財務諸表監査とＩＴのと関わり

勉強

　財務諸表監査とＩＴの関わりについて。
　財務諸表監査の目的は、財務諸表数値の信頼性を評価することにある。財務諸表数値の信頼性を評価するには、基本的に実証手続きをメインとする。
　実証手続きとは、実地確認を基本とした現物評価の方法である。主にＢ／Ｓ等残高系の勘定項目に対しこの実証手続きは適用される。（当座預金や棚卸資産の残高等、実物の存在を確認する。）
　しかしＰ／Ｌ系の積み上げ勘定項目では現実的に実証手続きをとるのは困難である。たとえば売上について、金額をすべて確認し足しこむことにより売上勘定の数値を検証するのは不可能に近い。（特に小売系など。）
　そこで、これらの実証手続きでまかない切れない勘定項目に対しても数値の信頼性の心証を得るために、内部統制の有効化を評価するという手法をとる。これは積み上げ系勘定項目の結果数値の信頼性を評価するのではなく、積み上げ系の結果数値の信頼性を維持する「仕組み」に対して評価することにより、積み上げ系結果数値の信頼性の心証を得るという手法である。
　内部統制の有効化評価の手法は、次のような手順をとる。１．重要勘定（仕訳）の生成プロセスを分析　２．各プロセスで起こりうるリスクを分析　３．各リスクに対してどのような統制活動が行われているかを分析　４．各統制活動の有効性を評価（具体的な評価法については後述）
　このように、重要勘定に対するリスクから導き出した統制活動評価は、リスクベースでの評価と言うことが出来る。つまり、重要勘定に対するリスクとは無関係な統制活動については、基本的に有効性評価は行わないということである。
　次に、統制活動の有効性を評価する具体的な手法について記述する。統制活動が有効であるかどうかは、１．整備状況の評価　２．運用状況の評価　という２段階でもって、監査期中の有効性の評価を行う。
　１の整備状況の評価については、リスクに対する統制活動（ルール）が社内に存在するかどうか、たとえば文書にて統制活動が作成されていたり、文書は存在せずともデファクト・スタンダードがあるかどうかについての評価と、さらに１件実際にテストを行い、統制活動が実務において有効に機能しているかについての評価を行う。これは監査期中の１時点での評価であり、この評価だけで期中を通しての有効性の評価を行うことはできない。
　期中を通しての有効性の評価は、２の運用状況の評価にて行う。これは１の時点評価を期間を通しての評価とするために、２５件のランダムサンプリングを行い、期中のどの時点でも統制活動が有効であることを評価する手法である。
　ここで統制活動にもいくつか種類があることについて言及する。統制活動には主に、１．自動での統制活動、２．手動による統制活動、３．自動と手動の混在する統制活動　の３種類が存在する。たとえば１の自動での統制活動であれば、自動計算や画面入力制御など、２の手動による統制活動には目視チェックなどが考えられる。３の自動と手動の混在する統制活動には、システムが自動出力したリストに対し目視チェックし個別対応を行うなどが考えられる。
　この統制活動の３種のうち、１の自動での統制活動と３の自動と手動の混在する統制活動の自動部分を合わせて、自動化された統制活動と呼ぶ。この自動化された統制活動は、すなわちＩＴ化された統制活動であり、ここにおいて財務諸表監査とITの関わりが表出する。
　つまり、財務諸表数値の信頼性評価のための重要勘定数値生成プロセスにおけるリスクを統制しているもののうち、ＩＴによって統制されているものが存在しているのでＩＴの観点からも内部統制を考える必要がある、という観点こそが、財務諸表監査とＩＴとの関わりである。
　さらにＩＴ全般統制とは何か、このＩＴ化された統制活動との関わりは何か、についても述べる。
　ＩＴ全般統制とは、ＩＴ分野全般における統制活動のことである。これは、前述の自動化された統制活動の運用状況の有効性を評価する際に、２５件のランダムサンプリングではなく、ＩＴ分野全般における統制の有効性を評価することにより、自動化された統制活動の運用状況の有効性を評価するという手法において考えられた、業務処理統制の１つであると言える。
　ＩＴ化された業務処理統制活動には反復性があるため、ＩＴ環境や運用の統制活動の有効性を評価することにより、監査期中の運用状況の有効性評価を行うという考え方に基づいた、ＩＴ関連の業務処理統制である。
　具体的にＩＴ全般統制は１．変更管理　２．論理アクセス　の２つをその中心に据える。つまり、ＩＴに関わる全般的な統制の評価として、１．変更管理が正しく行われ、処理（プログラム）の不明・不正改ざんが監査期中存在しない、２．論理アクセス設計・実装・管理が正しく行われ、データの不明・不正改ざんが監査期中存在しない、ことを評価する。
　これにより、ＩＴ全般統制が監査期中有効であるという評価であれば、自動化された（ＩＴ化された）統制活動における運用状況も監査期中有効であると評価でき、業務処理統制が監査期中有効であることから重要勘定生成プロセスへのリスク統制が有効であり、財務諸表数値の信頼性を評価する心証を得たと言うことが出来るのである。これがＩＴ全般統制とＩＴ化された統制活動、財務諸表監査との関わりである。（つまりＩＴ内部統制は、ＩＴ化された業務処理統制活動の運用状況の有効性評価における２５件のランダムサンプリング手法の代替であると言うことができる。）
　なお、ＩＴ全般統制から自動化された統制活動の運用状況有効性を評価する観点は、うまくいけば２５件ランダムサンプリングを各統制活動ごとにテストせず、一括でＩＴに関わる統制テストだけ行うことにより、主にコストや納期においてメリットが発生する可能性が非常に高いという利点がある。ただし、ＩＴ全般統制が非有効である可能性も多々あるため、あらかじめＩＴ全般統制から業務処理統制の運用状況有効性を評価するのか、それともランダムサンプリングを行うのかなどの注意点もある。
　以上が、財務諸表監査におけるITの関わりであり、またＩＴ全般統制とは何であるのかについてである。基本的には財務諸表の信頼性の評価を行うためのＩＴ活用視点と言える。