明されるものとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

したがって、内部統制評価で問われるのは、「期中のある時点で統制が存在していたか」ではありません。期末日現在、財務報告に係る内部統制が有効といえるか、です。

この一点を押さえると、整備評価、運用評価、ロールフォワードのそれぞれの役割が明確になります。

整備評価は、その統制が設計として有効かを確認する手続です。規程や業務記述書が整っているかだけではなく、その統制が実在性、網羅性、評価の妥当性、期間配分の適切性、表示の妥当性など、財務報告上の要件に対応しているかを検討します。

運用評価は、その統制が実際に運用されていたかを確認する手続です。担当者への質問、関連文書の閲覧、業務の観察、実施記録の検証、自己点検の状況確認などにより、統制が設計どおりに行われていたかを確認していきます。

ロールフォワードは、期中に実施した評価結果を、期末日現在の有効性判断へつなげるための追加的な検討です。期中評価の後に統制の変更、不備、担当者変更、システム変更、業務変更などがあれば、その影響を確認しなければなりません。

つまり、整備評価・運用評価・ロールフォワードは、別々の作業ではないということです。内部統制が「設計され、運用され、期末日まで有効に機能していた」と説明するための、一連の監査判断だと捉えるのが自然でしょう。

整備評価は「規程があるか」ではなく「リスクを低減できるか」を見る

整備評価で最初に確認すべきことは、統制の存在ではありません。その統制が、どの財務報告リスクに対応しているのか、です。

金融庁の内部統制実施基準では、経営者は、評価対象となる業務プロセスを分析したうえで、財務報告の信頼性に重要な影響を及ぼす統制上の要点を選定し、その統制上の要点について内部統制の基本的要素が機能しているかを評価するとされています。あわせて、統制上の要点が虚偽記載の発生するリスクを十分に低減しているかどうかを評価し、各統制上の要点の整備及び運用状況を評価することが、業務プロセスに係る内部統制の有効性評価の基礎となります。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

この考え方に立てば、整備評価で確認すべき中心は、次の流れになります。

• 業務プロセスを理解する
• 虚偽記載リスクを識別する
• そのリスクがどのアサーションに影響するかを整理する
• リスクを低減する統制を識別する
• その統制が、設計として十分にリスクを低減できるかを判断する

規程、マニュアル、業務記述書、フローチャート、RCMは、この判断を記録するための手段です。内部統制の評価は、ルールの存在と明確性を確認する整備評価と、ルールどおりに統制が行われているかを確認する運用評価の二段階で捉えると実務上整理しやすくなります。その前提として、「誰が、いつ、何をするか」が明確になっていることが重要です。

しかし、いわゆる3点セットが整っていることと、整備評価が有効であることは同じではありません。

たとえば、売上承認の統制がRCMに記載されていても、その承認が売上の実在性、期間帰属、取引価格、契約条件の検討に結びついていなければ、収益認識リスクを十分に低減できているとはいえません。

棚卸差異の承認統制があっても、差異原因の分析、滞留品の識別、評価損の検討、実地棚卸との整合が行われていなければ、棚卸資産の評価リスクに対応する統制としては不十分です。

減損判定資料のレビュー統制についても同様で、主要な仮定、将来キャッシュ・フロー、事業計画との整合、感応度、経営者バイアスの検討が含まれていなければ、見積りリスクに対応する統制としては弱いといわざるを得ないでしょう。

整備評価の本質は、「その統制を規程どおりに運用すれば、財務報告の重要な虚偽記載リスクを十分に低減できるか」を判断することにあります。

整備評価で確認すべき実務上の観点

整備評価では、単に「承認者がいるか」「チェックリストがあるか」を確認するだけでは足りません。

金融庁の内部統制実施基準では、整備状況の有効性を評価する際、関連文書の閲覧、従業員等への質問、観察等を通じて、統制上の要点が適切に整備され、適切な財務情報を作成するための要件を確保する合理的な保証を提供できているかを判断するとされています。具体的な留意事項としては、不正又は誤謬を防止又は適時に発見できるように実施されているか、適切な職務分掌が導入されているか、担当者に必要な知識・経験があるか、統制に関する情報が適切に伝達・分析・利用されているか、不正又は誤謬への対処手続が設定されているか、といった点が示されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

実務上は、少なくとも次の観点を押さえておく必要があります。

統制目的が明確か

統制は、リスクに対応して初めて意味を持ちます。

「上長が承認する」という統制であっても、承認者が何を確認するのかが曖昧であれば、統制目的は明確とはいえません。

• 金額の妥当性を見るのか
• 契約条件を見るのか
• 証憑との一致を見るのか
• 期間帰属を見るのか
• 異常取引の有無を見るのか
• 会計上の見積りの仮定を見るのか

ここが曖昧なままの統制は、運用評価で証跡が残っていたとしても、整備評価としては弱くなります。

実施者・承認者の権限と能力が適切か

統制の有効性は、誰が実施するかに左右されます。

承認者に十分な会計知識、業務理解、権限、独立性がなければ、承認印が残っていても統制としては機能しません。特に、会計上の見積り、収益認識、税効果、減損、金融商品、連結、関連当事者取引といった領域では、形式的な承認ではなく、判断内容を理解できる者によるレビューが必要になります。

統制頻度とリスクの発生頻度が合っているか

リスクが日次で発生するにもかかわらず、月次レビューだけで対応している場合、虚偽記載を適時に防止又は発見できない可能性があります。

反対に、年次でしか発生しない決算・開示統制について、日常取引と同じサンプル発想を機械的に当てはめても意味がありません。

統制頻度は、リスクの発生頻度、金額的重要性、発見後の是正可能性、決算スケジュールと整合している必要があります。

統制証跡が判断内容を示しているか

承認印や電子承認ログだけでは、何を確認したのかが分からない場合があります。

特にレビュー統制では、確認項目、判断内容、差異の処理、修正の有無、承認者の検討結果が分かる証跡が必要です。証跡が残っていなければ、実際には有効なレビューが行われていたとしても、監査証拠として利用しにくくなります。

IT・データの信頼性が確保されているか

システム生成レポート、マスタデータ、アクセス権限、変更管理、インターフェース、外部委託先の処理結果に依存する統制では、業務側の承認だけでは不十分です。

• 入力データが完全・正確か
• システム処理が変更されていないか
• 権限外の者がデータを変更できないか
• 抽出条件が正しいか
• レポートが網羅的に出力されているか

これらが確認できなければ、業務処理統制の整備評価は弱くならざるを得ません。

運用評価は「実施されたか」だけでなく「設計どおり機能したか」を見る

運用評価では、整備評価で有効と判断した統制が、評価対象期間において実際に運用されていたかを確認します。

金融庁の内部統制実施基準では、運用状況の評価にあたり、関連文書の閲覧、担当者への質問、業務の観察、内部統制の実施記録の検証、自己点検の状況の検討等により、業務プロセスに係る内部統制の運用状況を確認するとされています。また、運用状況の評価に際しては、原則としてサンプリングにより十分かつ適切な証拠を入手するとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

ここで重要なのは、運用評価が「証跡の有無」を確認するだけの手続ではない、という点です。

運用評価では、次のことを確認します。

• 統制が所定の頻度で実施されていたか
• 適切な担当者・承認者により実施されていたか
• 統制の対象となる母集団が完全であったか
• 必要な証憑・データに基づいて実施されていたか
• 例外事項が発見された場合に、適時に調査・是正されていたか
• 統制の実施結果が、財務報告リスクの低減につながっていたか

たとえば、支払承認の運用評価でサンプルを抽出し、承認印が残っていることを確認しても、それだけでは不十分です。承認日、承認者、請求書、発注書、検収記録、支払先、金額、勘定科目、期間帰属、職務分掌、例外処理まで含めて、統制が設計どおりに機能したのかを見なければなりません。

サンプル件数は「25件」を機械的に当てはめるものではない

J-SOX実務では、運用評価のサンプル件数について「25件」という数字が使われることがあります。

しかし、この数字を機械的に適用することは危険です。

JICPAの実務上の取扱いでは、内部統制監査の実施基準で日常反復継続する取引について統制上の要点ごとに少なくとも25件のサンプルを取ることが例示されている点に触れつつ、そのサンプル数は、母集団に予想される逸脱がないと仮定した統計的サンプリングに基づくものであり、通常、全社的な内部統制の評価が有効であることが前提と考えられると説明されています。全社的な内部統制に不備があり、業務プロセスに係る内部統制の逸脱がある程度予想される場合には、予想逸脱率を修正し、サンプル数の拡大が必要ないかを検討する必要があります。
出典：日本公認会計士協会｜財務報告に係る内部統制の監査に関する実務上の取扱い

サンプル件数は、統制の頻度、リスクの重要性、統制の性質、全社的内部統制の有効性、過年度の評価結果、担当者変更、システム変更、予想逸脱率、許容逸脱率、必要な信頼水準などを踏まえて判断するものです。サンプルテストでは、許容逸脱率が低いほど、予想逸脱率が高いほど、予想逸脱率が許容逸脱率に近いほど、また求める信頼水準が高いほど、必要なサンプル件数は増加します。

したがって、監査調書上の説明として重要なのは、「何件見たか」だけではありません。

• なぜその母集団を選んだのか
• なぜそのサンプル数で十分と判断したのか
• 抽出方法は恣意的でないか
• 対象期間を十分にカバーしているか
• 例外事項があった場合、母集団全体への影響をどう評価したか
• 追加テストや代替手続が必要ではないか

これらを説明できなければ、サンプル数だけが残り、監査判断が残りません。

例外事項は「1件だから軽微」とは判断できない

運用評価で例外事項が発見された場合、単に件数だけで結論を出してはいけません。

わずか1件の例外であっても、その原因が統制設計の問題、担当者の理解不足、職務分掌の崩れ、システム設定の不備、マスタ管理の弱点、経営者による承認プロセスの無効化にある場合には、重要な不備につながる可能性があります。

逆に、形式的な証跡漏れであっても、他の証拠により統制が実質的に運用されていたことを確認でき、虚偽記載リスクを低減していると判断できる場合もあります。

例外事項の評価では、少なくとも次の観点が必要です。

• 例外は、統制が実施されなかったことを意味するのか
• 統制は実施されたが、証跡が不十分だっただけなのか
• 例外は単発か、反復的か
• 例外は特定担当者、特定拠点、特定システム、特定取引に集中しているか
• 例外により、どのアサーションに虚偽記載リスクが生じるか
• 実際の誤謬や修正仕訳につながっているか
• 補完統制が存在し、同じ統制目的を達成しているか
• 追加サンプルや再実施により、有効性を支持できるか
• 期末日までに是正され、是正後の運用実績を確認できるか

例外事項は、運用評価の失敗ではありません。むしろ、内部統制が実務上どこで弱くなっているかを把握するための、重要な情報だと捉えるべきです。

問題は、例外事項を発見した後に、原因分析、不備評価、財務諸表監査への影響、是正状況の確認までつなげているかどうかにあります。

補完統制は「何か別のチェックがある」だけでは足りない

内部統制の不備を評価する際には、補完統制の有無が重要になります。

ただし、補完統制とは、単に別のチェック手続が存在するという意味ではありません。同じ虚偽記載リスクを、十分な精度と適時性で低減している必要があります。

金融庁のQ&Aでは、業務プロセスに係る内部統制の不備を検討する場合、個々の内部統制がどのように相互連係して虚偽記載が発生するリスクを低減しているかを検討する必要があるとされています。また補完統制については、それが勘定科目等に虚偽記載が発生する可能性と金額的影響をどの程度軽減しているかを検討することが示されています。
出典：金融庁｜内部統制報告制度に関するQ＆A

補完統制を評価する際には、次の点を確認します。

• 元の統制と同じ統制目的を達成しているか
• 虚偽記載を防止又は発見・是正するタイミングが十分に早いか
• 対象範囲が母集団全体をカバーしているか
• 承認者・レビュー者に十分な能力と独立性があるか
• 補完統制自体の整備・運用評価が行われているか
• 補完統制の証跡が監査証拠として十分か

たとえば、請求書承認統制に不備があった場合、月次で費用分析をしているから補完統制がある、と直ちにはいえません。その月次分析が、異常な支払先、金額、勘定科目、期間帰属、未払計上漏れを発見できる精度で実施されているかを見なければならないからです。

補完統制は、不備評価を弱めるための便宜的な説明ではありません。財務報告リスクを実際に低減する統制として評価される必要があります。

ロールフォワードは、期中評価を期末日評価へつなぐ手続である

ロールフォワードは、期中に運用評価を実施した場合に、評価日から期末日までの有効性を確認するための手続です。

金融庁の事例集では、業務プロセスに係る内部統制の運用状況の評価を期中に実施した場合、期末日までの期間の有効性を確かめる追加手続をロールフォワードと呼ぶ事例が示されています。期中評価で有効だった業務プロセスについては、期末のロールフォワードとして整備状況に重要な変更がないことを質問等で確認する一方、期中評価で不備が発見された業務プロセスについては、期末日に近い時点でサンプル検証を実施する例が示されています。
出典：金融庁｜内部統制報告制度に関する事例集

ロールフォワードの本質は、「期中で問題がなかったから期末も有効」と推定することではありません。期中評価後、期末日までの間に、統制の有効性を損なう変化がなかったかを確認することにあります。

たとえば、次のような変化があれば、単なる質問だけでは不十分になる可能性があります。

• 統制実施者や承認者が交代した
• システム変更が行われた
• 新しい取引類型が発生した
• 決算スケジュールが変更された
• 外部委託先が変更された
• 不備や誤謬が発見された
• 期末に重要な見積り・非定型取引が発生した
• 内部監査や監査人から指摘を受けた
• 決算・開示プロセスに遅延や手戻りが発生した

これらがある場合には、追加サンプル、期末時点での再実施、関連文書の閲覧、変更後統制の整備評価、変更後統制の運用評価などが必要になります。

ロールフォワードで確認すべき事項

ロールフォワードでは、統制ごとに同じ手続を機械的に実施するのではなく、期中評価後のリスク変化に応じて手続を設計します。

金融庁の内部統制実施基準では、運用状況の評価を期中に実施した場合、期末日までに内部統制に関する重要な変更があったときには、重要な変更の内容の把握・整理、変更に伴う虚偽記載リスクと統制の識別を含む変更後の整備状況の有効性評価、変更後の運用状況の有効性評価を検討することが示されています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

実務上、ロールフォワードで確認すべき事項は、少なくとも次のとおりです。

• 期中評価後、統制設計に変更があったか
• 統制実施者・承認者・レビュー者に変更があったか
• 統制頻度、証跡、承認ルート、利用システムに変更があったか
• 対象となる取引量や金額的重要性が増加していないか
• 例外事項や不備が新たに発見されていないか
• 期末に特有の見積り、決算整理、連結、注記、開示統制が追加されていないか
• IT全般統制、アクセス権限、変更管理、システム生成レポートに問題がないか
• 内部監査、自己点検、監査役等、監査人からの指摘事項に対応しているか
• 期末日現在で、統制が有効に運用されていると説明できる証拠があるか

ロールフォワードは、期中評価の「延長」ではなく、期末日評価に向けた「橋渡し」です。

整備評価と運用評価の順序を崩してはいけない

整備評価と運用評価の関係で、実務上よく見かける誤りが、整備評価が不十分なまま運用評価に進んでしまうことです。

統制設計が有効でない場合、その統制がどれだけ運用されていても、財務報告リスクを十分に低減することはできません。

たとえば、収益認識リスクに対応すべき統制が、請求書発行の承認だけで、契約識別、履行義務、取引価格、期間帰属を確認していない場合を考えてみてください。その統制が毎回実施されていたとしても、収益認識基準に基づく重要な虚偽表示リスクに十分対応しているとはいえないはずです。

したがって、運用評価に入る前に確認すべきことは、次の点になります。

• その統制は、評価対象リスクを低減する設計になっているか
• 統制目的と確認項目が明確か
• 統制実施者に必要な能力と権限があるか
• 利用するデータや証憑に信頼性があるか
• 例外事項発見時の対応手続が定められているか
• 統制証跡が監査証拠として利用できるか

整備評価で有効と判断できない統制について運用評価を実施しても、監査判断としての説得力は限定的です。

決算・財務報告プロセスでは、整備評価と運用評価の深度が変わる

決算・財務報告プロセスは、J-SOX評価の中でも特に慎重な判断が必要な領域です。

販売や購買のような日常反復的な取引プロセスとは異なり、決算・財務報告プロセスには、会計上の見積り、連結修正、組替、注記、開示基礎資料、経営者レビュー、非定型取引、後発事象などが含まれるからです。

金融庁の内部統制実施基準も、決算・財務報告プロセスについては、当期において適切な決算・財務報告プロセスが確保されるよう、不備がある場合には早期に是正されるべきであり、財務諸表監査における内部統制評価プロセスとも重なり合う部分が多いことから、適切な追加手続を前提に、早期実施が効率的・効果的であるとしています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

決算・財務報告プロセスでは、整備評価において次の点を確認する必要があります。

• 決算スケジュールが現実的に設計されているか
• 単体決算、連結決算、注記、開示が分断されていないか
• 会計上の見積りに必要な基礎データとレビュー手続が明確か
• 開示基礎資料の作成責任、レビュー責任、最終承認責任が明確か
• 非定型取引や重要な判断について、経営者・監査役等・監査人への報告ルートがあるか
• 決算修正、監査修正、開示修正を反映する統制があるか

運用評価では、期末決算の実際の運用結果を見ます。決算資料が期日どおり作成されたかだけではなく、レビューコメント、修正履歴、論点整理、経営者判断、監査対応、開示反映まで確認する必要があります。

決算・財務報告プロセスの統制は、単なるチェックリストではありません。監査意見と内部統制報告書の両方に直結する統制です。

IT統制が弱い場合、運用評価の証拠力も弱くなる

業務プロセスの運用評価では、IT統制の影響を無視できません。

業務処理統制がシステムに組み込まれている場合、そのシステムが一貫して正しく処理していること、権限外の変更が行われないこと、データが完全・正確であることが前提になります。

金融庁の内部統制実施基準では、ITを利用した内部統制は一貫した処理を反復継続するため、その整備状況が有効と評価された場合には、IT全般統制の有効性を前提に、人手による内部統制よりも運用評価作業を減らすことができるとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

この裏返しとして、IT全般統制が有効でなければ、システムに依拠した統制の運用評価は弱くなります。

• アクセス管理に不備がある
• 変更管理が機能していない
• システム生成レポートの抽出条件が確認されていない
• マスタ変更の承認が不十分である
• 外部委託先の統制を評価していない
• インターフェースエラーのモニタリングが不十分である

このような状況では、業務側の統制証跡だけを確認しても十分とはいえません。IT統制の不備が、業務プロセス統制の整備・運用評価にどう影響するかを整理する必要があります。

不備評価は、整備評価・運用評価・ロールフォワードの結論を統合して行う

内部統制の不備評価は、整備評価、運用評価、ロールフォワードの最後に行う独立した作業ではありません。

整備評価で設計上の弱点が見つかる。運用評価で例外事項が見つかる。ロールフォワードで期末日までの変更や未是正事項が見つかる。

これらを統合し、財務報告に重要な影響を及ぼす可能性が高いかを判断するのが不備評価です。

金融庁の内部統制基準では、経営者が財務報告に係る内部統制の有効性評価を行った結果、統制上の要点等に係る不備が財務報告に重要な影響を及ぼす可能性が高い場合には、開示すべき重要な不備があると判断しなければならないとされています。一方で、開示すべき重要な不備が発見されても、評価時点である期末日までに是正されていれば、財務報告に係る内部統制は有効と認めることができるとされています。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

この点からすれば、重要なのは「期中に不備があったか」だけではありません。

• 不備の内容は何か
• どのリスクに関係するか
• 金額的・質的影響はどの程度か
• 補完統制はあるか
• 実際の虚偽表示は発生しているか
• 期末日までに是正されたか
• 是正後の運用実績を確認できるか
• 財務諸表監査の手続設計に影響するか
• 内部統制報告書にどう記載すべきか

これらを総合して判断する必要があります。

期末日後の是正は、期末日現在の有効性を回復しない

内部統制評価では、期末日までに是正されたかどうかが重要です。

期末日後に是正措置を実施した場合、その是正措置は内部統制報告書の付記事項や内部統制監査報告書の追記情報として扱われることがあります。しかし、それは期末日現在の内部統制が有効でなかったという事実を消すものではありません。

内部統制報告書の第一号様式では、評価結果に関する事項として、開示すべき重要な不備があり財務報告に係る内部統制が有効でない旨、その不備の内容、事業年度末日までに是正されなかった理由を記載する区分が設けられています。また、期末日後に開示すべき重要な不備を是正するための措置が実施された場合には、その内容を付記事項として記載することが示されています。
出典：金融庁｜内部統制報告書 第一号様式

したがって、期末日後に是正したから問題ない、という整理はできません。

監査人としては、期末日現在の有効性と、期末日後の是正措置を区別する必要があります。会社側も、是正措置を実施した事実だけでなく、なぜ期末日までに是正されなかったのか、財務報告への影響は何か、再発防止策は何かを説明できる状態にしておく必要があります。

監査人は、内部統制評価を財務諸表監査へ接続する

内部統制評価の結論は、J-SOXだけで完結するものではありません。

運用評価で統制に依拠できると判断した場合、財務諸表監査における実証手続の範囲や時期に影響します。反対に、統制に依拠できない場合には、実証手続を拡大する、期末日後の手続を強化する、外部証拠を増やす、代替手続を実施するなど、リスク対応を見直す必要が生じます。

内部統制監査では、監査人は経営者が評価した統制上の要点について、内部統制の基本的要素が適切に機能しているかを判断するため、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性等の監査要点に適合した監査証拠を入手する必要があります。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

したがって、整備評価・運用評価・ロールフォワードの結果は、監査計画と監査調書に反映されなければなりません。

• どの統制に依拠するのか
• どの統制には依拠しないのか
• 依拠しない場合、どの実証手続で補うのか
• 例外事項は未修正虚偽表示評価に影響するか
• 不備は監査役等への報告事項か
• KAM候補や審査論点に影響するか
• 内部統制監査報告書に影響するか

内部統制評価は、財務諸表監査の前処理ではありません。監査証拠の質と量を決める、重要な判断です。

形式的な文書化で終わらせないための調書化

整備評価・運用評価・ロールフォワードの調書化では、実施手続だけでなく、判断過程を残す必要があります。

調書に残すべき内容は、少なくとも次のとおりです。

• 対象プロセスと対象勘定科目
• 識別した虚偽記載リスク
• 対応するアサーション
• 選定した統制上の要点
• 整備評価で確認した設計の妥当性
• 利用した規程、業務記述書、フローチャート、RCM、システム資料
• ウォークスルーや質問、観察、閲覧の結果
• 運用評価の母集団、対象期間、抽出方法、サンプル数
• サンプルごとの検証結果
• 例外事項の内容、原因、影響、追加手続
• 補完統制の有無と有効性
• ロールフォワードで確認した変更の有無
• 期末日までの有効性判断
• 財務諸表監査への影響
• 不備評価と報告要否
• 監査役等・審査担当者への説明事項

調書が「実施しました」「例外なし」「有効です」だけで終わっている場合、後から説明できる監査判断とはいえません。

レビューや審査で問われるのは、結論そのものではなく、その結論に至る根拠だからです。

整備評価・運用評価・ロールフォワードの判断に迷う場合

整備評価、運用評価、ロールフォワードは、J-SOX評価の実務項目であると同時に、財務諸表監査の品質を支える判断論点でもあります。

• 統制が設計として十分か
• 運用評価のサンプル数は適切か
• 例外事項をどう評価すべきか
• 補完統制に依拠できるか
• ロールフォワードを質問だけで足りると判断できるか
• 期末日までに是正されたといえるか
• 財務諸表監査の実証手続へどう反映すべきか
• 内部統制報告書や監査役等への説明にどうつなげるべきか

これらは、形式的なチェックリストだけで判断できるものではありません。

犬飼公認会計士・税理士事務所では、内部統制報告制度、財務諸表監査、決算・開示、会計上の見積り、不正リスク、監査役等との連携を横断し、整備評価・運用評価・ロールフォワードの判断過程を後から説明できる形に整理する支援を重視しています。

J-SOX評価手続の設計、不備評価、監査調書の整理、内部統制監査と財務諸表監査の接続について、個別の事情を踏まえて検討したいとお考えの場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。

振り返り

論点	実務上の要点
整備評価	統制が存在するかではなく、虚偽記載リスクを低減する設計になっているかを評価する
運用評価	統制が設計どおり、評価対象期間に実際に運用されていたかを証拠で確認する
ロールフォワード	期中評価後、期末日までの有効性を追加手続で確認する
統制上の要点	財務報告の信頼性に重要な影響を及ぼす統制を選定し、リスクとの対応を明確にする
サンプルテスト	件数を機械的に決めず、リスク、頻度、母集団、予想逸脱率、証拠力を踏まえて設計する
例外事項	件数だけで判断せず、原因、範囲、反復性、財務報告への影響、補完統制を検討する
補完統制	同じ統制目的を達成し、虚偽記載リスクを十分な精度と適時性で低減する必要がある
期末日評価	内部統制の有効性は期末日現在で判断する。期末日後の是正は期末日現在の有効性を回復しない
財務諸表監査との関係	統制評価の結果は、リスク評価、実証手続、監査証拠、不備評価、監査意見形成に接続する
調書化	実施手続ではなく、リスク、証拠、判断、結論の流れを後から説明できるように残す