運用評価・サンプリング・例外処理の考え方｜J-SOXで統制が継続して機能しているかを判断する実務ポイント

J-SOX対応の中でも、運用評価は現場の負荷が大きく、判断に迷いやすい領域です。

整備評価で確認するのは、「統制がリスクに対応する設計になっているか」という点です。これに対して運用評価では、「その統制が、対象期間を通じて、設計されたとおりに継続して実施されていたか」を確認します。

つまり運用評価の中心は、統制が存在することの確認ではありません。

承認欄があるか、チェックリストがあるか、業務フローに統制点が描かれているか。そうした形式ではなく、実際に、誰が、いつ、何を、どの資料で確認し、その結果としてどのような判断や対応を行ったのかを、証跡に基づいて確かめる手続です。

ここを曖昧にしたままサンプルテストだけを進めると、次のような問題が起こります。

• サンプル件数は足りているのに、統制の有効性を説明できない
• 証跡は集めたものの、何を確認した証跡なのか分からない
• 例外が出たときに、不備なのか軽微な逸脱なのか判断できない
• 監査法人から追加確認を求められ、現場への資料依頼が増える
• 評価調書には「有効」と書いてあるが、判断根拠が弱い

運用評価は、サンプルを選んで証跡を貼る作業ではありません。「その統制が、財務報告リスクに対して、一定期間にわたり機能していたと説明できるか」を判断するプロセスです。

内部統制基準では、経営者は有効な内部統制の整備および運用の責任を負う者として、財務報告に係る内部統制を評価することとされ、その評価は期末日を評価時点として行うものとされています。あわせて、経営者は評価手続、評価結果、発見した不備および是正措置について、記録し保存しなければならないとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

運用評価とは何を確認する手続か

運用評価とは、整備評価で有効に設計されていると判断した統制について、対象期間中に実際に運用されていたかを確認する手続です。

たとえば購買プロセスで、「発注前に権限者が発注内容を承認する」という統制が設計されているとします。整備評価では、その統制が発注権限や架空発注・不適切発注のリスクに対応する設計になっているかを確認します。

一方の運用評価では、対象期間中の発注データからサンプルを抽出し、実際に発注前承認が行われていたか、承認者は権限者だったか、承認時点は発注前だったかを確認します。あわせて、承認内容が金額・取引先・発注内容を確認できるものだったか、例外的な発注があった場合に適切に処理されていたかも見ていきます。

運用評価で問うべきことは、端的にいえば次の一点に集約されます。

その統制は、設計された内容どおりに、必要な期間、必要な頻度で、必要な証跡を伴って実施されていたか

この問いに答えられなければ、評価調書上で「有効」と記載しても、十分な説明にはなりません。

運用評価は整備評価の後に行う

運用評価の前提となるのは、整備評価です。

設計上有効でない統制をどれだけサンプルテストしても、財務報告リスクを十分に低減できたとは説明できません。

たとえば、売上計上承認という統制があったとしても、承認者が契約条件や検収条件を見ていないのであれば、売上の実在性や期間帰属のリスクに十分対応していない可能性があります。この場合、運用評価で承認印が多数確認できたとしても、統制目的に照らした有効性は弱いままです。

そのため、運用評価に入る前に、少なくとも次の点を確認しておく必要があります。

• RCM上、リスクと統制の対応関係が明確になっているか
• 統制目的が明確か
• 統制活動の内容が具体化されているか
• 統制実施者、頻度、利用資料、証跡が整理されているか
• 職務分掌やIT依存が整理されているか
• 評価対象とするキーコントロールが確定しているか

整備評価が曖昧なまま運用評価を始めると、サンプルを集めた後になって、「そもそもこの統制は何のリスクに効いているのか」という問題に立ち戻ることになります。

J-SOX対応で手戻りが多い場合、原因は運用評価のやり方だけにあるとは限りません。整備評価やRCM、証跡設計の段階にさかのぼることも少なくありません。

運用評価で最初に決めるべきこと

運用評価では、いきなりサンプルを選ぶべきではありません。最初に決めるべきなのは、評価の前提です。

具体的には、次の事項を明確にします。

• 評価対象となる統制は何か
• その統制が対応するリスクは何か
• 評価対象期間はいつからいつまでか
• 母集団は何か
• 母集団の完全性をどう確認するか
• サンプリング単位は何か
• 統制頻度はどの程度か
• どの証跡を確認するか
• 例外が出た場合にどう処理するか
• 評価結果をどのように調書化するか

このうち、特に重要なのが「母集団」と「サンプリング単位」です。サンプリング手続は、母集団の定義が曖昧なままでは成立しません。

母集団を正しく定義する

母集団とは、評価対象となる統制が本来実施されるべき全体の集合です。

たとえば、販売プロセスで「一定金額以上の値引について上長承認を得る」という統制を評価する場合、母集団は「対象期間中に発生した一定金額以上の値引取引」となります。

ここで誤って「売上取引全体」を母集団にしてしまうと、評価対象ではない取引が混ざります。逆に、営業部門が任意に抽出した値引一覧だけを母集団にすると、今度は網羅性が不足するおそれがあります。

母集団を定義するときは、次の点を確認します。

• 対象期間中の全件が含まれているか
• 統制が適用される条件が正しく反映されているか
• システムから出力した場合、抽出条件が明確か
• 手作業で作成した一覧の場合、作成元データとの突合が可能か
• 除外した取引がある場合、その理由を説明できるか
• 期末日近くの取引や締後処理が漏れていないか

母集団の完全性が確認できない場合、サンプルテストの結果だけで統制の運用有効性を判断することは難しくなります。サンプルテストは、母集団が信頼できることを前提とする手続だからです。

母集団の完全性は軽視してはいけない

運用評価でよくある問題は、サンプルそのものよりも、母集団の作り方にあります。

現場から提出されたExcel一覧をそのまま母集団として使っている。システムから出力された一覧の抽出条件が分からない。承認対象となる取引だけが一覧化されているものの、未承認取引が除外されていないかを確認できない。

このような状態では、抽出したサンプルに問題がなくても、評価対象外の部分に重要な逸脱が潜んでいる可能性が残ります。

母集団の完全性を確認する方法としては、次のような観点があります。

• システム総件数と出力一覧の件数を突合する
• 会計データと業務システムデータを突合する
• 対象条件に合う取引が漏れていないか、検索条件を確認する
• 連番管理されている帳票の欠番を確認する
• 承認ワークフローのステータス別件数を確認する
• 締後修正・取消・再処理が母集団に含まれているか確認する

特に、売上、支払、マスタ登録、在庫、会計仕訳、連結パッケージ、開示基礎資料といった領域では、母集団の作り方が評価結果に大きく影響します。

母集団が不完全であれば、評価手続そのものが不完全になります。

サンプリング単位を決める

母集団を定義したら、次にサンプリング単位を決めます。サンプリング単位とは、サンプルとして抽出する単位のことです。

取引1件なのか、請求書1枚なのか、承認申請1件なのか。あるいは日次処理1日分なのか、月次レビュー1回分なのか、四半期決算資料1セットなのか。どれを単位とするかによって、評価の意味そのものが変わります。

たとえば月次決算レビュー統制であれば、サンプリング単位は「月次レビュー実施月」になることが多いでしょう。支払承認統制であれば、「支払申請1件」または「振込データ1件」となることがあります。マスタ登録承認であれば、「マスタ登録・変更申請1件」が単位になることが多いと考えられます。

サンプリング単位を誤ると、証跡の確認範囲もずれていきます。

支払承認統制を評価するのに、請求書だけを見ても不十分です。承認申請、支払データ、銀行承認ログ、会計仕訳、支払日などを合わせて確認する必要がある場合もあります。

運用評価では、「何を1件として評価するのか」を明確にしておくことが重要です。

サンプル件数は機械的に決めない

J-SOXの運用評価では、サンプル件数について実務上の目安が使われることがあります。ただし、件数だけを覚えても、評価の品質が上がるわけではありません。

サンプル件数は、少なくとも次の要素を踏まえて検討します。

• 統制の実施頻度
• 母集団の件数
• 統制の重要性
• 関連する財務報告リスクの大きさ
• 全社的内部統制の評価結果
• 前年度の不備や逸脱の状況
• 自動化統制か手作業統制か
• IT全般統制に依拠できるか
• 統制実施者や業務プロセスに変更があったか
• 監査法人との協議状況

重要なのは、「何件テストしたか」ではありません。「その件数と選定方法で、対象期間中の運用状況を説明できるか」です。

たとえば年1回の統制であれば、母集団は1件しかないため、その1件を確認することになります。月次統制であれば、12回のうち何回を確認するかが論点になります。日次統制や取引ごとの統制では母集団が多くなるため、統制頻度やリスクに応じてサンプルを抽出します。

一方、統制が重要で、過去に逸脱が多く、担当者変更やシステム変更もあるといった場合には、通常より慎重な評価が必要になります。

サンプル件数は、実務上の目安を出発点にしてもかまいません。ただし最終的には、リスクと統制の性質に基づいて説明できるものである必要があります。

サンプル選定では恣意性を避ける

運用評価では、サンプルの選び方も重要です。

現場から提出しやすい資料だけを選ぶ。問題がなさそうな取引だけを選ぶ。期中の一部期間だけに偏る。担当者が任意に選んだサンプルをそのまま使う。こうした方法では、評価の説得力が弱くなってしまいます。

サンプル選定では、次の点に留意します。

• 対象期間全体をカバーしているか
• 母集団から直接抽出しているか
• 選定方法を調書に残しているか
• 特定部門・特定担当者・特定取引先に偏っていないか
• 期末日付近の取引を必要に応じて含めているか
• 金額的重要性や質的重要性の高い取引を別途確認しているか
• 例外取引、手入力、締後処理、取消・再処理を必要に応じて確認しているか

サンプル選定の目的は、現場を困らせることではありません。統制が対象期間中に継続して機能していたかを、偏りなく確認することにあります。

そのため、無作為抽出、系統的抽出、リスクに基づく抽出、特定項目抽出などを、統制の性質に応じて使い分けます。

統制頻度ごとに評価の考え方は変わる

運用評価では、統制頻度に応じて評価の考え方を変える必要があります。

取引ごとの統制

販売承認、発注承認、支払承認、マスタ登録承認など、取引ごとに実施される統制では、母集団の件数が多くなります。

この場合は、対象期間中の取引全体からサンプルを抽出し、各サンプルについて統制が実施されていたかを確認します。

確認すべきなのは、承認の有無だけではありません。承認時点、承認者、承認内容、利用資料、例外対応、そして承認後の変更の有無まで確認する必要があります。

日次・週次統制

日次の売上照合、入金消込レビュー、システムエラー確認、ジョブ監視などは、頻度の高い統制です。

この場合は、対象期間中に統制が継続して行われているかを確認するため、サンプルが特定期間に偏らないようにします。

また、証跡が日々のチェックリストだけという場合には、差異があったときの対応記録が残っているかが重要になります。

月次統制

月次決算レビュー、勘定科目分析、残高照合、滞留債権レビュー、棚卸差異分析などは、月次で実施されることが多い統制です。

月次統制では、レビューの実施有無だけでなく、分析の深度が問われます。

試算表に承認印があるだけでは、何を確認したのか分かりません。前月比較、予算比較、異常値、未処理項目、修正仕訳、決算整理事項など、統制目的に対応する確認が行われているかを見ていきます。

四半期・年次統制

四半期決算、連結決算、開示基礎資料レビュー、税効果、減損、引当金、後発事象、関連当事者、開示チェックなどは、四半期または年次で実施されることが多い領域です。

頻度が低い統制は、サンプル数で補うことができません。

そのため、1回ごとの統制証跡の質が非常に重要になります。判断資料、検討メモ、レビューコメント、承認履歴、監査法人協議記録などを含めて、判断過程を説明できるかを確認します。

証跡は「存在」ではなく「内容」を見る

運用評価では、証跡を確認します。しかし、証跡があることと、統制が有効に運用されていることは同じではありません。

たとえば、次のような証跡には注意が必要です。

• 承認印はあるが、何を確認したか分からない
• チェックリストにすべてチェックが入っているが、差異分析の記録がない
• レビュー日が会計処理後であり、防止統制として機能していない
• 承認者が権限者ではない
• システムログはあるが、承認対象データの内容が保存されていない
• 証跡が後から作成された可能性がある
• 差戻しや修正の履歴が残っていない
• 例外があったのに、対応結果が記録されていない

運用評価で確認すべき証跡は、単なる紙やログではありません。統制目的に照らして、「どのリスクに対して、どのような確認が行われたか」を説明できる証跡です。

証跡の品質は、J-SOX対応だけの問題ではありません。監査法人対応、内部監査、決算早期化、開示品質にも直結します。

電子証跡・ログ・システム承認をどう見るか

近年は、紙の承認印ではなく、ワークフロー、電子承認、システムログ、クラウドサービス上の操作履歴を証跡とするケースが増えています。

電子証跡は有用ですが、運用評価では次の点を確認する必要があります。

• 承認者が誰か特定できるか
• 承認日時が確認できるか
• 承認対象データが確認できるか
• 承認後に内容変更ができるか
• 変更があった場合、履歴が残るか
• アクセス権限が適切に管理されているか
• 特権IDによる操作が管理されているか
• ログの保存期間と改ざん防止が確保されているか
• システム変更により承認ルートや抽出条件が変わっていないか

電子承認があるから安心、というわけではありません。

電子証跡は、IT全般統制やIT業務処理統制と一体で見る必要があります。アクセス権限や変更管理が弱い場合には、承認ログやシステム出力帳票の信頼性にも疑問が生じます。

実施基準においても、ITに係る業務処理統制として、入力情報の完全性・正確性・正当性、例外処理、マスタ・データの維持管理、アクセス管理等が例示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

例外・逸脱をどう捉えるか

運用評価でサンプルを確認していくと、例外や逸脱が見つかることがあります。

ここで重要なのは、例外を機械的に「不備」と決めつけることでも、反対に「軽微」として処理してしまうことでもありません。

まずは、何が起きたのかを正確に把握する必要があります。

例外・逸脱には、たとえば次のようなものがあります。

• 承認が実施されていない
• 承認が処理後に行われている
• 承認者が権限者ではない
• 承認証跡はあるが、確認内容が不明
• 証跡が保存されていない
• 差異があるのに対応記録がない
• 統制頻度どおりに実施されていない
• マニュアルと異なる手順で処理されている
• 例外処理に上位承認がない
• システム権限が想定と異なる
• 母集団から漏れていた取引がある

これらは、同じ重さではありません。

証跡の保存漏れなのか。統制自体が実施されていないのか。実施はされたが記録が弱いのか。統制目的を理解せず形式的に実施されているのか。特定担当者だけの問題なのか。それともプロセス全体に広がる問題なのか。

例外・逸脱は、原因と影響を分けて整理する必要があります。

例外が出たときの初動

例外が見つかった場合、評価者はすぐに結論を出すべきではありません。まずは、次の順序で事実を確認します。

1. 例外の内容を特定する
2. 関連する証跡を追加確認する
3. 統制実施者に事実関係を確認する
4. 例外が単発か、反復的かを確認する
5. 同じ原因が他の取引にも及ぶ可能性を検討する
6. 補完統制の有無を確認する
7. 財務報告リスクへの影響を整理する
8. 必要に応じて不備として集計する

ここで注意していただきたいのは、現場の説明をそのまま受け入れないことです。

「急ぎだったので承認が後になった」「担当者が休みだった」「システムの都合でログが残っていない」「実際には確認していたが記録がない」。実務では、こうした説明がよく出てきます。

それ自体が直ちに虚偽というわけではありません。

しかしJ-SOX上は、後から説明できる証跡が重要です。統制が実施されたことを客観的に説明できない場合には、運用評価上の問題として扱う必要があります。

追加サンプルは例外を消すための手段ではない

例外が出た場合、追加サンプルを抽出することがあります。ただし追加サンプルは、最初の例外をなかったことにするための手続ではありません。

追加サンプルの目的は、例外の広がりを把握することにあります。

たとえば1件の承認漏れが見つかった場合を考えてみます。その原因が単なる個別ミスなのか、特定部門で承認ルールが浸透していないのか、あるいはシステム上、承認なしで処理できてしまうのか。どれに当たるかによって、影響範囲は大きく変わります。

追加サンプルを確認した結果、他に例外がなかったとしても、最初の例外の性質を評価する必要は残ります。逆に、追加サンプルで同様の例外が複数見つかれば、運用不備としての重要性は高まります。

追加サンプルは、評価の精度を高めるための手続です。不都合な例外を薄めるための手続ではありません。

代替手続の考え方

運用評価では、当初予定していた証跡が入手できない場合に、代替手続を検討することがあります。ただし代替手続は、慎重に考える必要があります。

代替手続として意味があるのは、同じ統制目的に対して、対象期間中に統制が実施されていたこと、またはリスクが他の統制によって十分に低減されていたことを説明できる場合です。

たとえば承認証跡そのものが残っていない場合でも、別のシステムログ、メール承認、会議体資料、差戻し記録、会計処理前のチェック履歴などによって、承認またはレビューが対象期間中に実施されていたことを客観的に説明できる場合があります。

一方で、次のようなものは、代替手続としては弱い場合があります。

• 担当者へのヒアリングだけ
• 後から作成した確認メモだけ
• 処理結果に誤りがなかったという事実だけ
• 上長が「確認していたはず」と説明するだけ
• 監査法人に提出するために後日整備した資料だけ

代替手続は、証跡不足を都合よく補うためのものではありません。本来の統制目的に照らして、同等または補完的な証拠となるかを判断する必要があります。

再実施の考え方

再実施とは、評価者が統制手続の一部または全部を再度実施し、統制が適切に機能するかを確認する手続です。たとえば、経理部門が行った照合について、評価者が同じ資料を使って照合結果を確認するような場合が挙げられます。

再実施は、統制の理解や証跡の妥当性確認には有用です。しかし、注意すべき点があります。

評価者が後から再実施したからといって、対象期間中に統制実施者が統制を実施していたことにはなりません。

たとえば、月次レビューが本来実施されていなかった場合、評価者が後日レビューを再実施しても、当該月に統制が運用されていたとはいえません。後日の再実施は、誤謬の有無や是正の必要性を確認するうえでは役立ちますが、過去の運用不備を消すものではないのです。

再実施については、運用評価の証拠として使える場合と、是正・影響評価の手続として位置づけるべき場合を区別する必要があります。

ロールフォワードの考え方

J-SOX評価は、期末日を評価時点とします。

一方で実務上、すべての運用評価を期末日後にまとめて実施するのは現実的ではありません。そのため、期中に運用評価を行い、期末日までの残り期間について追加確認を行うことがあります。

この残り期間の確認を、実務上ロールフォワードと呼ぶことがあります。

ロールフォワードで確認すべきなのは、単に「期中評価後も大きな問題はなかった」という説明ではありません。次の点を確認する必要があります。

• 期中評価後に業務フローが変わっていないか
• 統制実施者が変わっていないか
• 承認権限や職務分掌に変更がないか
• システム変更やマスタ変更がないか
• 期中評価後にも統制が継続して実施されているか
• 期末特有の取引や締後処理に対する統制が機能しているか
• 不備や例外が発生していないか
• 是正済みの統制が期末日まで有効に運用されているか

特に、期末に集中する決算・開示プロセス、見積り、非定型取引、連結パッケージ、子会社決算、開示基礎資料については、期中評価だけでは十分に説明できないことがあります。

期末日を評価時点とする以上、期末までの継続運用をどのように確認したかを調書に残しておくことが重要です。

なお内部統制基準では、開示すべき重要な不備が発見された場合でも、それが内部統制報告書における評価時点である期末日までに是正されていれば、財務報告に係る内部統制は有効であると認めることができるとされています。一方で、期末日後に実施した是正措置は期末日における評価には影響せず、内部統制報告書の提出日までに実施した是正措置がある場合には、付記事項として記載できるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

自動化統制の運用評価

自動化統制については、手作業統制とは異なる考え方が必要です。

たとえば、システム上、承認者でなければ処理できない、上限金額を超える入力ができない、必須項目が未入力では登録できない、自動計算で金額が算出される、といった統制です。

自動化統制は、一度正しく設定され、システム変更が適切に管理されていれば、同じように機能し続けることが期待されます。しかしその前提として、IT全般統制が有効である必要があります。

特に確認すべき点は、次のとおりです。

• システム設定が統制目的に合っているか
• 設定変更が適切に承認・記録されているか
• アクセス権限が適切に管理されているか
• 特権IDの使用が管理されているか
• マスタ変更が適切に承認されているか
• 例外処理や手動修正が管理されているか
• システム出力帳票の完全性・正確性を説明できるか

自動化統制は、サンプル件数を多くすればよいというものではありません。むしろ、設定、変更管理、アクセス管理、例外処理を確認したうえで、その自動処理に依拠できるかを判断することが重要になります。

手作業統制の運用評価

手作業統制は、実施者の判断、理解、経験に依存します。そのため、証跡の質とレビューの深度が重要になります。

たとえば、月次決算レビュー、債権滞留レビュー、棚卸差異分析、引当金検討、減損兆候判定、開示チェックといった領域では、形式的なチェックでは不十分です。

手作業統制では、次の点を確認します。

• 実施者が統制目的を理解しているか
• 確認対象資料が明確か
• 異常値や差異の判断基準があるか
• 差異があった場合の調査・修正が記録されているか
• レビューコメントが具体的か
• 承認者が形式的に押印しているだけになっていないか
• 担当者変更時にも同じ水準で実施できるか

手作業統制は、属人化しやすい領域です。

運用評価を通じて、「特定の担当者だから何とか回っている統制」なのか、「組織として継続運用できる統制」なのかを見極めることが重要です。

評価調書に何を残すべきか

運用評価の調書は、証跡の貼付資料ではありません。

評価者がどのような母集団から、どのようにサンプルを選び、何を確認し、どのような結果に基づいて有効または不備と判断したのかを説明する資料です。

運用評価調書には、少なくとも次の内容を残すべきです。

• 評価対象プロセス
• 対応する財務報告リスク
• 評価対象統制
• 統制目的
• 統制頻度
• 評価対象期間
• 母集団の定義
• 母集団の件数
• 母集団の完全性確認方法
• サンプリング単位
• サンプル選定方法
• サンプル件数
• 確認した証跡
• 評価手続の内容
• 例外・逸脱の有無
• 例外がある場合の原因・影響・対応
• 追加手続または代替手続
• 評価結論
• レビュー者の確認結果

特に重要なのは、例外がなかった場合であっても、何をもって有効と判断したのかを残しておくことです。

「サンプル確認済」「問題なし」だけでは、判断過程が見えません。

評価調書は、内部監査部門、経営層、監査役等、そして監査法人に対して、評価手続の妥当性を説明するための基礎資料となります。

運用不備として扱うべきかの判断

例外が見つかった場合には、それを運用不備として扱うかどうかを判断することになります。

実施基準では、内部統制の不備は整備上の不備と運用の不備からなるとされています。このうち運用の不備には、整備段階で意図したように内部統制が運用されていない場合、運用上の誤りが多い場合、内部統制を実施する者が統制内容や目的を正しく理解していない場合などが含まれるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

運用不備の判断では、次の観点を確認します。

• 統制目的に照らして重要な逸脱か
• 財務報告リスクを低減できていなかったか
• 逸脱は単発か反復的か
• 母集団全体に広がる可能性があるか
• 補完統制があるか
• 実際に虚偽表示が発生しているか
• 虚偽表示が発生する可能性が高まっているか
• 是正可能性と再評価可能性はあるか
• 監査法人と協議すべき重要性があるか

ここで大切なのは、「実際に誤謬がなかったから不備ではない」と短絡しないことです。

内部統制は、誤謬や不正を防止または発見するための仕組みです。たまたま誤謬が発生しなかったとしても、統制が設計どおりに機能していなければ、運用不備となる可能性があります。

運用評価でよくある落とし穴

ここで、運用評価でよく見られる落とし穴を整理しておきます。

サンプル件数だけに意識が向いている

サンプル件数は重要ですが、それだけで運用評価の品質が決まるわけではありません。

母集団、サンプル選定、証跡の内容、例外処理、評価結論まで、一貫して説明できる必要があります。

証跡があるだけで有効と判断している

証跡があっても、確認内容が統制目的に対応していなければ不十分です。

特に、承認・レビュー・照合・分析といった統制では、「何を見たのか」が重要になります。

例外を現場説明だけで処理している

現場の説明は重要な情報です。しかし、それだけでは客観的な評価にはなりません。

説明内容を裏づける証跡、影響範囲、補完統制、再発防止まで整理する必要があります。

期末までの運用を確認していない

期中評価で問題がなかったとしても、期末日までの期間に業務変更、担当者変更、システム変更、不備発生があれば、評価結論に影響します。

母集団の完全性を確認していない

母集団が不完全であれば、サンプルテストの結論も不安定になります。

システム抽出条件、会計データとの整合、対象取引の網羅性を確認する必要があります。

不備判定につながっていない

運用評価で例外を見つけても、不備判定や是正計画に接続されていなければ、J-SOX評価として完結しません。

運用評価は、不備判定や是正計画へつながる前提資料でもあります。

運用評価を経営管理に活かす視点

運用評価は、J-SOX対応のためだけに行うものではありません。

運用評価を通じて見えてくるのは、会社の業務が本当に継続運用できる仕組みになっているか、という点です。

たとえば、次のような気づきが得られます。

• 承認が形式化している
• 月次レビューの深度が担当者によって違う
• 証跡保存が個人任せになっている
• 業務変更が3点セットに反映されていない
• システム権限の管理が弱い
• 例外処理が現場判断で行われている
• 期末決算だけ証跡が厚く、月次は弱い
• 子会社や拠点ごとに統制水準がばらついている
• 監査法人に説明する段階で、初めて資料不足が分かる

これらは、単なるJ-SOX上の不備にとどまりません。

決算早期化、開示品質、業務標準化、権限移譲、子会社管理、内部監査の高度化に直結する課題です。

運用評価を丁寧に行えば、会社の統制が「書類上あるだけ」なのか、「現場で継続して回っている」のかが見えてきます。

J-SOX対応を経営管理体制へ接続するうえで、運用評価は非常に有効な診断機能を持っているといえます。

まとめ｜運用評価は、統制が継続して機能していたことを説明する手続である

運用評価は、サンプルを選んで証跡を確認する作業ではありません。統制が、対象期間中に、設計されたとおりに、必要な頻度で、必要な証跡を伴って実施されていたかを判断する手続です。

そのためには、母集団の定義、母集団の完全性、サンプリング単位、サンプル選定方法、証跡の質、例外処理、代替手続、再実施、ロールフォワード、そして評価調書までを、一貫して設計する必要があります。

運用評価で重要なのは、「何件見たか」ではなく、「その評価手続によって、統制の継続的な有効性を説明できるか」です。

例外が出た場合も、単に不備と決めつけるのではなく、原因、影響範囲、補完統制、再発可能性、是正可能性を整理することが求められます。

運用評価を形式的に行えば、J-SOX対応は重い作業になってしまいます。しかし、運用評価を通じて、業務・証跡・承認・レビュー・IT・子会社管理の実態を把握できれば、J-SOX対応は会社の説明力と判断力を高める取り組みへと変わっていきます。

J-SOXの運用評価・サンプリング・例外処理の見直しをご検討の方へ

運用評価で難しいのは、サンプル件数そのものではありません。

母集団をどう定義するか。サンプルをどう選ぶか。証跡のどこまでを確認すべきか。例外を不備として扱うべきか。追加サンプルや代替手続でどこまで説明できるか。期末日までのロールフォワードをどう設計するか。

これらの判断は、会社の業務フロー、IT環境、証跡管理、監査法人との協議状況、過年度の不備や指摘の状況によって変わってきます。

犬飼公認会計士・税理士事務所では、J-SOX対応を単なるサンプルテストや評価調書作成ではなく、会社が自らの数字・業務・権限・証跡・判断過程を説明できる状態に整えるための支援として位置づけています。

運用評価が属人化している。サンプル件数や例外処理の判断に不安がある。監査法人から証跡不足や評価調書の不備を指摘されている。期末までの評価計画が場当たり的になっている。such な状況であれば、現在の評価資料と証跡管理の状況をもとに、どこから見直すべきかを整理するところからご相談ください。

お問い合わせページより、現在のご状況とご相談内容をお知らせいただければ、J-SOXの運用評価で優先的に確認すべき論点を一緒に整理いたします。

振り返り｜運用評価・サンプリング・例外処理の重要ポイント

項目	実務上の確認ポイント
運用評価の目的	統制が対象期間中に設計どおり継続して実施されていたかを確認する
整備評価との関係	設計上有効な統制を前提に、実際の運用状況を評価する
母集団	評価対象となる統制が適用される全件を正しく定義する
母集団の完全性	システム抽出条件、会計データ、連番、対象条件などにより網羅性を確認する
サンプリング単位	取引、承認申請、月次レビュー、四半期資料など、評価単位を明確にする
サンプル件数	統制頻度、リスク、母集団件数、過年度不備、IT依存などを踏まえて判断する
サンプル選定	期間・部門・取引先・担当者の偏りを避け、選定方法を調書に残す
証跡確認	証跡の有無だけでなく、誰が何を確認したか、差異対応が残っているかを見る
電子証跡	承認ログ、変更履歴、アクセス権限、改ざん防止、保存期間を確認する
例外・逸脱	原因、影響範囲、反復性、補完統制、財務報告リスクへの影響を整理する
追加サンプル	例外を消すためではなく、例外の広がりを把握するために実施する
代替手続	同じ統制目的に対して十分な証拠となるかを慎重に判断する
再実施	後日の再実施は、過去の統制実施を証明するものではない点に留意する
ロールフォワード	期中評価後から期末日までの変更・継続運用・期末特有論点を確認する
評価調書	母集団、サンプル、確認証跡、例外、判断根拠、結論を説明可能な形で残す