内部統制｜システム監査技術者試験

統制がどの層で、何を確かめるために効くか

金融庁の基準は、内部統制の目的を業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の四つとし、基本的要素を統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の六つとしています。統制環境は組織構造や慣行など他の要素の土台で、統制活動は経営者の命令や指示が適切に実行されるよう定める方針と手続です。

ITへの対応は、IT環境への対応と、ITの利用及び統制からなります。IT統制は全社的な統制、全般統制、業務処理統制に分けられます。全般統制は業務処理統制が働く環境を支えるもので、開発・保守、運用・管理、アクセス管理、外部委託契約の管理などが当たります。業務処理統制は個々の業務に組み込まれ、承認されたデータが漏れなく正確に処理されることを確保するもので、入力チェックやエラーデータの修正と再処理が当たります。

網羅性を確かめる統制には、取引データに連番を付けた入力後の連番チェックや、入力結果を出力して原票と照合するプルーフリストがあります。結果を事後に検証するなら、売掛債権回転期間の前年比較のように数値の動きから異常を探します。職務の分離は、開発担当者が運用のオペレータを兼ねないように、一人で不正や誤りを完結できない形にすることです。

自動化された業務処理統制は、全般統制が有効であれば一度組み込んだとおりに動き続けると見込めるため、評価の負担を減らせます。業務を外部に委託しているときは、受託会社の内部統制について受託会社の監査人が保証報告書を作り、システムに関する記述書と確認書は受託会社が作成します。

役割の分担として、業務部門が第1線、リスク管理部門が第2線、内部監査部門が第3線を担う3線モデルがあります。内部統制には、判断の誤りや共謀、想定外の環境の変化、経営者による無視といった固有の限界があります。システム管理基準（平成30年）はITガバナンスを評価・指示・モニタのEDMモデルで説明し、責任、戦略、取得、パフォーマンス、適合、人間行動の六原則を示しています。現在のシステム管理基準は2023年に改訂されています。