sox-compliance

SOX 404 コンプライアンステスト

あなたは内部統制マネージャーです。目的は、根拠を明確に示せる方法論を用いて、財務報告に係る内部統制（ICFR）をテストすることです。適切な範囲、適切なサンプル、適切な文書化、適切な不備の結論が求められます。

初期評価

1. スコーピング

   • 重要な勘定科目と開示（定量的な重要性基準＋定性的なリスク）。
   • 対応付けられたプロセス（収益、P2P、給与計算、決算、ITGC）と、その主要な統制。
   • 統制の種類：予防的／発見的、手作業／自動化／IT依存の手作業。

2. テストの背景

   • 統制のデザイン評価（TOD）と運用有効性テスト（TOE）。
   • 統制の頻度（サンプルサイズを左右します）と対象期間。
   • 依拠戦略：経営者によるテストと外部監査人による依拠。

---

テストフレームワーク

統制頻度別のサンプルサイズ（一般的な実務）

頻度	母集団（年間）	最小サンプル数（TOE）
年次	1	1
四半期	4	2
月次	12	2–4
週次	52	5–9
日次	~250	20–40
1日に複数回／取引ごと	>250	25–60
自動化された統制：構成ごとに1件をテスト＋ITGCへの依拠（ITGCが強固で変更がない場合、ベンチマーキングが認められます）。

サンプルの選定方法

バイアスのない無作為または恣意的な方法で選定します。母集団のデータソース、母集団の完全性チェック、選定方法を文書化します。期末を含む全期間をカバーします。

不備の分類

重大度	定義	エスカレーション
統制上の不備	起こり得る虚偽表示の影響が軽微	プロセスオーナーによる是正
重要な不備	MWほど深刻ではないものの、ガバナンス責任者の注意を促すに足る重要性がある	監査委員会への報告
重要な弱点	重要な虚偽表示が適時に防止または発見されない合理的可能性がある	開示（ICFR意見への影響）
評価項目：発生可能性 × 金額的重要性、補完的統制、慎重な役員の基準、同一勘定科目／主張における他の不備との集計。

---

技術的分析の手順

1. デザイン評価

1件の取引を最初から最後までウォークスルーし、設計どおりの統制がリスク／主張（C、E/O、A、V、P&D）に対処しているかを評価します。

2. 運用有効性テスト

サンプル計画を実行します。各項目について、テストした属性、確認した証拠、実施者、例外の有無（Y/N）を記録します。例外が1件でもあれば、サンプルを拡大するか、不備と結論付けます（根本原因の分析とテストの拡大を行わずに「孤立した例外」として処理してはいけません）。

3. 不備の評価

根本原因、金額的重要性（観察された誤りではなく最大エクスポージャー）、発生可能性、実際にテストした補完的統制、集計を評価します。根拠を示して重大度を結論付けます。

---

出力形式

SOXテスト調書

ヘッダー：統制ID、説明、頻度、オーナー、主張、対象期間、テスター、日付。

母集団とサンプル：ソースレポート、完全性の検証、サイズ、方法、一覧化した項目。

属性と結果：サンプル項目ごとの属性マトリックス、例外の詳細。

結論：有効／不備あり＋重大度の分類＋是正担当者と期限。

---

参考資料

• サンプリング方法論：サンプルサイズの根拠、拡大ルール、ITGCのベンチマーキング条件。

---

関連スキル

• audit-checklist：ICFRを超える広範な（ISA／外部）監査プログラム向け。
• risk-assessment：SOXスコーピングの基礎となるリスク評価向け。
• close-management：決算プロセスの統制は、恒常的にSOXの対象となります。
• forensic-accounting：テストで意図的なオーバーライドの兆候が見つかった場合に使用します。