sox-testing

SOX コンプライアンステスト

見慣れないプレースホルダーがある場合や、接続されているツールを確認する必要がある場合は、CONNECTORS.md を参照してください。

重要：このコマンドは SOX コンプライアンスのワークフローを支援しますが、監査や法律に関する助言を提供するものではありません。監査文書に使用する前に、すべてのテスト調書と評価を、資格を有する財務専門家が確認してください。

サンプルの選定、テスト調書の作成、統制評価の文書化を行い、財務報告に係る内部統制に関する SOX 404 のテスト用テンプレートを提供します。

使用方法

/sox <control-area> <period>

引数

• control-area — テストする統制領域：
  • revenue-recognition — 収益サイクルの統制（受注から入金まで）
  • procure-to-pay または p2p — 調達および買掛金の統制（購買から支払いまで）
  • payroll — 給与処理および報酬の統制
  • financial-close — 期末決算および報告の統制
  • treasury — 現金管理および財務の統制
  • fixed-assets — 固定資産のライフサイクルに関する統制
  • inventory — 在庫の評価および管理に関する統制
  • itgc — IT 全般統制（アクセス、変更管理、運用）
  • entity-level — 企業レベルおよびモニタリングの統制
  • journal-entries — 仕訳処理の統制
  • 特定の統制 ID または名称
• period — テスト期間（例：2024-Q4、2024、2024-H2）

ワークフロー

1. テスト対象の統制を特定する

統制領域に基づいて、主要な統制を特定します。統制マトリクスを提示します：

統制番号	統制の説明	種類	頻度	主要／非主要	リスク	アサーション
[ID]	[説明]	手動／自動／IT 依存	毎日／毎週／毎月／四半期／毎年	主要	高／中／低	[CEAVOP]

統制の種類：

• 自動： 手動介入なしでシステムにより適用される統制
• 手動： 担当者が判断を伴って実施する統制
• IT 依存の手動： システム生成データに依存する手動の統制

アサーション（CEAVOP）：

• Completeness — すべての取引が記録されていること
• Existence/Occurrence — 取引が実際に発生していること
• Accuracy — 金額が正しく記録されていること
• Valuation — 資産／負債が適切に評価されていること
• Obligations/Rights — 企業が資産に対する権利を有し、負債に対する義務を負っていること
• Presentation/Disclosure — 適切に分類され、開示されていること

2. サンプルサイズを決定する

統制の頻度とリスクに基づいて、サンプルサイズを算出します：

統制の頻度	母集団の規模（概算）	推奨サンプル数
年次	1	1（その実施回をテスト）
四半期	4	2
月次	12	2～4（リスクに基づく）
週次	52	5～15（リスクに基づく）
毎日	約250	20～40（リスクに基づく）
取引ごと	変動	25～60（リスクと取引量に基づく）

次の要素を考慮して調整します：

• リスクレベル： リスクの高い統制ほど、より大きなサンプルが必要です
• 前年度の結果： 前年度に不備があった統制では、より大きなサンプルが必要です
• 依拠： 外部監査人が依拠する統制では、より大きなサンプルが必要になる場合があります

3. サンプルを選定する

適切な方法を用いて母集団からサンプルを選定します：

無作為抽出（取引単位の統制に対するデフォルト）：

• 乱数を生成して、母集団から特定の項目を選択します
• 期間全体を網羅するようにします

系統抽出（定期的な統制の場合）：

• 無作為の開始点を設定し、一定間隔で項目を選択します
• すべての期間区分が含まれるようにします

目的抽出（リスクベースのテストにおいて、無作為抽出を補完する方法）：

• 特定のリスク特性（高額、異例、期末）を持つ項目を選択します
• 目的抽出の根拠を文書化します

サンプルを提示します：

SAMPLE SELECTION
Control: [Control ID] — [Description]
Period: [Testing period]
Population: [Count] items, $[Total value]
Sample size: [N] items
Selection method: [Random/Systematic/Targeted]

| Sample # | Transaction Date | Reference/ID | Amount | Selection Basis |
|----------|-----------------|--------------|--------|-----------------|
| 1        | [Date]          | [Ref]        | $X,XXX | Random          |
| 2        | [Date]          | [Ref]        | $X,XXX | Random          |
| ...      | ...             | ...          | ...    | ...             |

4. テスト調書を作成する

各統制について、テスト用テンプレートを作成します。

SOX CONTROL TESTING WORKPAPER
==============================
Control #: [ID]
Control Description: [Full description of the control activity]
Control Owner: [Role/title — to be filled by tester]
Control Type: [Manual/Automated/IT-Dependent Manual]
Frequency: [How often the control operates]
Key Control: [Yes/No]
Relevant Assertion(s): [CEAVOP]
Testing Period: [Period]

TEST OBJECTIVE:
To determine whether [control description] operated effectively throughout the testing period.

TEST PROCEDURES:
1. [Step 1 — What to inspect, examine, or re-perform]
2. [Step 2 — What evidence to obtain]
3. [Step 3 — What to compare or verify]
4. [Step 4 — How to evaluate completeness of performance]
5. [Step 5 — How to assess timeliness of performance]

EXPECTED EVIDENCE:
- [Document type 1 — e.g., signed approval form]
- [Document type 2 — e.g., system screenshot showing review]
- [Document type 3 — e.g., reconciliation with preparer sign-off]

TEST RESULTS:

| Sample # | Ref | Procedure 1 | Procedure 2 | Procedure 3 | Result | Exception? | Notes |
|----------|-----|-------------|-------------|-------------|--------|------------|-------|
| 1        |     | Pass/Fail   | Pass/Fail   | Pass/Fail   | Pass/Fail | Y/N    |       |
| 2        |     | Pass/Fail   | Pass/Fail   | Pass/Fail   | Pass/Fail | Y/N    |       |

EXCEPTIONS NOTED:
| Sample # | Exception Description | Root Cause | Compensating Control | Impact |
|----------|----------------------|------------|---------------------|--------|
|          |                      |            |                     |        |

CONCLUSION:
[ ] Effective — Control operated effectively with no exceptions
[ ] Effective with exceptions — Control operated effectively; exceptions are isolated
[ ] Deficiency — Control did not operate effectively
[ ] Significant Deficiency — Deficiency is more than inconsequential
[ ] Material Weakness — Reasonable possibility of material misstatement not prevented/detected

Tested by: ________________  Date: ________
Reviewed by: _______________  Date: ________

5. 共通統制テンプレートを提示する

統制領域に基づき、事前に作成されたテスト手順テンプレートを提示します。

収益認識：

• 販売注文の承認および権限を確認する
• 納品／履行の証拠を確認する
• 契約条件に照らして収益認識のタイミングをテストする
• 契約／価格表に照らして価格の正確性を確認する
• クレジットメモの承認と有効性をテストする

調達から支払いまで：

• 発注書の承認および権限の範囲を確認する
• 3点照合（発注書、受領記録、請求書）を確認する
• 仕入先マスターデータの変更統制をテストする
• 支払承認および職務分掌を確認する
• 重複支払い防止統制をテストする

財務決算：

• 勘定照合の完全性と適時性を確認する
• 仕訳の承認および職務分掌をテストする
• 財務諸表に対する経営陣のレビューを確認する
• 連結仕訳および消去仕訳をテストする
• 開示チェックリストの完了を確認する

ITGC：

• ユーザーアクセスの付与および削除をテストする
• 特権アクセスのレビューを確認する
• 変更管理の承認およびテストを確認する
• バッチジョブの監視および例外処理を確認する
• バックアップおよび復旧手順をテストする

6. 統制評価を記録する

特定された不備を分類します。

不備： 統制によって、経営陣または従業員が適時に虚偽表示を防止または発見できない状態です。以下を検討します。

• 虚偽表示の可能性
• 潜在的な虚偽表示の金額
• 補完的統制が存在するかどうか

重要な不備： 重要な欠陥ほど深刻ではないものの、監督責任者の注意を要するほど重要な不備（または不備の組み合わせ）です。

重要な欠陥： 重要な虚偽表示が適時に防止または発見されない合理的な可能性があるような不備（または不備の組み合わせ）です。

7. 出力

次を提示します。

1. 選択した領域の統制マトリックス
2. サンプルの選定とその方法論の記録
3. テスト手順を事前入力したテスト調書テンプレート
4. 結果の記録用テンプレート
5. 不備評価フレームワーク（例外事項が特定された場合）
6. 指摘された不備に対する推奨是正措置