audit-readiness

SOX 404 テストのライフサイクル

エンドツーエンドのフェーズ

1. スコーピング： 十分なリスクがあり、統制の対象とする必要がある勘定科目とプロセスを特定します
2. リスク評価： スコープに含まれる各勘定科目について、潜在的な虚偽表示の発生可能性と影響の大きさを評価します
3. 統制の対応付け： 特定した各リスクを軽減する具体的な統制を文書化します
4. 有効性テスト： 統制が適切に設計されているか（デザイン）と、一貫して実施されているか（運用）を評価します
5. 不備の評価： テストで判明した統制上の不備の重大度を判断します
6. 経営陣への報告： ICFR の総合評価を正式にまとめ、重要な不備があれば開示します

対象範囲に含める勘定科目の決定

単独または他の要因との組み合わせにより重要となる虚偽表示が含まれる可能性が無視できない勘定科目は、対象範囲に含めます。

規模に基づく指標：

• 残高が、売上高、資産、税引前利益などの基準値に対する定量的な重要性の基準（一般に 3～5％）を超えている
• 取引量が多く、統計的に誤りが発生する可能性が高い
• 残高が見積もりや経営陣の判断に大きく依存している

リスクに基づく指標：

• 会計処理が本質的に複雑である（複数要素の収益契約、デリバティブ商品、年金債務）
• 当該勘定科目が不正の対象になりやすい（現金、収益、関連当事者との取引）
• 過去の監査修正や過年度の財務諸表の修正再表示が当該勘定科目に影響している
• 重要な経営陣の見積もりや主観的な前提が残高の基礎となっている
• 当該勘定科目またはプロセスが新規である、もしくは重要な変更が行われている

勘定科目カテゴリー別の財務諸表アサーション

勘定科目カテゴリー	主に対応するアサーション
収益	発生、網羅性、測定、期間帰属
売掛金	実在性、評価（貸倒引当金の十分性）、権利の帰属
棚卸資産	実在性、評価、網羅性
有形固定資産	実在性、評価、網羅性、権利の帰属
買掛金	網羅性、測定、実在性
未払債務	網羅性、評価、測定
株主資本	網羅性、測定、表示
決算および報告プロセス	表示、測定、網羅性

デザインの有効性と運用の有効性

デザインの有効性では、対象となるアサーションにおける重要な虚偽表示を検知または顕在化できるように統制が設計されているかを確認します。

• エンドツーエンドのウォークスルーを通じて評価します（代表的な取引をプロセス全体にわたって追跡します）
• 統制がプロセス内の適切な段階に配置されていることを確認します
• 統制が特定のリスクに直接対応していることを確認します
• 少なくとも年次で、またはプロセスに変更があった場合に再評価します

運用の有効性では、レビュー対象期間の全体を通じて、統制が実際に意図どおり機能したかを確認します。

• 閲覧、観察、再計算、または（裏付けを伴う）質問によって評価します
• 信頼できる結論を裏付けるのに十分なサンプルサイズが必要です
• 依拠する期間全体を網羅する必要があります（特定の時点のみでは不十分です）

サンプリング手法

統計的無作為抽出

適用対象： 取引量の多い取引レベルの統制に対する標準的なアプローチです。

手順：

1. 母集団を定義します。テスト期間中に統制の対象となったすべての取引です
2. 母集団の各項目に連番を割り当てます
3. 乱数生成器を使用してサンプルを抽出します
4. すべての項目の抽出確率が等しく、特定の項目が体系的に除外されていないことを確認します

利点： 統計的に妥当性を説明でき、選択バイアスがありません
制約： 高リスクの外れ値を捉えられない可能性があり、母集団全体の一覧が必要です

リスク指向（判断的）サンプリング

適用範囲： リスク特性が高い項目を対象にすることで無作為サンプリングを補完します。小規模または不均質な母集団では、主な方法として使用します。

選定基準：

• 定められた金額基準を超える取引
• 非典型的または標準外の記録
• 期間境界付近の活動（カットオフのリスク）
• 関連当事者との取引
• 手動での上書き、または例外処理された項目
• 新規の仕入先または顧客

長所： 最もリスクの高い項目にテストの労力を集中できます
制約： 統計的な代表性はなく、選定理由を記録する必要があります

非構造化（場当たり的）サンプリング

適用範囲： 番号が付された母集団を利用できず、項目が比較的均質な状況です。

手順：

1. 意図的なパターンを設けずに項目を選びます
2. 選定項目をテスト期間全体に分散させます
3. 無意識の傾向（リストの上位や切りのよい数字に偏るなど）を防ぎます

長所： 簡単で、ツールを必要としません
制約： 統計的に有効ではなく、意図しない偏りが生じやすい方法です

間隔ベース（系統的）サンプリング

適用範囲： 期間全体を均等にカバーしたい場合の、順序のある母集団です。

手順：

1. 選定間隔を計算します。母集団の総数を目標サンプル数で割ります
2. 最初の間隔内でランダムな開始点を選びます
3. その開始点から、N 番目ごとの項目を選定します

例： 1,000 件の母集団から 25 件をサンプリングする場合、間隔は 40 です。ランダムな開始点を 12 件目とすると、選定項目は 12、52、92、132 …となります。

長所： 母集団全体にわたって均等に分布することを保証します
制約： データに周期的なパターンがあると、結果に偏りが生じる可能性があります

サンプルサイズの参考表

統制の頻度	おおよその母集団数	低リスクのサンプル	中リスクのサンプル	高リスクのサンプル
年次	1	1	1	1
四半期	4	2	2	3
月次	12	2	3	4
週次	~52	5	8	15
日次	~250	20	30	40
取引ごと（250 未満）	< 250	20	30	40
取引ごと（250 以上）	250+	25	40	60

サンプル数を増やすべき条件：

• 勘定またはプロセスの固有リスクが高い
• 重大なリスクに対する唯一の防護策として統制が機能している（代替となる統制がない）
• 前回のテストサイクルで不備が指摘されている
• 統制が新たに導入され、過去にテストされていない
• 外部監査人が経営者によるテスト結果に依拠する予定である

ワークペーパーと証拠の基準

必須のワークペーパー項目

1. 統制の概要：

   • 一意の統制識別子
   • 説明文（誰が何をどの頻度で行うか）
   • 分類（手動、自動化、IT 依存の手動）
   • 実施頻度
   • 対象となるリスクとアサーション

2. テスト計画：

   • テストの目的
   • 詳細な手続き
   • 統制が機能している場合に期待される証拠の説明
   • サンプリング方法と選択した方法の理由

3. 実施記録：

   • 母集団の説明と総数
   • 選定したサンプル項目（方法と具体的な識別子）
   • 項目ごとの結果（合格／不合格、および確認した具体的な証拠）
   • 観察された例外すべての詳細な説明

4. 全体的な結論：

   • 有効性の評価（有効／不備／重大な不備／重要な欠陥）
   • 結論を裏付ける根拠
   • 例外がある場合の重要性評価
   • 該当する場合、評価した補完的統制

5. 説明責任：

   • テスターの署名と日付
   • レビュー担当者の署名と日付

十分な証拠とは

許容されるもの：

• 適用されている統制や設定を捉えたシステムのスクリーンショット
• 署名、イニシャル、または電子承認印がある文書
• 承認者を特定でき、日付が明確なメールのやり取り
• 実行者、操作、タイムスタンプを記録したアプリケーションの監査ログ
• 記録された結果を再現できる独立した再計算
• 日付、場所、観察者を明記した書面による観察記録

単独では不十分なもの：

• 裏付けのない口頭での説明
• 日付のない文書
• 実行者または承認者を特定できない証拠
• 日付／時刻のメタデータがない、システム生成の出力
• 裏付けとなる文書がない、「[name] との会話による」と記載されたメモ

ファイル整理の規則

ICFR Testing/
  [Fiscal Year]/
    Scoping & Risk Assessment/
    Revenue Process/
      Control Matrix
      Walkthrough Narrative
      Individual Test Workpapers
      Evidence Attachments
    Purchase-to-Pay Process/
    Payroll Process/
    Financial Close Process/
    Treasury Process/
    Capital Assets Process/
    IT General Controls/
    Organization-Level Controls/
    Aggregation & Conclusions/
      Deficiency Evaluation Workpaper
      Management ICFR Assessment

不備の重大度の枠組み

軽微な不備

統制の設計または実施が、担当者の日常的な職務の遂行において、虚偽記載を防止または検出できない場合に、ギャップが存在します。

評価の観点：

• このギャップによって虚偽記載が生じる可能性はどの程度ですか？
• その結果として生じる虚偽記載の規模はどの程度になり得ますか？
• 補完的な統制によって、残存リスクは低減されますか？

重要な不備

重要な弱点ほど重大ではないものの、ガバナンス機関の注意を要するほど重大な不備（または複数の不備）です。

主な特徴：

• 軽微を超えるものの、重要性のある虚偽記載には至らない虚偽記載を引き起こす可能性がある
• 重要な虚偽記載が発生する確率が、ほとんどない水準を上回るが、合理的に起こり得る水準には達しない
• 補完的な措置ではギャップを完全に補えない、主要な統制に関わる
• 個別には軽微な複数のギャップが、総合すると実質的な懸念を生じさせる

重要な弱点

重要な財務諸表の虚偽記載が防止または検出されない合理的可能性を生じさせる不備（または複数の不備）です。

強い兆候：

• 金額の大小を問わない、上級経営陣による不正
• 重要な誤りを修正するため、過去に提出した財務諸表を修正再表示すること
• 企業自身の統制では発見できなかった重要な虚偽記載を監査人が発見すること
• 財務報告プロセスに対する監査委員会の監督が機能しないこと
• 全社レベルまたは IT 全般の広範な統制が機能せず、複数のサイクルに影響が及ぶこと

集約分析

個別には軽微なギャップでも、組み合わせると重大になる場合があります。

1. 同じプロセスまたはアサーションに影響するすべての不備を収集します
2. それらを合わせた影響によって、重要な虚偽記載が生じ得るかを評価します
3. 補完的な統制の弱点が、他のギャップを増幅させるかを検討します
4. 集約の判断根拠と、それに基づく重大度の分類を文書化します

是正プロトコル

特定されたギャップごとに、以下を実施します。

1. 根本原因の診断： 統制が機能しなかった理由を特定します（設計上の欠陥、実行上の不備、リソースの制約、トレーニングの不足、システムの制限）
2. 是正措置計画： 有効性を回復するための具体的な手順を定義します（再設計、人員の追加、トレーニングの強化、システム設定の変更、レビュー段階の追加）
3. 目標完了日： 現実的でありながら、確実に守れる期限を設定します
4. 責任者： 実施責任を負う担当者を氏名で指定します
5. 検証手順： 是正した統制が有効に機能していることを確認するため、再テストの方法と時期を定めます

統制の分類

IT全般統制（ITGC）

アプリケーション統制と自動化プロセスが確実に機能するようにする、インフラレベルの統制です。

論理アクセスのガバナンス：

• 新規ユーザーのプロビジョニングには、実施前の承認記録が必要です
• 退職者のアカウントは、定められたSLA内に無効化されます
• 特権アクセス／管理者アクセスは制限され、強化された監視の対象となります
• 定期的な再認証レビューにより、アクセス権が引き続き適切であることを確認します
• パスワード基準では、複雑さ、変更頻度、ロックアウトのしきい値を定めます
• ロールベースのアクセス設計により、相反する職務が体系的に防止されます

変更ガバナンス：

• すべての変更要求は、デプロイ前に記録され、承認されます
• 変更は本番環境への反映前に、非本番環境で検証されます
• 開発環境と本番環境は、論理的または物理的に分離されています
• 緊急変更には、定められた迅速な手順が適用され、実施後に承認されます
• デプロイ後のレビューにより、変更が意図どおりに動作することを確認します

運用継続性：

• 自動ジョブスケジュールは監視され、例外発生時にはアラートが通知されます
• バックアップはスケジュールどおりに実行され、復旧手順は定期的にテストされます
• システムの稼働時間とパフォーマンスは、定められたSLAに照らして追跡されます
• インシデント対応とエスカレーションの手順が文書化され、訓練されています
• 災害復旧計画は維持され、定められた間隔でテストされます

手動（人が実施する）統制

通常、レビュー、承認、検証の作業を伴い、個人の判断に依存する統制です。

代表的な統制：

• 経営陣による財務結果と業務指標のレビュー
• 一定金額を超える仕訳に対する監督者の承認
• 発注書、入荷記録、仕入先請求書の三点照合
• 勘定照合の作成と独立したレビュー
• 在庫の実地確認と棚卸し
• 仕入先または顧客のマスターデータ変更の承認
• 新規顧客または取引拡大時の与信限度額の承認

テスト時に確認する属性：

• 適切な権限を持つ担当者が統制を実施したこと
• 定められた期間内に実施されたこと
• レビューの確認可能な証跡（署名、イニシャル、システム上の記録、メール）があること
• レビュアーが十分な裏付け情報にアクセスできたこと
• 特定された例外が調査され、適切に解決されたこと

自動化（システムによって強制される）統制

人の介在なしに実行される、アプリケーションロジックに組み込まれた統制です。

代表的な統制：

• 必要な承認がない場合に処理の進行をブロックするワークフローエンジン
• 発注書、入荷記録、請求書が一致しない場合に支払いを保留する自動三点照合
• 重複請求書の提出を検出し、フラグを付ける、または拒否するアルゴリズム
• 承認済みのしきい値を超える注文入力を防止する与信限度額の適用
• 減価償却、償却、利息、税額のシステム計算
• 相反する権限をユーザーが同時に保有できないようにする、ロールベースのアクセス設定
• フィールドレベルの入力検証（必須項目、書式マスク、範囲制約）
• 照合モジュール内での取引の自動照合

テスト方法：

• システム設定が規定どおりに統制を強制することを確認します（設計テスト）
• 設定に変更がない場合、変更管理に関するITGCも有効であることを条件に、通常は1回のテスト成功で期間中の運用有効性を確認できます
• 期間中に設定が変更された場合は、変更後に再テストします

IT 依存型の手動統制

システムが生成するデータの完全性と正確性に依存する、手動によるレビューまたは承認活動です。

代表的な統制：

• システム生成の例外レポートまたは外れ値レポートに対する経営陣のレビュー
• システム生成の滞留期間分析に基づく引当金の見積もり
• システムから抽出された試算表データを使用して実施する勘定照合
• システム生成のワークフロー通知を契機とする取引の承認

テストアプローチ：

• 人的要素をテストします（レビューの質、例外へのフォローアップ、承認の証跡）
• 企業が作成した情報（IPE）を別途検証し、基礎となるレポートまたはデータ抽出が完全かつ正確であることを確認します
• IPE テストにより、レビュー担当者の結論が信頼できるインプットに基づいていることを確認します

組織レベルの統制

統制フレームワーク全体の方針と運用環境を定める、広範なガバナンスの仕組みです。

代表的な統制：

• 経営陣の姿勢と倫理基準（行動規範、リーダーシップからのメッセージ）
• 全社的なリスク評価プロセス
• 外部報告および内部報告に対する監査委員会の監督
• 内部監査の規程、範囲、活動
• 不正リスク評価および不正防止プログラム
• 倫理ホットライン／内部通報制度
• 経営陣による統制状況の継続的なモニタリング
• 財務報告に関する能力基準（採用資格、継続教育）
• 期末報告手続き（決算ガバナンス、GAAP 準拠のチェックポイント）

評価における重要性：

• 組織レベルの統制はプロセスレベルの統制を補完できますが、一般に代替することはできません
• トップの姿勢や監査委員会の監督における不備は、重要な不備を示す有力な指標です
• 組織レベルの統制が堅牢であれば、プロセスレベルでのサンプルサイズの縮小や範囲の限定が正当化される場合があります