一方、研究のテーマとしては2年目以降を睨んだ「After J-SOX」が話題に上がっている。

即ち、日本版SOX法（J-SOX）対応後の企業経営を考える非営利団体「After J-SOX研究会」が昨年11月26日、発足した。

After J-SOX研究会が発足、「内部統制の次の一手は連結経営」

これは、現在、上場企業やその連結子会社が整備・運用している内部統制を、「企業価値向上としてとらえるための施策を研究する」（アビームコンサルティングの永井孝一郎プリンシパル）のが狙いだ。連結経営やERM（エンタープライズ・リスク・マネジメント）を研究テーマに掲げている。  

以下に、最近まで、掲載された【After J-SOX ～ 真の「企業価値向上」を考える】シリーズ を紹介する。 　　　

　　　第5回 J-SOX対応の運用効率化とコスト削減を考える

　　　第4回 「内部統制成熟度モデル」を提案する

　　　第3回 「企業価値を高める」とはどういうことか

　　　第2回 After J-SOXを模索する企業の意識と課題

　　　第1回 J-SOX対応を企業価値向上の契機に

2007年２月１５日に金融庁から発表された、「財務報告に係る内部統制の評価及び監査の基準及び同実施基準」に照らして貴社の内部統制の整備状況、運用状況の有効性を診断・評価し、不備（特に初年度における重大な欠陥）の是正をご支援します。

２．サービスの目的
　現状の、財務報告に係るＩＴ統制を診断することにより、不備とリスクの程度明らかにし、貴社が、不備の是正を効率的に行なえるようにします。

（貴社のメリットの例）
・一般にブラックボックスになりがちなＩＴ統制を主な対象とした評価により、財務報告に係る内部統制上の不備やリスクの程度を知ることができます。
・課題の優先度と必要なコントロールが明確になるので、貴社による内部統制整備･運用改善を効率的に行なうことができます。

３．内部統制評価の範囲と評価の視点
(1)ＩＴ全社的統制
　IT全社的統制は、経営レベルでの「ＩＴへの対応」です。

　日本版ＳＯＸ法(内部統制フレームワーク)の６つの基本的要素の内、「ＩＴへの対応」を中心に企業全体のＩＴに係る方針･計画･手続等の状況を調査し評価します。
　　
(2)IT全般統制　
　IT全般統制はIT基盤ごとのIT統制です。

　システム管理基準（経済産業省から公表されている追補判等）やＣＯＢＩＴforＳＯＸ（米国ガバナンス協会から公表されているチェックリスト ） 等をベースに評価します。
　　【実施基準における4つの統制項目の例示】
　　　①ITの開発、保守に係る管理（開発管理）
　　　②システムの運用･管理
　　　③内外からのアクセス管理等のシステムの安全性の確保
　　　④外部委託に関する契約の管理　
　　　　
(3)IT業務処理統制
　　財務報告に係る主要プロセス（販売、購買、固定資産、会計業務等)毎に以下の視点から評価します。
　　　①入力情報の完全性、正確性、正当性を確保する統制
　　　②例外処理（エラー）の修正と再処理
　　　③マスターデータの維持管理
　　　④システム利用に関する認証、捜査範囲などアクセスの管理　　　　

財務報告とIT統制の関係は以下を参照(画像クリックで拡大）

４．IT統制の評価手順
　IT全社的統制は、IT全般統制やIT業務処理統制の評価の前提となる評価対象業務の決定などに影響があり、全社的内部統制と一体で評価を行います。ここではIT全般統制からIT業務処理統制までの評価の一般的な手順を記載します。
①評価対象業務の利用する情報システムの把掘
　重要な業務プロセスが利用する情報システムについて、システムの機能の概要及びIT基盤の概要を整理、把握します。IT基盤としては、IT組織の構成、IT関連規程類、ハードウエア・OS・ネットワークの構成、外部委託の状況などがあります。各業務プロセスで使用するシステムの一覧や、システム間のデータの流れを明確にしたシステム関連図等を作成すると良いでしょう。
②財務報告への影響度評価と評価対象システムの決定
　把握した各情報システムが財務報告に与える影響の大きさを、システムが扱う財務データの金額、影響範囲、利用目的などから総合的に評価します。その評価結果から、重要な財務データに影響を与えるシステムを評価対象システムとして選定します。
③IT全般統制の評価（不備の検討と是正の可否）
　評価対象システムのIT全般統制の状況を文書化し、有効性を評価します。IT全般統制に不備があった場合には、不備が財務報告に与える影響度から重要性を評価し、重要性の高い不備の場合は是正が可能か否か検討します。
　IT全般統制の不備は、直ちに内部統制上の重要な欠陥とはなりませんが、IT業務処理統制の評価に影響があります。
④IT業務処理統制の評価
　IT業務処理統制は、業務プロセスにかかる内部統制の中で評価します。IT全般統制が有効な場合は、IT業務処理統制の有効性評価時にサンプル件数を少なくしたり、過去の評価結果を継続利用できることがあります。

 ５．IT統制の有効性の評価

以上を注意して、例えば従来の目玉焼きはゆで卵に、ドレッシング

はポン酢に切り替え、また野菜ジュースに頼るの止めた。

 

記

２．場所：大阪大学中之島センター講義室　　　　　　　　　

３．発表内容　

・テーマ　：「内部統制の有効性の評価(監査）と不備の是正」

・概要　　：Ｊ-SOX初年度における効率的評価（監査）方法の必要性について、

　　　　　　コンサルと監査の両方の経験から、事例を挙げて説明する

 １.　ＪーＳＯＸ制度の動向と各社の状況 

２．内部統制の有効性の評価方法　

３. 内部部統制の外部監査　

４．内部統制監査の特徴（システム監査と比較して）

５.効率的評価(監査）の必要性と経営者への助言

・発表者　：後藤 知久（兵法マネジメント塾　代表、会計システム専門監査人）　

・発表内容(例示）　　画像クリックで拡大します。

■効率的評価(監査）のためのＳＯＸ対応戦略

　　Ｊ－ＳＯＸによる規制環境の変化（民主導型から官主導型運営へ）に伴い、

外部監査人の立場は「企業との距離を置こうとする」ように大きく変わります。 

　 従って、外部監査人との関係をどのように保つかは、ＳＯＸ対応戦略

を練る上で極めて重要な鍵となります。 

外部監査人の立場を正しく理解･尊重し、彼らが納得しやすいような形

を意識してＳＯＸ対応業務を計画することが重要です。

なお、その際、Ｊ－ＳＯＸでは評価方針を決めて説明する責任は経営者側

にあることを忘れてはなりません。

　従って、経営者自らの知見で内部統制の評価範囲や、評価方法を検討し

外部監査人が納得できる合意点を積極的に求める

必要があります。例えば、評価範囲については、監

査側と経営者で左図（画像クリックで拡大）のような違い

があることを考慮して「経営者側の評価範囲」を検討する事がボタンを掛

け違わないために必須となります。

 故に兵は、彼を知り己を知れば、百戦殆う（あや）うからず。

　　　　　　　　　　　　　　　　･･･孫子<第三篇 謀攻> 

４月４日　　大阪の桜の名所　そめいよしのがほぼ満開の桜の宮、大川の川辺から、大阪城を撮った。桜の額縁の中にお城が浮かぶ情景である。

　　なお、桜の宮までは新大阪の事務所から自転車で３０分。よい運動になった。

４月１６日　同じく大阪の桜の名所である造幣局の通り抜け　に行ってきた。そめいよしのとは趣の違った様々な桜である。

今年の桜は１２５品種３７０本で、今年の花は「普賢象（ふげんぞう）」。

「普賢象」(クリックで拡大）は、室町時代から京都地方にある有名な桜で、花の中から葉化した二つの雌しべが突き出し、その先端が屈曲する。その状態が、普賢菩薩の乗る象の鼻に似ているので、この名が付けられた。花は淡紅色で、開花が進むにつれ白色となり、花弁数は２０～４０枚。

 とはいえ、まだまだIT全般統制の整備がスムーズに終わっていない、または監査人やコンサルから会社の実態に照らして非現実的な要求を突きつけられて途方にくれている会社も中にはあるのではないかと思います。

そんな中、日本公認会計士協会からIT委員会研究報告第31号「ＩＴ委員会報告第３号「財務諸表監査における情報技術（ＩＴ）を利用した情報システムに関する重要な虚偽表示リスクの評価及び評価したリスクに対応する監査人の手続について」Ｑ＆Ａ」の改訂版が公表されました。 

 無名の会計士さん」のプログに掲載された公開内容についての解説の冒頭文です。

以下の様にわかり易く解説にされています。

　これはあくまで財務諸表監査において監査人がITに係る統制リスクを評価する場合に適用される考え方ではありますが、J-SoXにおいて経営者がIT全般統制をどこまで整備すれば有効といえるのかを考える際に参考になるものと思われます。不慣れな会計士がチェックリストで機械的に「IT全般統制の不備」として扱おうとした場合に、会社の実態を考えた場合に経営者としてどのように対処すべきかという点からも参考になります。

特筆すべきは、「全般統制に不備がある場合の取扱いの考え方の例示」が示された点です。

冒頭で、「全般統制に不備があるとして指摘をする際には、そのシステムの状況や実際に財務諸表の数値にどのような影響があるかを考慮して意見を述べることが肝要です。」と述べています。経営者がIT全般統制の評価を行う場合にも、同じことがいえると思います。

 　この、公表結果について私がよく参照している、無名の公認会計士さんのプログ「XBRLと内部統制、J-SoX」にコメントされています。公表内容よりこのコメント内容が参考になります。

http://bcj.way-nifty.com/xbrl/

 ちなみに、11項目とは以下のことです。

　　６．監査人等の指摘には必ず従うべきか　

　　７．監査コストは倍増するのか　　

　　８．非上場の取引先も内部統制の整備が必要か

●業務プロセスの統制活動の評価は2通り
　経営者は3点セットで整理した統制活動が、リスクを低減させるために有効かどうかを評価しなければなりません。評価は2つの視点から行われます。
　一つは、3点セットで整理した統制活動が、リスクを低減するために十分か（整備状況の評価）という切り口です。
　そして、もう一つは、実際の業務が、3点セットで整理された通りに行われ、内部統制が有効に機能しているか（運用状況の評価）という切り口です。

  まず、整備状況の有効性を評価した後、運用状況の評価へと進みます。

●整備状況の評価
　整備状況の評価は、主に3点セットを元に行います。　3点セットでは、リスクに対する統制活動が整理されていますが、そのリスクに対する統制が十分であるかという観点で行います。
　たとえば、「ミスや不正を発見、防止する仕組みはあるか？」「適切な業務分掌が行われているか？」という観点でチェックを行い、不十分な場合には、業務手順の見直しが必要となります。

●運用状況の評価
　運用状況の評価は、それぞれの業務が行われている現場で行います。ただし、すべての拠点のすべての業務プロセスに対して連用状況の評価を行うことは困難であることから、サンプリングでの評価を行うことになります。日常的に行われている業務については、25件から30件の抜き取り検査を行ってエラーがなければ、十分に信頼し得る状況にあるとされています。

●評価にあたっての準備
　評価を行うためには、下記のような書式で、どのようなテストを行うかを事前に準備し、内部統制が有効　であると判断するための基準をあらかじめ決めておく必要があります。もちろん、評価を行った結果は記録し、監査に向けて保管が必要です。

１．ITに係る業務処理統制の種類
　一般的にITに係る業務処理統制には，コンピュータ・プログラムに組み込まれて自動化されている内部統制と人手とコンピュータ処理が一体となって機能している内部統制があります。
　人手とコンピュータ処理が一体となって機能している内部統制の代表的なものとして，アンマッチリストなどの重要な例外レポートをコンピュータが生成し，統制の担当者が当該レポートを利用して統制活動を行っているといったものがあげられます。
　一方，コンピュータ・プログラムに組み込まれて自動化されている内部統制の代表的なものとして，次のようなものがあげられます。

  http://www.visaemon.jp/
外国人の各種在留資格取得・帰化申請・永住申請、国際結婚・就職等はおまかせください