J-SOX2年目のIT統制のポイント～もっとスマートに乗り切るために（前編） : 日本版SOX法・徹底解析

J-SOX2年目のIT統制のポイント～もっとスマートに乗り切るために（前編）

上場企業は各社とも総力戦でJ―SOX１年目を何とか終えたものの、この態勢を今後も維持継続していくことは許されず、いかに効率的に対応していくかは、各社共通の喫緊の課題である。本稿ではJ―SOX対応の効率化、コスト削減を進めていく上での考え方をまとめた。

http://enterprisezine.jp/article/detail/1745/

初年度対応を終えて

　J―SOX初年度を終えた3月末決算の会社は、株主総会後に有価証券報告書とともに内部統制報告書を各地の財務局に6月末までに提出した。重大な欠陥を開示した企業は全体の約2％であり、各社ともエース級の方々を投入して、総力戦で戦った感がある。

　各社は6月下旬から7月上旬にかけて、初年度対応の振り返りをかねた反省会と打ち上げを行い、一息ついて、7月中旬から9月中旬に、2年目及びそれ以降のJ―SOX対応策を検討する段階となる。

　本稿では、J―SOX対応コストの削減に向けて、どのような取り組みをしていくべきかを中心にまとめた。少しでも読者のヒントになれば幸いである。

スコープを見直す～もう少し評価範囲を狭めることは可能か？

　評価範囲の決定に関しては、米国SOX法の反省を踏まえて、日本の当局が実施基準で例示してくれたので、大いに助かったものの、業界及び企業特性に応じて、金額的重要性と質的重要性の観点から、たとえ連結売上高の概ね2／3の範囲外であっても、また勘定科目として、売上、売掛金、棚卸資産以外の勘定科目であっても、評価範囲に含めなければならないケースがあるので、各企業は初年度は保守的に対応せざるを得なかった。

　つまり、期末日に近い段階で、急遽文書化や有効性テストを追加的に行わざるを得ない状況になるリスクを避けたと思われる。従って、2年目、3年目のコスト削減の方策として、最初に行う必要があるのは、スコープの見直しであり、その選定ロジック、基準値の見直しである。要はもう少し評価範囲を狭められないかという検討を行うことである。

　一方、世界的不況の影響で、事業の見直し、M&A等が行われた結果、初年度では枠外であった子会社が今年度は評価範囲の中に新たに入ってくるケースもある。この領域に関しては、新たに規程類の見直し、文書化、有効性テスト等を行う必要がある。

　J―SOX対応の内部工数を削減することは、コスト削減の観点のみならず、こういった新たな展開にも対応していく為にも、業界業種、規模の大小を問わず、各社にとって非常に重要である。

リスクを絞り込む～全てのアサーションに対応しなくてもいいのではないか？

　J―SOXは財務諸表の信頼性を毀損するリスクにフォーカスしている。確かに、納期遅延を起こすと、信用を失い、リピートオーダーが来なくなり、売上と利益に対してマイナス要因ではあるが、これはビジネスリスクであって、財務諸表の信頼性を毀損するリスクではない。

　財務諸表上の数字は、売上、利益が減ったならば、減ったなりに正しく計上すれば、J―SOX上は何も問題はない。上記のようなビジネスリスクが混入していないかを再確認する必要がある。

　次に、全てのアサーションに対応しようとしていないかという検討を入れた方が良い。アサーションには、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の6種類がある。その業務の特性を考えると、たとえば実在性と網羅性さえ確認できれば、他のアサーションについて問題が生じるリスクが僅少であると判断すれば、割愛できるのではないかという検討である。

統制を最適化する～キーコントロールの削減と、IT化

　統制の最適化としては、キーコントロールの削減と、マニュアル統制のIT化を挙げたい。

　まずはキーコントロールの削減がポイントになる。キーコントロールの数を削減できれば、母集団の選定、サンプリング、有効性テスト、合否判定、総合評価の全てに渡って、その工数が削減されるからである。

　そのためには、業務の標準化、共通化が基本となる。本体及び主要な子会社の経理業務が標準化され、シェアードサービスセンター化できれば、経理業務、決算業務に関しては、そこでしっかりとキーコントロールを抑えれば事足りるようになる。

　しかし、シェアードサービスセンターを実現するのは、コード体系の見直し、システムの切り替え、ワークプロセスの変更、組織の改正、人員配置の変更及びそれらの文書化、有効性テストの再実施を伴うので、約2年の期間を要するであろう。従って、単にJ―SOXの対応コストの削減というよりも、会社法でいうところの業務の有効性、効率性の観点も加えて取り組んでいく必要がある。

　抜本的な標準化、共通化を図るには、上記のような取り組みが必要となるが、当面は現在キーコントロールとみなされているものが、本当にキーコントロールであるかどうかの見直しと、部分的ではあっても標準化、共通化が図れる部分がないかどうかを検討することである。ただし、キーコントロールを削減した場合は、絞り込まれたキーコントロール自身が有効性テストで不備となった場合、他のコントロールで補えない場合があるので注意を要する。

マニュアル統制からIT統制へ

　次に、マニュアル統制からIT統制への切り替えである。

　マニュアル統制の場合、その統制が日次で行われる場合は、最低25件のサンプルが必要とされるが、IT統制の場合はIT全般統制が有効であるという条件付ではあるが、1件のサンプリングで合否判定ができるので、サンプリング工数、合否判定工数が大幅に削減されることが期待できる。

　なお、IT全般統制の準備が十分にできていない場合は、IT全般統制を非有効とした上で、あえて25件のサンプリング方式を採用した方が工数がかからない場合があるので、企業は外部監査人、内部監査人ともよく協議した上で判断するのが良い。

日本版SOX法・徹底解析

J-SOX2年目のIT統制のポイント～もっとスマートに乗り切るために（前編）

関連エントリー

カテゴリー

更新履歴