報告書は現場作成の文書を積み上げて作る
内部統制報告書を作成するのはそう簡単でない。まず情報システム部門を含む現場が文書を作成し、それを集約する流れとなる。
http://itpro.nikkeibp.co.jp/article/COLUMN/20090317/326686/?ST=management
不備の修正と並行して実施しなければならないのが、内部統制報告書を作成するための文書を用意することだ。2008年までニューヨーク証券取引所に上場していたため米SOX法に対応してきた経験を持つNISグループ。同社の平哲博システム企画部長が「米SOX法対応の最後の3カ月間は文書の作成に注力していた」と証言するように、この工数は予想以上に多い。
内部統制報告書は最終的に、経営者が自社の内部統制の有効性を確認して作成するものである。しかし、連結グループ企業の数が多かったり、海外に散らばっていたりすると経営者だけで全体の評価結果を確認することは難しい。グループ企業が少なくても、複数の事業を抱えJ-SOX対象プロセスが多い企業では、やはり困難だろう。
そうした企業では、販売や購買、ITといった現場の業務プロセス評価担当者が自分の担当範囲における“報告書”を作成。それらを集約して経営者に渡し、企業全体における内部統制運用状況の有効性を評価してもらうのが一般的だ。
経営者の評価結果が正しいかを監査人が監査する際、経営者が作成した内部統制報告書だけではなく、現場の担当者が作成した文書も確認する。現場の作成する文書から、内部統制報告書は始まっている(図1)。
図1●内部統制報告書を作成するまでのプロセス
システム担当者も報告書作成のための文書を作成する可能性がある
[画像のクリックで拡大表示]
ITでも財務報告に結びつける
IT全般統制にかかわる評価結果の文書は、IT全般統制の評価担当者が作成することになる。各プロセスの評価結果を記述する文書の量はあまり多くない。「A3判の紙で3、4枚程度だった」とNISグループの平部長は説明する。記述する内容は、テスト結果、テストした際に発見した不備の修正計画、最終的に内部統制が有効と判断できるかの判断結果、などだ。
量的には多くないのに作成に時間がかかる理由は二つある。一つは「単なる不備の内容の記述では済まない」(NRIの堤グループマネージャー)こと。J-SOX対応は「財務報告に誤りがない」と保証することを求めている制度。IT全般統制であっても、「財務報告にかかわる形で評価結果を書く必要がある」(同)。
IT全般統制に不備があった場合は、「影響の連鎖を想像しながらでないと財務報告に結びつけることは難しい」と堤グループマネージャーは話す。システムの変更管理を正しく実施しているか確認できていない→販売システムに誤った処理や不正な処理が紛れ込んでいる可能性がある→売上高の計上が間違っている可能性がある―といった具合だ。
コミュニケーションで効率化
こうした作業を効率的に進めるためには「コミュニケーションが最も重要」とコントロール・ソリューションズの河邊シニアITマネージャーは指摘する。現場の評価担当者が、J-SOX対応プロジェクトチームや経理部門と話し合えば、財務諸表と不備の結びつきなどを考えやすくなるからだ。
IT全般統制が不備の場合、業務プロセスの中で、システムの利用を前提としている統制に影響を与える可能性もある。「IT全般統制の不備の影響範囲を見極めるためにも、プロジェクトチームとコミュニケーションをとっておきたい」(河邊シニアITマネージャー)ところだ。
時間がかかる二つめの理由は、IT全般統制特有の難しさがある点だ。IT全般統制は「IT基盤」ごとに整備・運用する。このときのIT基盤とはハードウエアのこと。会計や販売、購買といったJ-SOX対応の対象になっているシステムがすべて1台のメインフレーム上で動いているのであれば、一つの報告書で済む。しかしオープン系サーバーで個別に業務システムを構築している場合は、そのサーバー数だけ報告書が必要になる。
2年目以降の継続策も
「初年度が終わるのと同時に次年度が始まっている。3月期末を迎える前に、次の対応策を考えておくべき」。NRIの堤グループマネージャーはこう強調する。プロティビティジャパンの百野シニアマネージャも、「2年目以降は監査人もレベルを上げて指摘をするようになる」と、2年目以降への準備の重要性を主張する。
システム部門を対象に、2年目以降でやるべきことを図2に示した。負担の軽減や人員の確保、今後稼働するシステムにかかわる統制の確認、そして「次年度以降」とした不備の修正計画の実施といった点を考慮することが必須である。
図2●システム部門におけるJ-SOX対応2年目以降のチェックポイント
J-SOXは毎年、続く。初年度から2年目を視野に入れた計画が欠かせない
NISグループの平部長は「一度経験してみて、システム部門に専任者を置く必要があると痛感した」と振り返る。同社は次の年にはシステムの評価担当者を評価担当部門から引き抜き、システム部門の担当者とした。
会計関連のシステムの稼働を予定している場合、開発関連の文書化、アクセス管理やログ取得の機能を当初から実装するなど、J-SOX対応を考慮することが負担の軽減につながる。
繰り返しになるが、J-SOXは毎年続く制度である。このことを念頭に置き、対応の効率化、負荷の軽減を目指したい。
<<前ページ 1 2
(島田 優子=日経コンピュータ) [2009/03/26]
スポンサードリンク