audit-support

監査支援

重要：このスキルはSOXコンプライアンスのワークフローを支援するものであり、監査や法的助言を提供するものではありません。すべてのテスト調書と評価は、資格を有する財務専門家がレビューする必要があります。「重要性」と「金額的重要性」は状況に応じた概念であり、最終的には監査人が評価するものですが、このスキルは、効果的な内部統制と監査用文書の作成および評価を専門家が行う際に支援することを目的としています。

SOX 404の統制テスト手法、サンプル選定の方法、テスト文書の基準、統制上の不備の分類、一般的な統制の種類について説明します。

SOX 404の統制テスト手法

概要

SOX法404条は、経営陣に財務報告に係る内部統制（ICFR）の有効性を評価するよう求めています。これには次の作業が含まれます。

1. スコープ設定： 重要な勘定科目と関連するアサーションを特定します
2. リスク評価： 重要な勘定科目ごとに、重要な虚偽表示のリスクを評価します
3. 統制の特定： 各リスクに対応する統制を文書化します
4. テスト： 主要な統制の整備状況と運用状況の有効性をテストします
5. 評価： 不備の有無とその深刻度を評価します
6. 報告： 評価結果と重大な不備を文書化します

重要な勘定科目のスコープ設定

個別または集計して重要となる虚偽表示が含まれる可能性が、ごくわずかとはいえない場合、その勘定科目は重要です。

定量的要因：

• 勘定残高が重要性の基準値を超えている（通常、主要なベンチマークの3～5％）
• 取引量が多く、誤りのリスクが高まっている
• 勘定科目に重要な見積りや判断が伴う

定性的要因：

• 勘定科目に複雑な会計処理が伴う（収益認識、デリバティブ、年金）
• 勘定科目が不正の影響を受けやすい（現金、収益、関連当事者取引）
• 過去に勘定科目で虚偽表示や監査修正が発生している
• 勘定科目に重要な経営者の判断や見積りが伴う
• 新しい勘定科目、またはプロセスが大幅に変更されている

勘定科目の種類ごとの関連するアサーション

勘定科目の種類	主要なアサーション
収益	発生、網羅性、正確性、期間帰属
売掛金	実在性、評価（貸倒引当金）、権利
棚卸資産	実在性、評価、網羅性
固定資産	実在性、評価、網羅性、権利
買掛金	網羅性、正確性、実在性
未払負債	網羅性、評価、正確性
資本	網羅性、正確性、表示
決算・財務報告	表示、正確性、網羅性

整備状況の有効性と運用状況の有効性

整備状況の有効性： 関連するアサーションにおける重要な虚偽表示を防止または発見できるよう、統制が適切に設計されていますか？

• ウォークスルー（取引をプロセス全体にわたって追跡）で評価します
• 統制がプロセス内の適切な時点に設けられていることを確認します
• 特定されたリスクに統制が対応していることを確認します
• 少なくとも年次で、またはプロセスの変更時に実施します

運用状況の有効性： テスト対象期間を通じて、統制は実際に設計どおりに運用されましたか？

• テスト（証憑の閲覧、観察、再実施、質問）で評価します
• 結論を裏付けるのに十分なサンプル数が必要です
• 依拠する全期間を対象とする必要があります

サンプル選定の方法

無作為抽出

使用する場合： 母集団が大きい取引レベルの統制における標準的な方法です。

方法：

1. 母集団（対象期間中に統制の対象となるすべての取引）を定義します
2. 母集団内の各項目に連番を付けます
3. 乱数生成器を使用してサンプル項目を選定します
4. 選定に偏りがないことを確認します（すべての項目が等しい確率で選ばれる）

利点： 統計的に妥当で、根拠を示しやすく、選定バイアスがありません
欠点： 高リスク項目を見落とす可能性があり、母集団の完全な一覧が必要です

対象を絞った（判断による）選定

使用する場面： リスクベースのテストにおける無作為抽出の補完として使用します。母集団が小さい場合や、ばらつきが大きい場合の主要な方法です。

方法：

1. 特定のリスク特性を持つ項目を特定します。
   • 金額が大きい（定義済みのしきい値を超える）
   • 通常とは異なる、または標準的でない取引
   • 期末の取引（期間帰属のリスク）
   • 関連当事者との取引
   • 手動または上書きによる取引
   • 新規のベンダーまたは顧客との取引
2. リスク基準に該当する項目を選定します。
3. 対象を絞って選定した項目ごとに、その理由を文書化します。

利点： 最もリスクの高い項目に重点を置き、テスト作業を効率的に活用できます。 欠点： 統計的な代表性がなく、特定のリスクが過剰に代表される可能性があります。

無計画抽出

使用する場面： 無作為抽出が実務上困難（母集団が連番で一覧化されていない）で、母集団が比較的均質な場合に使用します。

方法：

1. 特定のパターンや偏りを設けずに項目を選定します。
2. 選定項目が母集団の対象期間全体にわたるようにします。
3. 無意識の偏りを避けます（常に先頭の項目や切りのよい数字の項目を選ばないなど）。

利点： 簡単で、テクノロジーも必要ありません。 欠点： 統計的に妥当ではなく、無意識の偏りが生じやすい方法です。

系統抽出

使用する場面： 母集団が連番になっていて、期間全体を均等にカバーしたい場合に使用します。

方法：

1. 抽出間隔を計算します：母集団のサイズ / サンプルサイズ
2. 最初の間隔内で開始位置を無作為に選びます。
3. 開始位置からN項目ごとに選定します。

例： 母集団が1,000件、サンプルが25件の場合 → 間隔は40です。無作為に選んだ開始位置が17番目の場合、17、57、97、137番目の項目などを選定します。

利点： 母集団全体を均等にカバーでき、実施も簡単です。 欠点： 母集団に周期的なパターンがある場合、結果に偏りが生じる可能性があります。

サンプルサイズの目安

統制の頻度	想定される母集団	低リスクのサンプル	中リスクのサンプル	高リスクのサンプル
年次	1	1	1	1
四半期ごと	4	2	2	3
月次	12	2	3	4
週次	52	5	8	15
日次	~250	20	30	40
取引ごと（母集団が小規模）	< 250	20	30	40
取引ごと（母集団が大規模）	250+	25	40	60

サンプルサイズを増やす要因：

• 勘定科目またはプロセス固有のリスクが高い
• 重要なリスクに対処する統制がこれのみである（代替となる統制がない）
• 前期に統制上の不備が特定された
• 新しい統制である（前期にはテストしていない）
• 外部監査人が経営者によるテストに依拠する

テスト文書化の基準

ワークペーパーの要件

すべての統制テストについて、以下を文書化します。

1. 統制の特定：

   • 統制番号／ID
   • 統制の説明（何を、誰が、どのくらいの頻度で実施するか）
   • 統制の種類（手動、自動化、IT依存の手動）
   • 統制の頻度
   • 対応するリスクとアサーション

2. テストの設計：

   • テストの目的（確認しようとしていること）
   • テスト手順（段階ごとの手順）
   • 期待する証拠（統制が有効な場合に確認できると想定されるもの）
   • サンプルの選定方法とその理由

3. テストの実施：

   • 母集団の説明とサイズ
   • サンプル選定の詳細（方法、選定項目）
   • サンプル項目ごとの結果（合格／不合格、および確認した具体的な証拠）
   • 例外の詳細な説明

4. 結論：

   • 全体評価（有効／不備／重大な不備／重要な弱点）
   • 結論の根拠
   • 例外がある場合の影響評価
   • 補完的な統制の検討（該当する場合）

5. 承認：

   • テスターの氏名と日付
   • レビュー担当者の氏名と日付

証拠の基準

十分な証拠には、次のものが含まれます。

• システムによって適用される統制を示すスクリーンショット
• 署名またはイニシャルが記載された承認文書
• 承認者と日付を特定できるメールによる承認
• 誰がいつ操作を実行したかを示すシステム監査ログ
• 結果が一致する再実施済みの計算
• 観察記録（日付、場所、観察者を記載）

不十分な証拠：

• 口頭での確認のみ（裏付けが必要です）
• 日付のない文書
• 実行者または承認者を特定できない証拠
• 日時が記録されていない汎用的なシステムレポート
• 裏付け文書のない「［氏名］との協議による」

作業調書の整理

統制領域ごとにテストファイルを整理します。

SOX Testing/
├── [Year]/
│   ├── Scoping and Risk Assessment/
│   ├── Revenue Cycle/
│   │   ├── Control Matrix
│   │   ├── Walkthrough Documentation
│   │   ├── Test Workpapers (one per control)
│   │   └── Supporting Evidence
│   ├── Procure to Pay/
│   ├── Payroll/
│   ├── Financial Close/
│   ├── Treasury/
│   ├── Fixed Assets/
│   ├── IT General Controls/
│   ├── Entity Level Controls/
│   └── Summary and Conclusions/
│       ├── Deficiency Evaluation
│       └── Management Assessment

統制上の不備の分類

不備

内部統制の設計または運用によって、経営者または従業員が割り当てられた職務を通常どおり遂行する過程で、虚偽表示を適時に防止または発見できない場合、内部統制に不備が存在します。

評価要素：

• 統制の失敗によって虚偽表示が生じる可能性はどの程度ですか？
• 想定される虚偽表示の金額的重要性はどの程度ですか？
• 不備を軽減する補完的な統制はありますか？

重要な不備

不備、または複数の不備の組み合わせのうち、重要な欠陥ほど深刻ではないものの、ガバナンスに責任を負う者が注意を払う必要があるものです。

指標：

• 不備によって、軽微とはいえないものの重要性には至らない虚偽表示が生じる可能性がある
• 重要な虚偽表示が生じる可能性が、極めて低いとはいえないものの、合理的に起こり得るほど高くはない
• 当該統制が主要な統制であり、補完的な統制によって不備が完全には軽減されていない
• 個々には軽微な不備が組み合わさり、重大な懸念となっている

重要な欠陥

不備、または複数の不備の組み合わせにより、財務諸表の重要な虚偽表示が適時に防止または発見されない合理的な可能性がある状態です。

指標：

• 上級経営陣による不正の発見（金額の大小を問わない）
• 重要な誤りを訂正するため、以前に発行した財務諸表を修正再表示した
• 会社の統制では発見できなかった重要な虚偽表示を監査人が発見した
• 監査委員会による財務報告の監督が有効に機能していない
• 複数のプロセスに影響する広範な統制（エンティティレベルの統制、IT全般統制）の不備

不備の集約

個々には重要でない不備も、組み合わせることで重要になる場合があります。

1. 同じプロセス内、または同じアサーションに影響するすべての不備を特定します
2. 組み合わせた影響によって重要な虚偽表示が生じる可能性があるかを評価します
3. 補完的な統制の不備が、他の不備を悪化させていないかを検討します
4. 集約分析と結論を文書化します

是正

特定された不備ごとに、次の対応を行います。

1. 根本原因の分析： なぜ統制が機能しなかったのでしょうか？（設計上の不備、実施上の失敗、人員配置、トレーニング、システムの問題）
2. 是正計画： 統制を修正するための具体的な措置（再設計、追加トレーニング、システムの機能強化、レビューの追加）
3. タイムライン： 是正完了の目標日
4. 責任者： 是正の実施責任者
5. 検証： 有効性を確認するため、是正後の統制をどのように、いつ再テストするか

一般的な統制の種類

IT 全般統制（ITGC）

アプリケーション統制と自動化されたプロセスが確実に機能するよう支援する、IT 環境に対する統制です。

アクセス統制：

• ユーザーアクセスのプロビジョニング（新規アクセス要求には承認が必要）
• ユーザーアクセスの削除（退職したユーザーのアクセスを適時に削除）
• 特権アクセス管理（管理者／スーパーユーザーのアクセスを制限し、監視）
• 定期的なアクセスレビュー（定められたスケジュールでユーザーアクセスを再認証）
• パスワードポリシー（複雑さ、変更周期、ロックアウト）
• 職務分掌の徹底（相反するアクセスを防止）

変更管理：

• 変更要求を文書化し、実装前に承認
• 本番環境へ反映する前に、非本番環境で変更をテスト
• 開発環境と本番環境を分離
• 緊急変更手順（文書化し、実装後に承認）
• 変更のレビューと実装後の検証

IT 運用：

• バッチジョブの監視と例外処理
• バックアップおよび復旧手順（定期的なバックアップと、復元テスト）
• システムの可用性とパフォーマンスの監視
• インシデント管理とエスカレーション手順
• 災害復旧計画とテスト

手動統制

通常、レビューと承認を伴い、判断に基づいて人が実施する統制です。

例：

• 経営陣による財務諸表と主要指標のレビュー
• 閾値を超える仕訳の上長承認
• 三点照合の検証（発注書、受領記録、請求書）
• 勘定照合の作成とレビュー
• 実地棚卸の立会いと数量確認
• 仕入先マスターデータの変更承認
• 顧客の与信承認

テストする主な属性：

• 適切な権限を持つ担当者が統制を実施しましたか？
• 必要な期間内に適時に実施されましたか？
• レビューの証跡（署名、イニシャル、メール、システムログ）はありますか？
• 効果的なレビューを実施するために、レビュー担当者は十分な情報を得ていましたか？
• 例外は特定され、適切に対処されましたか？

自動化された統制

人の介入なしに IT システムによって適用される統制です。

例：

• システムで適用される承認ワークフロー（必要な承認がなければ処理を進められない）
• 三点照合の自動化（発注書、受領記録、請求書が一致しない場合、システムが支払いをブロック）
• 重複支払いの検出（重複請求書をシステムが警告またはブロック）
• 与信限度額の適用（与信限度額を超える注文をシステムが防止）
• 自動計算（減価償却、償却、利息、税金）
• システムで適用される職務分掌（相反する役割を防止）
• 入力検証統制（必須フィールド、形式チェック、範囲チェック）
• 照合の自動マッチング

テストアプローチ：

• 設計のテスト：システム設定により、意図したとおりに統制が適用されることを確認します
• 運用有効性のテスト：自動化された統制では、システム設定に変更がなければ、通常、期間中の統制テストは 1 回で十分です（変更管理の ITGC テストで補完します）
• 変更管理の ITGC が有効であることを検証します（システムが変更された場合は、統制を再テストします）

IT 依存の手動統制

システム生成情報の完全性と正確性に依存する手動統制です。

例：

• 経営陣によるシステム生成例外レポートのレビュー
• 引当金を評価するための、システム生成の滞留期間レポートの上長レビュー
• システム生成試算表データを使用した照合
• システム生成ワークフローで特定された取引の承認

テストアプローチ：

• 手動統制をテストします（レビュー、承認、例外へのフォローアップ）
• さらに、基礎となるレポート／データの完全性と正確性をテストします（IPE — Entity が作成した情報）
• IPE テストにより、レビュー担当者が依拠したデータの完全性と正確性を確認します

エンティティレベルの統制

組織レベルで機能し、複数のプロセスに影響する広範な統制です。

例：

• トップの姿勢／行動規範
• リスク評価プロセス
• 財務報告に対する監査委員会の監督
• 内部監査機能と活動
• 不正リスク評価と不正防止プログラム
• 内部通報／倫理ホットライン
• 統制の有効性に対する経営陣のモニタリング
• 財務報告に関する能力（人員配置、研修、資格）
• 期末の財務報告プロセス（決算手続き、GAAP準拠レビュー）

重要性：

• エンティティレベルの統制はリスクを軽減できますが、通常、プロセスレベルの統制に取って代わることはできません
• エンティティレベルの統制が有効でない場合（特に監査委員会の監督とトップの姿勢）、重大な弱点を示す強い兆候となります
• エンティティレベルの統制が有効であれば、プロセスレベルの統制に必要なテストの範囲を縮小できる場合があります