BPNavigator to GO - SOX法解体新書

　大塚商会の販売最前線からお届けするセールスノウハウマガジン「BPNavigator」のWEB版です。

2007年3月時点の情報を掲載しています。

　待ちに待った実務上のガイドライン「財務報告に関する内部統制の評価及び監査の基準及び実施基準」が、金融庁・企業会計審議会の決定を経て、2007年2月15日に公表された。今号では、実施基準の内容を踏まえ、Phase4として、可視化された内部統制をどのように評価し報告するかについて実務上の対応を解説する

　経営者は、財務報告に係る内部統制について、一般に公正妥当と認められる内部統制の評価の基準に準拠して、その有効性を自ら評価し、その結果を「内部統制報告書」に記載して外部に報告しなければならない。
　連結ベースで財務報告全体に重要な影響を及ぼす内部統制（以下「全社レベルの内部統制」という）の評価を行う。その結果を踏まえて、財務報告の重要な虚偽表示リスクに着眼して、業務プロセスに組み込まれ一体となって遂行される内部統制（以下「業務プロセスレベルの内部統制」という）を評価する。
　財務報告に係る内部統制の重要な欠陥（以下、「重要な欠陥」という）が、期末日までに是正されずに残っていると、経営者は、「重要な欠陥があり、財務報告に係る内部統制は有効でない旨、並びにその重要な欠陥の内容及びそれが是正されない理由」を外部に報告することになる。そのような事態にならないように、できる限り早いタイミングで重要な欠陥を識別し、是正しておかなければならない。

　虚偽表示リスク低減策として、統制目標を満たすコントロールがデザインされていなかったり（図表1BOX１「No」）、デザインされたコントロールが実際の業務に適用されていないことが確認されると（図表1BOX4「No」）、内部統制が有効に整備されていないと判断し、その改善を行わなければならない。改善未了のまま放置すると「整備上の不備」と判断されることになる。　

１現状の内部統制の整備状況の評価（例：現状の支払処理プロセス）　

支払処理プロセスを例に内部統制の改善ロジックを説明する（図表2）。支払のほとんどが銀行送金であり、支払にあたってはファームバンキングを利用している。銀行伝送データは、支払確定リストのデータをもとにシステムで作成するので、意図的に改ざんされる可能性は低い。　
しかし、銀行伝送データの作成メニューは、チーム内の担当者であれば誰でもアクセスできるようになっていて、不正なアクセスによって、銀行伝送データが改ざんされる機会が存在する。不正行為を未然に防ぐためのコントロールが弱く、内部統制の整備上の不備があると判断した。　
不備の程度は、財務報告の虚偽表示リスクをどの程度まで低減できるかで評価する。その際、虚偽表示が発生する場合の影響度を推定し、その発生可能性も併せて検討することになる。図表2では、影響度が大、発生可能性が中と判断し、虚偽表示リスクは高く、赤信号が点灯している。影響度は、内部統制の不備が虚偽表示をもたらす場合の影響金額を推定し、その金額に応じて、大、中、小で把握する。その発生可能性は、発生確率をサンプリングの結果を用いて統計的に導き出すこともできなくはないが、通常、定性的に高、中、低で把握する。　
また、影響度と発生可能性の組み合わせから虚偽表示のリスクの程度を、ビジュアルに信号機（赤、黄、青）で表示することができる（図表3）。

　
2 内部統制の不備の改善（例：改善後の支払処理プロセス）
　
従来は、担当チーム別に会計システムのプログラム・データへのアクセス権限を定めていたが、担当者毎にアクセス権限の見直しを行い、業務上必要となる範囲の処理のみ許可するようセキュリティを再設定した（図表3）。また、改善後、ウォークスルーを実施してその適用状況に問題のないことが確認されている。　
その結果、不備が改善し、デザインされたコントロールが実際に業務に提供されていることを確認でき、内部統制の整備状況は有効である判断している。　
また、影響度は大のままだが、発生可能性が中から低に下がり、虚偽表示リスクの程度は中と評価され、黄信号が点灯している。

　虚偽表示リスク低減策として統制目標を満たすコントロールがデザインされ、実際の業務に適用されていることが確認されると、その運用状況を確認することになる（図表5）。運用テストの結果、コントロールの運用状況に例外のないことが確認できると（図表5のBOX1「Yes」）、運用状況は有効であると判断する。
　一方、運用状況に例外が発見されても（図表5のBOX1「No」）、追加テストを実施して（図表５のB O X 2「Yes」）、新たな例外が発見されない場合には（図表5のBOX3「Yes」）、再評価の結果、運用状況は有効であると判断する。
　追加テストを実施しない場合や（図表5のBOX2「No」）、実施しても例外が新たに発見されるような場合には（図表5のBOX3「No」）、運用上の不備があると判断し改善しなければならない。業務プロセスやルールを徹底し、運用状況に例外が生じないように是正する（図表５のBOX4「完了」）。再テストの結果、コントロールの運用状況の改善が確認できると（図表５のBOX5「Yes」）、運用状況は有効であると判断できる。
　なお、改善未了のまま放置されると「運用上の不備」と判断することになる。

続きは本紙でご覧下さい。

南成人氏
1985年立命館大学経済学部卒業。東京北斗監査法人で監査や株式公開指導、内部統制導入支援に従事。最近では、BPRで培ったノウハウを背景に、企業の日本版SOX法対応の支援を主業務として活躍。2002年チャールズウェインコンサルティング株式会社設立代表取締役、2004年日本公認会計士協会監査基準委員会委員を務める。1986年からTAC株式会社公認会計士試験講座講師を務めている。

■図表1 整備状況を評価するロジックツリー

■図表2 現状の支払い処理プロセス【高リスク：赤信号】

■図表3 虚偽表示リスクの程度と信号機表示

■図表4 改善後の支払処理プロセス【中リスク：黄信号】

■図表5 運用状況を評価するロジックツリー
務機能のマッピング

【SOX法解体新書】日本版SOX法を読み解く

・第4回　業務プロセスレベルの内部統制の可視化と評価　【Vol.30】

・第3回　評価範囲の決定・文書化　【Vol.29】

・第2回　全社レベル統制の可視化・評価　【Vol.28】

・第1回　日本版SOX法をめぐる最新動向とその対応　【Vol.27】

本紙の購読申込み・お問合せはこちらから