J-SOX対応では、「整備評価」と「運用評価」という言葉が日常的に使われます。ところが実務の現場では、この2つが混同されている場面に少なくありません。
たとえば、承認印が残っている、チェック欄が埋まっている、システム上に承認ログがある。こうした事実をもって「整備評価は問題ない」と整理してしまうケースです。しかしこれらは本来、運用評価で確認すべき証跡に近い論点だといえます。
整備評価で問うべきことは、少し違います。
整備評価で確認するのは、「その統制が設計どおりに実施された場合に、財務報告上の重要な虚偽記載リスクを十分に低減できる設計になっているか」という点です。
つまり、統制が存在するかどうかだけでは足りません。
その統制が、どのリスクに対応しているのか。誰が実施するのか。どの頻度で行うのか。何を確認するのか。どの証跡が残るのか。例外があった場合にどう処理するのか。職務分掌は成り立っているのか。ITに依存している部分はどこか。
こうした点を確認して、はじめて整備評価としての意味のある判断になります。
内部統制基準・実施基準については、2023年4月に改訂された現行基準を前提として、財務報告に係る内部統制の構築・評価・監査の考え方が示されています。あわせて、2023年8月には内部統制報告制度に関するQ&Aおよび事例集も改訂されました。
したがってJ-SOXの整備評価を検討する際は、現行の内部統制基準・実施基準、Q&A、そして実務上の運用を踏まえて整理していく必要があります。
出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について
整備評価とは何か
整備評価とは、統制が設計上有効かどうかを確認する手続です。
もう少し実務的な言い方をすれば、次の問いに答える作業だといえます。
「この統制が、決められたとおりに実施された場合、財務報告上の重要な虚偽記載を防止または適時に発見できるか」
ここで大切なのは、「実施されたか」ではなく、「実施された場合に効く設計になっているか」を見る点です。
たとえば、売上計上前に上長承認を受けるという統制があったとします。この統制について整備評価で確認すべきなのは、単に承認欄があるかどうかではありません。
その上長は何を確認するのか。出荷事実を確認するのか。検収条件を確認するのか。契約条件を確認するのか。売上計上日を確認するのか。返品・値引・解約条件を確認するのか。確認資料は何か。承認後に修正された場合の統制はあるのか。
これらが曖昧なままであれば、「承認」という統制は存在していても、売上の実在性や期間帰属のリスクを十分に低減できているとは言い切れません。
実施基準では、業務プロセスに係る内部統制の整備状況の有効性について、識別した統制上の要点が適切に整備され、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性といった、適切な財務情報を作成するための要件を確保する合理的な保証を提供できているかを、関連文書の閲覧、従業員等への質問、観察等を通じて判断するものとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
整備評価と運用評価の違い
整備評価と運用評価は、評価の対象が異なります。
整備評価は、統制の「設計」を確認します。運用評価は、統制の「実行」を確認します。
整備評価では、統制がリスクに対応する形で設計されているかを見ます。これに対して運用評価では、その統制が対象期間を通じて実際に実施されていたかを見ます。
たとえば、次のように整理できます。
整備評価では、「売上計上前に、出荷実績と検収条件を確認する統制が設計されているか」を確認します。
運用評価では、「対象期間中のサンプルについて、実際に出荷実績と検収条件の確認が行われ、その証跡が残っているか」を確認します。
整備評価の段階で不備がある場合、その後に運用評価を行っても、統制の有効性を説明することは難しくなります。そもそもリスクに対応していない統制は、何度実施したところで財務報告リスクを十分に低減できないからです。
J-SOX評価を効率的に進めるうえでは、まず整備評価で「効く統制かどうか」を見極めておくことが重要になります。
整備評価の出発点は、リスクと統制の対応関係である
整備評価は、統制だけを単独で眺めていても判断できません。必ず、リスクとの対応関係で判断します。
そのため整備評価の前提として、次の流れが必要になります。
- 評価対象となる業務プロセスを把握する
- 取引の開始、承認、記録、処理、報告までの流れを理解する
- 財務報告上の虚偽記載リスクを識別する
- そのリスクが、どの勘定科目や開示項目に影響するかを整理する
- リスクを低減する統制上の要点を識別する
- その統制が、リスクを十分に低減できる設計かを評価する
実施基準においても、評価対象となる業務プロセスについて、取引の開始、承認、記録、処理、報告を含めて取引の流れを把握し、会計処理の過程を理解したうえで、不正または誤謬により虚偽記載が発生するリスクを識別し、そのリスクを低減する内部統制を識別するという考え方が示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
ここで問題になりやすいのが、RCMを形式的に作ってしまうケースです。
RCMにリスクと統制が並んでいても、その対応関係が弱ければ、整備評価としては不十分といわざるを得ません。
たとえば「売上の実在性リスク」に対して「上長承認」とだけ記載されている場合、その承認が本当に実在性を確認する統制なのかは、記載からは分かりません。上長が見ているのが売上金額の大きさだけであれば、売上の実在性には十分に効いていない可能性があります。
整備評価では、RCM上の記載を読むだけで終わらせず、リスクと統制のつながりを具体的に検証していく必要があります。
統制目的を確認する
整備評価で最初に確認すべきなのは、統制目的です。
統制目的とは、その統制によって何を防止または発見しようとしているのか、という目的を指します。ここが曖昧なままでは、その統制が有効かどうかを判断できません。
たとえば、同じ「レビュー」という言葉でも、目的によって見るべき内容は変わってきます。
売上の実在性を確認するレビューなのか。期間帰属を確認するレビューなのか。網羅性を確認するレビューなのか。単価や数量の正確性を確認するレビューなのか。開示分類の妥当性を確認するレビューなのか。
目的が違えば、確認資料も、確認者に必要な知識も、頻度も、証跡も変わります。
整備評価では、統制目的が次の点と整合しているかを確認します。
- RCM上のリスクと対応しているか
- 関連する勘定科目や開示項目と対応しているか
- 財務報告上のアサーションと対応しているか
- 防止統制なのか、発見統制なのかが明確か
- その統制が機能しない場合にどのような虚偽表示が起こり得るかを説明できるか
「何となくチェックしている」「上長が見ている」「経理が確認している」という状態では、統制目的が明確とはいえません。
整備評価では、統制目的を言語化できることが重要になります。
統制活動の具体性を確認する
次に確認すべきなのは、統制活動の具体性です。
統制活動とは、統制目的を達成するために実際に行われる手続を指します。ここが曖昧だと、統制は現場で人によって違う形で実施されることになり、結果として、整備評価では有効と判断しづらくなります。
整備評価で確認すべき統制活動のポイントは、次のとおりです。
- 何を確認するのか
- どの資料を使って確認するのか
- どの条件を満たせば承認するのか
- 差異がある場合にどう対応するのか
- どのタイミングで統制を実施するのか
- 統制実施後にどのような証跡が残るのか
- 統制実施後に修正・取消・再処理が行われる場合の統制はあるか
たとえば「経理部長が月次試算表をレビューする」という統制があった場合、整備評価では、レビュー対象、レビュー基準、差異分析の方法、異常値の判断基準、修正仕訳の承認、そしてレビュー証跡まで確認する必要があります。
月次試算表に目を通すだけなのか、前月比較・予算比較・主要KPIとの整合性まで確認するのか。両者では、統制としての強さがまったく異なります。
整備評価で重要なのは、統制活動が「説明できる粒度」まで具体化されていることです。
実施者の権限・能力・独立性を確認する
統制は、人が実施します。したがって、統制実施者が適切かどうかは、整備評価における重要な論点になります。
確認すべき観点は、主に次の3つです。
権限
その人に承認権限があるのか。職務権限規程や稟議規程と整合しているのか。実務上、形式的な承認者になっていないか。こうした点を確認します。
能力
統制を実施するために必要な会計知識、業務知識、システム理解、契約理解を持っているかを確認します。
特に、会計上の見積り、収益認識、連結パッケージ、開示基礎資料、ITレポートを扱う統制では、実施者の能力がそのまま統制の有効性に直結します。
独立性または牽制関係
作成者と承認者が同じ、入力者とレビュー者が同じ、支払データ作成者と承認者が同じ、システム権限付与者と権限レビュー者が同じ。こうした状態では、統制としての牽制が弱くなります。
実施基準でも、整備状況の有効性評価において、適切な職務分掌が導入されているか、担当者が内部統制の実施に必要な知識および経験を有しているかが、留意事項として示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
少人数体制の会社では、理想的な職務分掌を完全に実現できないこともあります。
その場合でも、「人が少ないから仕方ない」で終わらせるのではなく、代替統制や上位者レビュー、事後モニタリング、外部専門家の関与、システム統制の活用などによって、どの程度リスクを低減できるかを検討する必要があります。
頻度とタイミングを確認する
整備評価では、統制の頻度も確認します。
頻度とは、その統制がどれくらいの間隔で実施されるかを指します。日次、週次、月次、四半期、年次、取引ごと、発生時、変更時など、統制によって適切な頻度は異なります。
ここで重要になるのは、リスクの発生頻度と統制の実施頻度が合っているかという点です。
毎日発生する取引リスクに対して、年1回のレビューでは不十分なことがあります。逆に、年に数回しか発生しない非定型取引に対して日次統制を設計しても、実務にはなじみません。
また、頻度だけでなくタイミングも重要です。
たとえば、売上計上前に行うべき承認が売上計上後に行われている場合、誤った売上計上を防止する統制としては機能しません。その場合には、発見統制としてどの程度有効かを別途評価する必要があります。
整備評価では、次の点を確認します。
- リスクが発生するタイミングより前に統制が実施されるか
- 防止統制として設計されているのか、発見統制として設計されているのか
- 月次・四半期・年度決算のスケジュールに間に合うタイミングか
- 是正や修正が必要な場合に、開示前に対応できるタイミングか
- IT処理やバッチ処理のタイミングと整合しているか
J-SOXでは、単に統制があるかどうかではなく、財務報告に間に合う形で機能するかが問われます。
証跡が残る設計になっているかを確認する
整備評価では、証跡も確認します。
ただしここで確認するのは、運用評価のように「対象期間中のサンプルについて実際に証跡が残っていたか」ではありません。
整備評価で確認するのは、「統制が実施された場合に、後から評価できる証跡が残る設計になっているか」です。
証跡として確認すべき観点は、次のとおりです。
- 誰が実施したかが分かるか
- いつ実施したかが分かるか
- 何を確認したかが分かるか
- どの資料をもとに確認したかが分かるか
- 差異や例外があった場合の対応が分かるか
- 承認後の修正や再承認の履歴が残るか
- 電子証跡の場合、改ざん防止やアクセス権限が考慮されているか
- システム出力帳票の場合、その帳票の完全性・正確性を確認できるか
「承認済」と表示されているだけでは、不十分な場合があります。
承認者が何を見て承認したのか。承認時点の資料が保存されているのか。承認後にデータが変更されていないか。差戻しや再承認の履歴が残っているか。こうした点まで確認しておく必要があります。
証跡は、監査法人対応のためだけに残すものではありません。社内で不備を発見し、原因を分析し、同じ問題を繰り返さないためにも必要なものです。
職務分掌と牽制が成り立っているかを確認する
職務分掌は、整備評価で特に重視すべき論点です。
財務報告に係る内部統制では、取引の開始、承認、記録、資産管理、照合、レビューが一人に集中している場合、不正や誤謬を防止・発見しにくくなります。
整備評価では、少なくとも次のような職務分掌を確認します。
- 取引を起案する人と承認する人が分かれているか
- 請求データを作成する人と承認する人が分かれているか
- 支払データを作成する人と実行承認する人が分かれているか
- 会計仕訳を入力する人とレビューする人が分かれているか
- マスタ登録を行う人と承認する人が分かれているか
- 資産を保管する人と帳簿を記録する人が分かれているか
- システム権限を付与する人と権限棚卸を行う人が分かれているか
もっとも、会社の規模や人員体制によっては、職務分掌を完全に分けることが難しい場合もあります。
その場合には、次のような代替統制を検討します。
- 上位者による定期レビュー
- 経営者または管理部門による事後照合
- システム上の権限制限
- 銀行口座や支払権限の二重承認
- 例外取引リストの確認
- 外部専門家による月次レビュー
- 内部監査による重点点検
整備評価では、「理想どおり分かれていないから不備」と即断するのではなく、リスクの大きさ、代替統制の有効性、証跡の残り方を踏まえて判断していきます。
IT依存統制を見落とさない
整備評価で見落としやすいのが、IT依存です。
業務プロセス上は人がレビューしているように見えても、その前提となるデータがシステムから出力されている場合、そのシステム処理やアクセス管理が信頼できなければ、レビュー統制も十分には機能しません。
たとえば、次のような統制はITに依存しています。
- システムから出力された売上リストをもとにレビューする
- 在庫システムの数量データをもとに棚卸差異を分析する
- ワークフロー承認をもとに支払処理を行う
- 会計システムの自動仕訳を利用する
- マスタ登録の権限管理に依拠する
- システム上の入力制限や自動計算に依拠する
- クラウドサービス上のログを証跡として利用する
この場合、整備評価では、業務側の統制だけでなく、IT全般統制やIT業務処理統制との関係を整理しておく必要があります。
実施基準では、ITに係る業務処理統制について、承認された業務がすべて正確に処理・記録されることを確保するために業務プロセスに組み込まれたITに係る内部統制であるとされ、入力情報の完全性・正確性・正当性、例外処理、マスタ・データの維持管理、アクセス管理などが例示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
IT統制を切り離したまま整備評価を行うと、後になって監査法人から「この帳票は完全なのか」「この承認ログは改ざんされないのか」「この権限設定は適切なのか」と問われることがあります。
整備評価の段階で、業務統制とIT統制の依存関係を整理しておくことが重要です。
デザインギャップを把握する
整備評価で発見される不備は、しばしば「デザインギャップ」と呼ばれます。
デザインギャップとは、統制の設計そのものに不足があり、リスクを十分に低減できない状態を指します。
典型的には、次のようなものがあります。
- リスクはあるが、対応する統制がない
- 統制はあるが、リスクと対応していない
- 統制活動が抽象的で、実施者によって確認内容が異なる
- 統制頻度がリスクの発生頻度に比べて少ない
- 承認者に必要な知識や権限がない
- 作成者と承認者が実質的に同一である
- 証跡が残る設計になっていない
- 例外処理や差戻し手続が決まっていない
- システム依存部分の統制が未整理である
- 外部委託先やクラウドサービスの統制を考慮していない
- 子会社や拠点で運用前提が異なるのに、同じ統制として扱っている
デザインギャップは、運用評価で多数の例外が出る前に発見しておくべきものです。
整備評価でこれを見落とすと、運用評価の段階で証跡不足や逸脱が多発し、期末近くになって是正が間に合わなくなることがあります。
J-SOX対応で手戻りが多い会社は、運用評価のやり方だけに問題があるのではなく、整備評価で統制設計の弱さを十分に見切れていないことが少なくありません。
整備評価で用いる手続
整備評価では、主に次のような手続を組み合わせていきます。
関連文書の閲覧
業務記述書、フローチャート、RCM、規程、職務分掌表、職務権限規程、業務マニュアル、システム仕様書、帳票サンプルなどを確認します。
ただし、文書を見るだけでは不十分です。文書が実態と合っているか、リスクと統制の関係が明確か、証跡が残る設計かまで確認する必要があります。
担当者への質問
業務担当者、承認者、経理部門、情報システム部門、内部監査部門などに質問します。
ここで重要なのは、質問相手を誤らないことです。規程上の責任者だけではなく、実際に処理している担当者に確認しなければ、業務の実態は見えてきません。
また、質問は「やっていますか」ではなく、「何を、どの資料で、どのように確認していますか」と具体的に行う必要があります。
業務の観察
実際の業務処理や承認手続を観察します。
特に、システム入力、承認ワークフロー、例外処理、支払処理、棚卸手続、月次決算レビューなどは、文書だけでは実態を把握しにくいことがあります。
ウォークスルー的な確認
実務上は、1件または少数の取引を起点から会計記録・報告までたどり、業務フロー、統制活動、証跡、会計処理の流れを確認する方法がよく用いられます。
ここでの目的は、運用評価のように一定期間の実施状況を検証することではありません。統制設計が業務プロセスに組み込まれているかを確認することにあります。
IT設定・権限の確認
IT依存統制がある場合は、システム権限、マスタ管理、承認ルート、入力制限、自動計算、ログ保存、帳票出力条件などを確認します。
IT部門だけでなく、業務部門・経理部門がそのシステム処理をどのように利用しているかまで確認することが重要です。
整備評価調書に残すべきこと
整備評価を実施したら、評価調書に判断過程を残す必要があります。
調書に「整備状況：有効」とだけ書いても、後から見たときに判断根拠が分かりません。
整備評価調書には、少なくとも次の内容を残すべきです。
- 評価対象プロセス
- 関連する勘定科目・開示項目
- 識別した虚偽記載リスク
- 対応する統制上の要点
- 統制目的
- 統制活動の内容
- 統制実施者
- 実施頻度
- 利用資料
- 残る証跡
- 職務分掌の状況
- IT依存の有無
- 確認した文書
- 質問・観察の結果
- 整備評価の結論
- 不備がある場合の内容と影響
- 是正方針
特に重要なのは、「なぜ有効と判断したのか」「なぜ不備と判断したのか」を残しておくことです。
整備評価は、単なる確認作業ではなく判断です。判断である以上、その根拠を説明できなければなりません。
整備評価でよくある誤り
整備評価でよく見られる誤りを整理すると、次のようになります。
3点セットがあることをもって整備済みと判断している
業務記述書、フローチャート、RCMがあることと、統制が有効に設計されていることは別の話です。
3点セットは、評価のための入口にすぎません。整備評価の結論そのものではないのです。
「承認」を万能の統制として扱っている
承認は重要な統制ですが、承認者が何を確認しているかが不明確であれば、リスクに対応しているとはいえません。
特に、金額承認、契約承認、会計処理承認、支払承認は、それぞれ目的が異なります。
証跡の設計が弱い
統制が実施されていても、証跡が残らなければ、後から評価できません。
整備評価では、運用評価で確認できる証跡が残る設計になっているかを確認しておく必要があります。
例外処理を設計していない
通常処理だけを前提に統制を設計すると、返品、値引、取消、再請求、手入力修正、締後修正、緊急支払、マスタ例外登録などで統制が抜け落ちます。
例外処理こそ、整備評価で確認すべき重要論点です。
IT統制との関係を見ていない
システム出力帳票や承認ログに依存しているにもかかわらず、アクセス権限、変更管理、マスタ管理、帳票条件を確認していない場合、統制の前提そのものが崩れる可能性があります。
子会社や拠点の実態を一律に扱っている
親会社と子会社、国内拠点と海外拠点、営業所と本社では、業務フローや人員体制が異なることがあります。
同じRCMを使っていても、統制設計が実態に合っているかは、別途確認が必要です。
整備評価の結論は、改善判断につなげる
整備評価の目的は、不備を見つけて終わることではありません。
統制設計上の問題を発見したら、それを改善につなげていく必要があります。
整備評価で不備が見つかった場合には、次のように整理します。
- どのリスクに対する統制が不足しているのか
- 不備は全社的内部統制に起因するのか、業務プロセス固有のものか
- どの勘定科目や開示項目に影響し得るか
- 既存の補完統制はあるか
- 新たな統制を設計すべきか
- 現場の運用負荷は過大でないか
- ITで補完できるか
- 是正後に運用評価できる期間が確保できるか
- 監査法人と事前に協議すべきか
ここで留意したいのは、過剰統制にしないことです。
不備が見つかると、どうしても統制を増やす方向に進みがちです。しかし、統制を増やせばよいというものではありません。現場が回せない統制、誰も見ないチェックリスト、形式的な承認をいくら増やしても、J-SOX対応が重くなるだけです。
整備評価後の改善では、リスクを十分に低減しながら、現場で継続運用できる統制に設計し直すことが重要になります。
整備評価は毎期の見直しが原則だが、前年度結果の利用にも留意する
業務プロセスに係る内部統制の整備状況の評価は、原則として毎期実施する必要があります。
ただし、全社的な内部統制の評価結果が有効であり、財務報告の信頼性に特に重要な影響を及ぼすものを除き、前年度の評価結果が有効で、かつ前年度の整備状況と重要な変更がないものについては、その旨を記録することで、前年度の整備状況の評価結果を継続して利用できる場合があります。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
ただし、ここで注意しておきたいのは、「前年有効だったから今年も見なくてよい」と単純に考えないことです。
次のような変化がある場合には、整備評価の見直しが必要になります。
- 新規事業を開始した
- 新しい収益モデルを導入した
- 重要なシステム変更があった
- クラウドサービスを導入した
- 組織変更や担当者変更があった
- 子会社を取得した
- 海外拠点が増えた
- 決算・開示体制を変更した
- 監査法人から指摘を受けた
- 不正・誤謬・開示訂正が発生した
- 重要な契約形態や取引条件が変わった
整備評価は、毎年同じ調書を更新する作業ではありません。会社の変化に応じて、統制設計が今もリスクに対応しているかを確認する作業です。
整備評価を経営管理に活かす視点
整備評価は、J-SOX評価の一部です。しかし、その効果はJ-SOXだけにとどまりません。
整備評価を丁寧に行っていくと、次のような経営管理上の課題が見えてきます。
- 業務フローが属人化している
- 権限と責任が曖昧になっている
- 証跡が個人の判断で残されている
- 経理部門が後工程で無理に補正している
- 月次決算で把握すべき異常値が見落とされている
- 子会社から提出される資料の品質が安定していない
- ITシステムの権限やマスタ管理が業務実態とずれている
- 開示基礎資料の作成責任が明確でない
- 監査法人対応が担当者任せになっている
これらは、単なるJ-SOX上の論点ではありません。決算早期化、開示品質、子会社管理、業務標準化、権限移譲、内部監査の高度化に直結する論点です。
整備評価とは、統制設計の有効性を確認する作業であると同時に、会社の業務と数字がどの程度「説明できる状態」になっているかを確認する作業でもあります。
まとめ｜整備評価は「統制があるか」ではなく「統制が効く設計か」を見る
整備評価で確認すべきことは、統制が存在するかどうかではありません。
その統制が、財務報告リスクに対応し、現場で実施可能で、証跡が残り、職務分掌やIT統制とも整合し、監査法人・内部監査・経営層・現場に説明できる設計になっているか。ここが問われます。
J-SOX対応が形骸化している会社では、整備評価そのものが形式化しています。
RCMに統制が書かれている。フローチャートに承認マークがある。規程に手続が書いてある。だから整備済みと判断してしまう。
しかし、整備評価の本質はそこにはありません。
「その統制が、どのリスクを、どのように低減しているのか」を説明できることが重要なのです。
整備評価を丁寧に行うことで、運用評価の手戻りを減らし、不備判定の精度を高め、監査法人との認識齟齬を減らすことができます。
さらに、J-SOX対応を決算・開示・業務フロー・IT・子会社管理・経営管理体制の改善につなげていくことも可能になります。
整備評価は、J-SOX対応の中でも、統制の品質を左右する重要な判断プロセスです。
J-SOXの整備評価・統制設計の見直しをご検討の方へ
整備評価で悩ましいのは、「統制があるかどうか」ではなく、「その統制で十分といえるか」の判断です。
RCM上の統制がリスクに対応しているのか。承認やレビューの中身が十分か。証跡が後から説明できる形で残るか。職務分掌が難しい場合に代替統制で補えるか。IT依存部分をどこまで評価すべきか。監査法人にどのように説明すべきか。
これらは、会社の業務実態、決算・開示体制、IT環境、子会社管理、監査法人との協議状況によって判断が変わってきます。
犬飼公認会計士・税理士事務所では、J-SOX対応を単なる文書化やチェックリスト作成ではなく、会社が自らの数字・業務・権限・証跡を説明できる状態に整えるための支援として位置づけています。
整備評価の進め方、RCMの見直し、キーコントロールの選定、証跡設計、監査法人指摘への対応にご不安がある場合は、現在の統制設計と評価資料をもとに、どこから見直すべきかを整理するところからご相談ください。
お問い合わせページより、現在のご状況とご相談内容をお知らせいただければ、J-SOXの整備評価で優先的に確認すべき論点を一緒に整理いたします。
振り返り｜整備評価で確認すべき重要ポイント
| 確認項目 | 整備評価で見るべきポイント |
|---|---|
| 統制目的 | その統制がどの財務報告リスクを防止・発見するためのものか |
| リスクとの対応 | RCM上のリスクと統制活動が実質的に結びついているか |
| 統制活動 | 何を、どの資料で、どの基準により確認するかが具体化されているか |
| 実施者 | 必要な権限・知識・経験を持つ者が統制を実施する設計になっているか |
| 頻度・タイミング | リスクの発生頻度や決算・開示スケジュールに照らして適切か |
| 証跡 | 誰が、いつ、何を確認したかを後から説明できる設計になっているか |
| 職務分掌 | 作成・承認・記録・保管・照合が一人に集中していないか |
| IT依存 | システム出力、承認ログ、マスタ、アクセス権限などの前提が整理されているか |
| 例外処理 | 差異、取消、修正、緊急処理、締後処理への対応手続が設計されているか |
| デザインギャップ | 統制設計上、リスクを十分に低減できない不足や矛盾がないか |
| 調書化 | 整備評価の結論だけでなく、判断根拠が説明できる形で残っているか |
| 改善接続 | 発見された不備を、運用可能な是正策と再評価につなげられているか |
