(57)【特許請求の範囲】
【請求項１】
第１組織の監査において、コントロールの不備を検知する検知手段が前記不備を検知し、第２組織に前記不備があった場合の第２組織への影響度が予め定められた閾値より大又は以上である場合に、第２記憶手段が記憶している該第２組織の監査方法を変更する変更手段を具備し、
前記第２組織は、組織に対応するコントロールとコントロールの類似度を記憶する第１記憶手段から抽出され、前記第１組織のコントロールと同等のコントロールを有することを特徴とする情報処理装置。
【請求項２】
前記変更手段は、前記第２組織の前記監査方法を、前記影響度に応じた監査方法に変更することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記変更手段は、前記第２組織の変更後の監査方法を適用する期間を定め、変更前の監査方法を記憶しておき、該期間の経過後に、前記第２組織の前記変更後の監査方法を、該記憶しておいた前記変更前の監査方法に変更することを特徴とする請求項１に記載の情報処理装置。
【請求項４】
前記変更手段は、監査方法の信頼度、許容逸脱率、サンプリング数のいずれか又はこれらの組み合わせを変更することを特徴とする請求項１または２に記載の情報処理装置。
【請求項５】
コンピュータを、
第１組織の監査において、コントロールの不備を検知する検知手段が前記不備を検知し、第２組織に前記不備があった場合の第２組織への影響度が予め定められた閾値より大又は以上である場合に、第２記憶手段が記憶している該第２組織の監査方法を変更する変更手段として機能させ、
前記第２組織は、組織に対応するコントロールとコントロールの類似度を記憶する第１記憶手段から抽出され、前記第１組織のコントロールと同等のコントロールを有することを特徴とする情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及び情報処理プログラムに関する。
【背景技術】
【０００２】
特許文献１には、法人などの組織内部で行われる内部監査に使用されるチェックリストにおけるチェック項目やその内容を再検討し、より適切な内部監査に役立つチェック項目・内容にチェックリストを成熟させていくシステムを提供することを課題とし、演算処理部、情報取得部、情報出力部、データベース等から構成され、複数の各被監査箇所から取得した回答情報における複数のチェック項目からなるチェックリスト中の各チェック項目についてコメントが記載されている数に対する、監査担当者から取得した各チェック項目に対する有効評価の数の割合を有効割合として算出し、有効割合が各チェック項目について予め定められている最低チェック項目有効割合に達していないチェック項目をチェックリストのチェック項目から削除し、当該削除されたチェック項目以外の複数のチェック項目からなる新たなチェックリストを作成することが開示されている。
【０００３】
特許文献２には、複数の企業間で、各企業個別の情報は漏洩することなく、各企業個別の情報から得られる基準となる情報は共有することを課題とし、情報処理システムは、共通記憶領域と、各企業に対して割り当てられる、アクセスが各企業のユーザ端末に制限された個別記憶領域と、を提供する複数のデータベースサーバを有し、情報処理システムは、各企業の個別記憶領域内に格納され、各部門のポイントを保持する部門ポイント記憶手段と、各個別記憶領域を保持するデータベースサーバを検索する検索手段と、各企業について、各個別記憶領域内の部門ポイント記憶手段に保持される各部門のポイントから企業ポイントを算出し、各企業の個別記憶領域に格納する企業ポイント算出手段と、各企業の企業ポイントから情報処理システムにおける基準ポイントを算出し、基準ポイントを共通記憶領域に格納する基準ポイント算出手段と、を備えることが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２８５３６０号公報
【特許文献２】特開２０１３−０８０２９９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
先行技術においては、組織ごとに内部監査のチェックリストを作成し運用を行うことが開示されている。また、各組織個別の情報から得られる基準となる情報を共有可能とすることも開示されている。
しかし、ある組織におけるコントロールの実施で不備が発生した場合に、そのコントロールと同等のコントロールを有する他の組織で、監査方法を変更することはできなかった。
そこで、本発明は、第１の組織の監査においてコントロールの実施における不備を発見された場合に、そのコントロールと同等のコントロールを有する第２の組織における監査方法を変更するようにした情報処理装置及び情報処理プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００６】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、第１組織の監査において、コントロールの不備を検知する検知手段が前記不備を検知し、第２組織に前記不備があった場合の第２組織への影響度が予め定められた閾値より大又は以上である場合に、第２記憶手段が記憶している該第２組織の監査方法を変更する変更手段を具備し、前記第２組織は、組織に対応するコントロールとコントロールの類似度を記憶する第１記憶手段から抽出され、前記第１組織のコントロールと同等のコントロールを有することを特徴とする情報処理装置である。
【０００７】
請求項２の発明は、前記変更手段は、前記第２組織の前記監査方法を、前記影響度に応じた監査方法に変更することを特徴とする請求項１に記載の情報処理装置である。
【０００８】
請求項３の発明は、前記変更手段は、前記第２組織の変更後の監査方法を適用する期間を定め、変更前の監査方法を記憶しておき、該期間の経過後に、前記第２組織の前記変更後の監査方法を、該記憶しておいた前記変更前の監査方法に変更することを特徴とする請求項１に記載の情報処理装置である。
【０００９】
請求項４の発明は、前記変更手段は、監査方法の信頼度、許容逸脱率、サンプリング数のいずれか又はこれらの組み合わせを変更することを特徴とする請求項１または２に記載の情報処理装置である。
【００１０】
請求項５の発明は、コンピュータを、第１組織の監査において、コントロールの不備を検知する検知手段が前記不備を検知し、第２組織に前記不備があった場合の第２組織への影響度が予め定められた閾値より大又は以上である場合に、第２記憶手段が記憶している該第２組織の監査方法を変更する変更手段として機能させ、前記第２組織は、組織に対応するコントロールとコントロールの類似度を記憶する第１記憶手段から抽出され、前記第１組織のコントロールと同等のコントロールを有することを特徴とする情報処理プログラムである。
【発明の効果】
【００１１】
請求項１の情報処理装置によれば、第１組織の監査においてコントロールの実施における不備を発見された場合に、そのコントロールと同等のコントロールを有する第２組織の監査方法を変更することができる。そして、第２組織における監査方法を変更するための条件として、第２組織のコントロールに不備があった場合の影響度が、予め定められた閾値より大又は以上であるときとすることができる。
【００１２】
請求項２の情報処理装置によれば、監査方法を影響度に応じた監査方法に変更することができる。
【００１３】
請求項３の情報処理装置によれば、第２組織の変更された監査方法を適用する期間を定め、その期間の経過後に、元の監査方法に戻すことができる。
【００１４】
請求項４の情報処理装置によれば、変更する監査方法として、信頼度、許容逸脱率、サンプリング数のいずれか又はこれらの組み合わせを対象とすることができる。
【００１５】
請求項５の情報処理プログラムによれば、第１組織の監査においてコントロールの実施における不備を発見された場合に、そのコントロールと同等のコントロールを有する第２組織の監査方法を変更することができる。そして、第２組織における監査方法を変更するための条件として、第２組織のコントロールに不備があった場合の影響度が、予め定められた閾値より大又は以上であるときとすることができる。
【図面の簡単な説明】
【００１６】
【図１】本実施の形態の構成例についての概念的なモジュール構成図である。
【図２】本実施の形態を実現する場合のシステム構成例を示す説明図である。
【図３】本実施の形態を実現する場合のシステム構成例を示す説明図である。
【図４】本実施の形態による処理例を示すフローチャートである。
【図５】本実施の形態による処理例を示すフローチャートである。
【図６】監査方法管理テーブルのデータ構造例を示す説明図である。
【図７】変更ルール管理テーブルのデータ構造例を示す説明図である。
【図８】サンプリング数管理テーブルのデータ構造例を示す説明図である。
【図９】本実施の形態による処理例を示す説明図である。
【図１０】コントロール・影響度対応テーブルのデータ構造例を示す説明図である。
【図１１】本実施の形態による処理例を示す説明図である。
【図１２】本実施の形態による処理例を示す説明図である。
【図１３】本実施の形態による処理例を示す説明図である。
【図１４】本実施の形態による処理例を示す説明図である。
【図１５】本実施の形態による処理例を示す説明図である。
【図１６】本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００１７】
以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、それらのモジュールとして機能させるためのコンピュータ・プログラム（コンピュータにそれぞれの手順を実行させるためのプログラム、コンピュータをそれぞれの手段として機能させるためのプログラム、コンピュータにそれぞれの機能を実現させるためのプログラム）、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、モジュールは機能に一対一に対応していてもよいが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）の場合にも用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態に応じて、又はそれまでの状況・状態に応じて定まることの意を含めて用いる。「予め定められた値」が複数ある場合は、それぞれ異なった値であってもよいし、２以上の値（もちろんのことながら、すべての値も含む）が同じであってもよい。また、「Ａである場合、Ｂをする」という意味を有する記載は、「Ａであるか否かを判断し、Ａであると判断した場合はＢをする」の意味で用いる。ただし、Ａであるか否かの判断が不要である場合を除く。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。もちろんのことながら、「システム」には、人為的な取り決めである社会的な「仕組み」（社会システム）にすぎないものは含まない。
また、各モジュールによる処理毎に又はモジュール内で複数の処理を行う場合はその処理毎に、対象となる情報を記憶装置から読み込み、その処理を行った後に、処理結果を記憶装置に書き出すものである。したがって、処理前の記憶装置からの読み込み、処理後の記憶装置への書き出しについては、説明を省略する場合がある。なお、ここでの記憶装置としては、ハードディスク、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、外部記憶媒体、通信回線を介した記憶装置、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）内のレジスタ等を含んでいてもよい。
【００１８】
本実施の形態は、ＩＳＯ（Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｏｒｇａｎｉｚａｔｉｏｎ  ｆｏｒ  Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ、国際標準化機構、具体的には、ＩＳＯ２７００１等）、ＩＳＭＳ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ、情報セキュリティマネジメントシステム）等で定められた評価において、組織で発生し得るリスクに適したコントロールを割り与えるものである。
内部統制を行うためには、基本文書として、ＲＣＭ（リスク・コントロール・マトリックス）等を作成する必要がある。ＲＣＭとは、組織における業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、評価、権利と義務、期間／配分、表示の６項目が一般的には使用されるが、各社また監査法人により一部変更があるため、カスタマイズされ得る。リスクとは、組織目標の達成を阻害する要因のことをいい、具体的には、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。コントロールとは、リスクを軽減するための内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。組織とは、内部統制を適用する対象であって、例えば、企業、会社、部門等があり、以下、会社を例示して説明する。また、サンプリング（数）とは、コントロールの評価（運用テスト、以下、単にテストともいう）で用いられる用語で、一部の項目に対する検証から得た結果をもって全体の特性を評価する手続きをいう。母集団とは、サンプリングのテスト対象を無作為抽出法で抽出する元となる全体のことを指す。証跡とは、証拠となるような痕跡をいう。
【００１９】
本実施の形態である監査システム１００は、内部統制としての監査を実施するものであって、図１の例に示すように、監査システム管理者端末１０５、情報処理装置１１０を有している。情報処理装置１１０は、監査方法変更判定モジュール１１５、監査方法変更モジュール１２０、監査方法変更ルール管理モジュール１２５、監査実施モジュール１３０、監査結果報告モジュール１３５、監査方法管理モジュール１４０、監査スケジュール管理モジュール１４５、監査結果ＤＢ１５０を有している。
監査システム１００は、通信回線を介して接続されているＡ社業務システム１７０Ａ、Ｂ社業務システム１７０Ｂから使用されるものである。監査システム１００は、例えば、不備発見を契機として、他の組織における監査方法を変更するサービスを行う。つまり、ある組織の監査においてコントロールの実施における不備が発見された場合、同等のコントロールを有する他の組織における監査方法を変更するものである。
対象とする組織として、Ａ社、Ｂ社等の例を用いて説明するが、監査対象となる集団であればよく、会社以外の組織であってもよい。例えば、会社内の部門等であってもよい。また、Ａ社、Ｂ社は、グループ企業、フランチャイズ、企業関連会社等の関係を有していてもよいし、独立した組織であって、互いに関係がないものであってもよい。
例えば、ある会社の監査で発覚した統制の不備に対して、他の会社でも同様の不備が発生していないか調べるために監査を強化する必要がある。例えば、監査システム１００は、複数の会社を監査する監査サービスにおいて、ある会社の統制の状況を監査し、不備があった場合は他の会社の監査方法を変更したほうがよいかを判定し、その判定結果に応じて他の会社の監査方法を変更する。
【００２０】
Ａ社業務システム１７０Ａは、Ａ社業務プロセス管理者端末１７５Ａ、Ａ社統制責任者端末１８０Ａ、Ａ社証跡登録者端末１８５Ａ、Ａ社業務プロセスＤＢ１９０Ａ、Ａ社証跡ＤＢ１９５Ａを有している。Ｂ社業務システム１７０Ｂは、Ｂ社業務プロセス管理者端末１７５Ｂ、Ｂ社統制責任者端末１８０Ｂ、Ｂ社証跡登録者端末１８５Ｂ、Ｂ社業務プロセスＤＢ１９０Ｂ、Ｂ社証跡ＤＢ１９５Ｂを有している。Ａ社業務システム１７０ＡとＢ社業務システム１７０Ｂは、同等のシステム構成であるが、完全同一である必要はなく、監査システム１００との関係において同等の機能を有していればよい。
業務プロセスＤＢ１９０は、業務プロセス管理者端末１７５、統制責任者端末１８０、証跡ＤＢ１９５、監査システム管理者端末１０５、情報処理装置１１０の監査方法変更判定モジュール１１５、監査実施モジュール１３０、監査方法管理モジュール１４０と接続されている。業務プロセスＤＢ１９０には、業務を実行するプロセス、そのプロセスに生じるリスク、リスクの顕在化を防ぐためのコントロールの情報が保持されている。また、そのプロセスの実行者や承認者、コントロールの実行者や承認者の情報も保持されていてもよい。
業務プロセス管理者端末１７５は、業務プロセスＤＢ１９０と接続されている。業務プロセス管理者端末１７５は、業務プロセスＤＢ１９０中のデータの登録、編集、削除の権限を持つ業務プロセス管理者が、これらの操作を行うための端末である。
【００２１】
証跡ＤＢ１９５は、統制責任者端末１８０、証跡登録者端末１８５、業務プロセスＤＢ１９０、情報処理装置１１０の監査実施モジュール１３０と接続されている。証跡ＤＢ１９５には、コントロールを実行した証跡が保持されている。
証跡登録者端末１８５は、証跡ＤＢ１９５と接続されている。証跡登録者端末１８５は、証跡ＤＢ１９５に証跡を登録する権限を持つ証跡登録者が、登録操作を行うための端末である。
統制責任者端末１８０は、業務プロセスＤＢ１９０、証跡ＤＢ１９５、情報処理装置１１０の監査結果報告モジュール１３５と接続されている。統制責任者端末１８０は、業務プロセスの統制責任者の端末である。業務プロセスＤＢ１９０と証跡ＤＢ１９５が保持する情報を表示することで、統制の状況を確認できる。また、後述する監査システム１００から送られてくる報告を表示することができる。
【００２２】
監査スケジュール管理モジュール１４５は、監査システム管理者端末１０５、監査実施モジュール１３０と接続されている。監査スケジュール管理モジュール１４５は、各組織の監査スケジュールを保持し、これに応じて、後述する監査実施モジュール１３０に監査を実施させる機能を持つ。
通常監査のスケジュールは、後述する監査システム管理者端末１０５を介して、監査システム管理者の操作に応じて、登録、編集、削除等が行われる。
本機能では、１件の監査スケジュールは次の属性を１組として表現される。
・スケジュールＩＤは、監査システム１００内で監査スケジュールを一意に区別するためのデータである。
・対象組織は、監査対象とする組織を示すデータである。
・開始日時は、監査を開始する日時データである。
・終了日時は、監査が終了した日時データである。
・実施状態は、監査の実施の状態を示す。「開始前」、「実施中」、「実施済」のいずれかを示す値である。
・監査種別は、監査の種別を示す。「通常」、「臨時」のいずれかを示す値である。
・対象コントロールは、監査の対象となるコントロールを示すデータである。本実施の形態では、単値（つまり、１つの監査スケジュールで監査するコントロールは１つ）である。
・代替コントロールは、監査種別が「臨時」のときに設定される。対象コントロールを入れ替えるコントロールを示すデータである。本実施の形態では、単値（つまり、１つの監査スケジュールで監査するコントロールは１つ）である。
・監査方法は、コントロールに対する監査方法を示すデータである。後述する監査方法管理モジュール１４０が管理する監査方法ＩＤが属性値として設定される。
【００２３】
監査方法管理モジュール１４０は、監査方法変更モジュール１２０、監査実施モジュール１３０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂと接続されている。監査方法管理モジュール１４０は、コントロールに対して、証跡を利用してどのように監査を行うかを管理する機能を持つ。監査方法は、後述する監査システム管理者端末１０５を介して登録、編集、削除ができる。また、他の組織における不備により変更が必要な場合は、後述する監査方法変更モジュール１２０によって監査方法が変更される。監査方法変更モジュール１２０により監査方法が変更された場合は、コントロールに対して、変更前の監査方法と変更後の監査方法を保持する。また、変更後の監査方法の適用期間を保持する。
【００２４】
監査実施モジュール１３０は、監査システム管理者端末１０５、監査方法変更判定モジュール１１５、監査結果報告モジュール１３５、監査方法管理モジュール１４０、監査スケジュール管理モジュール１４５、監査結果ＤＢ１５０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ａ社証跡ＤＢ１９５Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂ、Ｂ社証跡ＤＢ１９５Ｂと接続されている。監査実施モジュール１３０は、監査スケジュール管理モジュール１４５中の１つの監査スケジュールに応じて、各組織の業務プロセス情報と証跡情報と、監査方法管理モジュール１４０に保持された監査方法を用いて、各組織の監査を実施する。監査結果は、後述する監査結果ＤＢ１５０に保持させる。対象組織の業務プロセスに存在する対象コントロールに、監査方法を適用して監査を実施する。
そして、監査実施モジュール１３０は、Ａ社業務システム１７０Ａからの送信されてきた情報から、Ａ社にあって監査におけるコントロールの実施で不備が発生したことを検知する。コントロールの実施の不備が発見された場合は、後述する監査方法変更判定モジュール１１５に、監査方法を変更する対象となる会社とコントロールを判定させる。
【００２５】
監査方法変更判定モジュール１１５は、監査方法変更モジュール１２０、監査実施モジュール１３０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂと接続されている。監査方法変更判定モジュール１１５は、監査実施モジュール１３０によって、ある組織の監査でコントロールの実施の不備が発見されたときに、監査方法を変更すべき他の組織のコントロールを判定する機能を持つ。また、発見された不備に対する他の組織の影響度を取得し、影響度に応じて監査方法を変更するかしないかを決定する機能を持つ。コントロールに不備があった場合の影響度は、各組織の業務プロセスＤＢ１９０から取得する。同じ問題であっても、組織の規模（売上高や総資産）によっては影響度が異なる。影響度が小さい場合には、監査方法を変更しないことで、監査コストの増加を防ぐようにしてもよい。
本実施の形態では、コントロールに不備があった場合の影響度が、例えば「大、中、小」で管理されているとし、
１．ある会社で不備の見つかったコントロールと同様のコントロールが存在、かつ、
２．コントロールの不備に対する影響度が「大」又は「中」の場合
を、監査方法の変更対象とする。なお、「大」となる影響度の範囲（下限値だけでもよい）、「中」となる影響度の範囲（「大」、「小」でもない範囲としてもよい）、「小」となる影響度の範囲（上限値だけでもよい）を予め定めておき、影響度がいずれの範囲に入っているかを判断することによって、「大、中、小」と区分する。したがって、「大」又は「中」の場合とは、「中」の範囲の下限値より大又は以上である場合となる。
【００２６】
監査方法変更モジュール１２０は、監査方法変更判定モジュール１１５、監査方法変更ルール管理モジュール１２５、監査方法管理モジュール１４０と接続されている。監査方法変更判定モジュール１１５によって、監査方法の変更が必要だと判定されたときに、後述する監査方法変更ルール管理モジュール１２５から変更後の監査方法を取得して、監査方法管理モジュール１４０で管理されているコントロールに対する監査方法を変更する。
監査方法変更モジュール１２０は、監査実施モジュール１３０が不備の発生を検知した場合に、その不備が発生したコントロール（Ａ社の監査におけるコントロール）と同等のコントロールを有するＢ社における監査方法を変更する。ここでの変更は、予め定められた規則にしたがって変更する。また、「同等のコントロール」とは、もちろんのことながら完全同一のコントロールを含み、類似するコントロールを含む。例えば、不正取引発生のリスクに対するコントロールとして、取引伝票の回付日と受領日の履歴確認を行うコントロールＡと取引伝票の回付日時と受領日時の履歴確認を行うコントロールＢは、同等のコントロールとして扱ってもよい。類似するコントロールか否かは、類似するコントロール同士を定義したテーブルを予め用意しておき、それを利用して判断してもよい。
また、監査方法変更モジュール１２０は、監査実施モジュール１３０が不備の発生を検知した場合であって、Ｂ社におけるコントロールに不備があった場合の影響度が、予め定められた閾値より大又は以上であるときに、Ｂ社における監査方法を変更するようにしてもよい。
また、監査方法変更モジュール１２０は、Ｂ社における変更された監査方法を適用する期間を定め、変更前の監査方法を監査方法管理モジュール１４０に記憶させておき、その期間の経過後に、監査方法管理モジュール１４０に記憶させておいた監査方法に変更するようにしてもよい。
また、監査方法変更モジュール１２０は、変更する監査方法として、信頼度、許容逸脱率、サンプリング数のいずれか又はこれらの組み合わせを対象とするようにしてもよい。
【００２７】
監査方法変更ルール管理モジュール１２５は、監査システム管理者端末１０５、監査方法変更モジュール１２０と接続されている。監査方法変更ルール管理モジュール１２５は、監査方法を変更するかしないかを判定するための条件、及び、監査方法の変更が必要だと判定されたときに、どのように監査方法を変更するかを管理する機能を持つ。監査方法変更ルールは、後述する監査システム管理者端末１０５を介して登録、編集、削除される。本実施の形態では、不備の影響度に対して「信頼度の調整値」、「許容逸脱率の調整値」、「適用期間」を管理する。
監査結果ＤＢ１５０は、監査システム管理者端末１０５、監査実施モジュール１３０、監査結果報告モジュール１３５と接続されている。監査結果ＤＢ１５０は、監査実施モジュール１３０が実施した各組織の監査の結果を保持する機能を持つ。監査結果は、スケジュールＩＤと紐付けて保持される。新しい監査結果が登録されたら、監査結果報告モジュール１３５にそれを通知する。
監査結果報告モジュール１３５は、監査システム管理者端末１０５、監査実施モジュール１３０、監査結果ＤＢ１５０、Ａ社業務システム１７０ＡのＡ社統制責任者端末１８０Ａ、Ｂ社業務システム１７０ＢのＢ社統制責任者端末１８０Ｂと接続されている。監査結果報告モジュール１３５は、監査対象となった組織の統制管理者へ、その組織の監査結果を報告する機能を持つ。監査結果ＤＢ１５０からの通知を契機として結果報告を実施する。
【００２８】
監査システム管理者端末１０５は、監査方法変更ルール管理モジュール１２５、監査実施モジュール１３０、監査結果報告モジュール１３５、監査スケジュール管理モジュール１４５、監査結果ＤＢ１５０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂと接続されている。監査システム管理者端末１０５は、監査システムの管理者のための端末であり、前述した各機能に対する設定や処理状況確認ができる機能を持つ。
【００２９】
図２は、本実施の形態を実現する場合のシステム構成例を示す説明図である。
監査システム１００、Ａ社業務システム１７０Ａ、Ｂ社業務システム１７０Ｂ、Ｃ社業務システム１７０Ｃは、通信回線２９０を介してそれぞれ接続されている。通信回線２９０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのインターネット等であってもよい。例えば、Ａ社業務システム１７０Ａにおいて、監査におけるコントロールの実施で不備が発生した場合は、監査システム１００は、この発生を検知し、Ｂ社業務システム１７０Ｂ、Ｃ社業務システム１７０Ｃにおける監査方法を変更する。その際に、変更すべきか否かを判定するようにしてもよい。また、監査システム１００をクラウドシステムとして実現してもよい。
【００３０】
図３は、本実施の形態を実現する場合のシステム構成例を示す説明図である。図２のように監査システム１００をクラウドシステムとして実現できるが、各社が情報処理装置１１０を有しており、各情報処理装置１１０が互いに通信を行って、いずれかの情報処理装置１１０で、監査におけるコントロールの実施で不備が発生したことを検知した場合は、他社の情報処理装置１１０（又は監査システム管理者端末１０５）に対して、監査方法の変更の判定指示を行うようにしてもよい。
各社において、監査システム管理者端末１０５、情報処理装置１１０、業務プロセス管理者端末１７５、統制責任者端末１８０、証跡登録者端末１８５、業務プロセスＤＢ１９０、証跡ＤＢ１９５は、社内用通信回線３８０を介してそれぞれ接続されている。社内用通信回線３８０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのイントラネット等であってもよい。
社内用通信回線３８０Ａ、社内用通信回線３８０Ｂ，社内用通信回線３８０Ｃは、通信回線３９０を介してそれぞれ接続されている。通信回線３９０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのインターネット等であってもよい。
【００３１】
図４は、本実施の形態による処理例を示すフローチャートである。図４の例に示すフローチャートは、通常監査の監査スケジュールが監査開始日時になったときの処理を示す。図５の例に示すフローチャートは、図４の例に示すフローチャートに含まれる臨時監査（ステップＳ４０８の処理）のサブフローを示している。
ステップＳ４００では、監査を開始する。
ステップＳ４０２では、起動された監査スケジュールに設定された会社（Ｘ社とする）と対象コントロール（Ｃ０１とする）について、実施された監査の結果を受け付ける。
ステップＳ４０４では、Ｃ０１の実施に不備があるか否かを判断し、不備がある場合はステップＳ４０８へ進み、それ以外の場合はステップＳ４０６へ進む。
ステップＳ４０６では、監査結果としてＣ０１の実施に不備がないことを記録する。
ステップＳ４０８では、他社の監査方法の変更を行う。
ステップＳ４１０では、監査結果としてＣ０１の実施に不備があることを記録する。
ステップＳ４１２では、Ｘ社の統制責任者へ監査結果を報告する。
ステップＳ４９９では、監査を終了する。
【００３２】
図５は、本実施の形態による処理例（図４の例に示すフローチャートのステップＳ４０８の処理例）を示すフローチャートである。
ステップＳ５００では、他社の監査方法の変更を開始する。
ステップＳ５０２では、監査方法変更の要否が未判定の会社が残っているか否かを判断し、残っている場合はステップＳ５０６へ進み、それ以外の場合はステップＳ５０４へ進む。
ステップＳ５０４では、他社の監査方法の変更を終了する。
ステップＳ５０６では、未判定の会社から１つを選ぶ（ここでは、Ｙ社とする）。
【００３３】
ステップＳ５０８では、Ｃ０１と同じコントロールがＹ社にあるか否かを判断し、ある場合はステップＳ５１０へ進み、それ以外の場合はステップＳ５１６へ進む。
ステップＳ５１０では、Ｃ０１の不備に対するＹ社の影響度を取得する。
ステップＳ５１２では、「変更ルール管理テーブル７００」から「影響度」に対する「変更の有無」を取得する。
ステップＳ５１４では、「変更の有無」の設定値は「変更する」か否かを判断し、「変更する」の場合はステップＳ５１８へ進み、それ以外の場合（変更しない場合）はステップＳ５１６へ進む。
ステップＳ５１６では、Ｙ社を判定済みとする。
ステップＳ５１８では、Ｙ社の監査方法は変更済みであるか否かを判断し、変更済みである場合はステップＳ５１６へ進み、それ以外の場合はステップＳ５２０へ進む。
【００３４】
ステップＳ５２０では、「監査方法管理テーブル６００」からＹ社のＣ０１に対する「予想逸脱率」「信頼度」「許容逸脱率」を取得する。
ステップＳ５２２では、「変更ルール管理テーブル７００」から「影響度」に対する「信頼度の調整値」「許容逸脱率の調整値」「適用期間」を取得する。
ステップＳ５２４では、ステップ５２０で取得した「予想逸脱率」と、ステップ５２２で取得した「信頼度の調整値」及び「許容逸脱率の調整値」によって変更された「信頼度」及び「許容逸脱率」を用いて、「サンプリング数管理テーブル８００」からＹ社のＣ０１のサンプリング数を取得する。
ステップＳ５２６では、「監査方法管理テーブル６００」の「信頼度（変更後）」、「許容逸脱率（変更後）」、「サンプリング数（変更後）」、「適用期間（変更後）」に、上記ステップで変更もしくは取得した「信頼度」、「サンプリング数」、「許容逸脱率」、「適用期間」の値をそれぞれ設定する。
【００３５】
図６は、監査方法管理テーブル６００のデータ構造例を示す説明図である。
監査方法管理テーブル６００は、会社欄６１０、コントロール欄６１５、予想逸脱率欄６２０、信頼度欄６２５、許容逸脱率欄６３０、サンプリング数欄６３５、信頼度（変更後）欄６４０、許容逸脱率（変更後）欄６４５、サンプリング数（変更後）欄６５０、適用期間欄６５５を有している。
会社欄６１０は、監査方法を設定する会社を表す値を記憶している。会社を特定するための一意の値（例えば、会社ＩＤ：ＩＤｅｎｔｉｆｉｃａｔｉｏｎ、会社名であってもよい）を設定する。
コントロール欄６１５は、監査方法を設定するコントロールを表す値を記憶している。コントロールを特定するための一意の値を設定する。
予想逸脱率欄６２０は、統制の成熟度から予想されるサンプリングの逸脱の割合を表す値を記憶している。統制がまだ十分でない場合は、予想逸脱率を高く設定する。
信頼度欄６２５は、統計学的にサンプリングによって得られる監査の信頼度を表す値を記憶している。内部統制の監査では、通常９０％以上が求められる。
許容逸脱率欄６３０は、監査上許容できる不備の割合を表す値を記憶している。内部統制の監査では、通常９％未満が求められる。
サンプリング数欄６３５は、信頼度と許容逸脱率から算出されたサンプリング数を表す値を記憶している。なお、図６におけるサンプリング数欄６３５のかっこ内はサンプリング数のなかで許容される逸脱件数である。
信頼度（変更後）欄６４０は、監査方法変更後の信頼度を表す値を記憶している。
許容逸脱率（変更後）欄６４５は、監査方法変更後の許容逸脱率を表す値を記憶している。
サンプリング数（変更後）欄６５０は、監査方法変更後のサンプリング数を表す値を記憶している。
適用期間欄６５５は、監査方法変更後の適用期間を表す値を記憶している。期間は、時、日、月、年等で指定されていてもよいし、適用の終了日時（年、月、日、時、分、秒、秒以下、又はこれらの組み合わせであってもよい）で指定されていてもよい。
【００３６】
図７は、変更ルール管理テーブル７００のデータ構造例を示す説明図である。
変更ルール管理テーブル７００は、不備の影響度欄７１０、変更の有無欄７２０、信頼度の調整値欄７３０、許容逸脱率の調整値欄７４０、適用期間欄７５０を有している。
不備の影響度欄７１０は、不備に対する影響度を表す値を記憶している。影響度の大小関係が一意に表せる値を設定する。
変更の有無欄７２０は、監査方法を変更をするか否かを表す値を記憶している。
信頼度の調整値欄７３０は、変更前の信頼度に対して何％調整するかを表す値を記憶している。値は倍率などであってもよい。
許容逸脱率の調整値欄７４０は、変更前の許容逸脱率に対して何％調整するかを表す値を記憶している。値は倍率などであってもよい。
適用期間欄７５０は、変更を適用する期間を記憶している。期間は、時、日、月、年等で指定されていてもよいし、適用の終了日時で指定されていてもよい。
【００３７】
図８は、サンプリング数管理テーブル８００のデータ構造例を示す説明図である。
サンプリング数管理テーブル８００は、予想逸脱率欄８１０、信頼度欄８１５、許容逸脱率２％未満のサンプリング数欄８２０、許容逸脱率３％未満のサンプリング数欄８２５、許容逸脱率４％未満のサンプリング数欄８３０、許容逸脱率５％未満のサンプリング数欄８３５、許容逸脱率６％未満のサンプリング数欄８４０、許容逸脱率７％未満のサンプリング数欄８４５、許容逸脱率８％未満のサンプリング数欄８５０、許容逸脱率９％未満のサンプリング数欄８５５を有している。
予想逸脱率欄８１０は、統制の成熟度から予想されるサンプリングの逸脱の割合を表す値を記憶している。
信頼度欄８１５は、監査の信頼度を表す値を記憶している。信頼度が高くなるとサンプリング数が増加する。
許容逸脱率２％−９％未満のサンプリング数欄８２０〜８５５は、監査上許容できる不備の割合に応じたサンプリング数を表す値を記憶している。具体的には、許容逸脱率２％未満のサンプリング数欄８２０は、許容逸脱率２％未満のサンプリング数を表す値を記憶している。許容逸脱率３％未満のサンプリング数欄８２５は、許容逸脱率３％未満のサンプリング数を表す値を記憶している。許容逸脱率４％未満のサンプリング数欄８３０は、許容逸脱率４％未満のサンプリング数を表す値を記憶している。許容逸脱率５％未満のサンプリング数欄８３５は、許容逸脱率５％未満のサンプリング数を表す値を記憶している。許容逸脱率６％未満のサンプリング数欄８４０は、許容逸脱率６％未満のサンプリング数を表す値を記憶している。許容逸脱率７％未満のサンプリング数欄８４５は、許容逸脱率７％未満のサンプリング数を表す値を記憶している。許容逸脱率８％未満のサンプリング数欄８５０は、許容逸脱率８％未満のサンプリング数を表す値を記憶している。許容逸脱率９％未満のサンプリング数欄８５５は、許容逸脱率９％未満のサンプリング数を表す値を記憶している。なお、図８におけるサンプリング数欄８２０〜８５５のかっこ内はサンプリング数のなかで許容される逸脱件数である。
【００３８】
図９〜１５の例を用いて、具体的な処理例を説明する。
１．Ｘ社、Ｙ社、Ｚ社に同じコントロール（Ｃ０１）が存在する。
２．Ｘ社のＣ０１の不備の影響度は「中」、Ｙ社のＣ０１の不備の影響度は「大」、Ｚ社のＣ０１の不備の影響度は「小」に設定されている。例えば、コントロール・影響度対応テーブル１０００のように設定されている。図１０は、コントロール・影響度対応テーブル１０００のデータ構造例を示す説明図である。コントロール・影響度対応テーブル１０００は、会社欄１０１０、コントロール欄１０２０、不備の影響度欄１０３０を有している。会社欄１０１０は、会社を特定するための一意の値を記憶している。コントロール欄１０２０は、その会社の監査におけるコントロールを特定するための一意の値を記憶している。不備の影響度欄１０３０は、そのコントロールで不備が発生した場合の影響度を記憶している。影響度を示す数値であってもよいし、前述の「大、中、小」を示す値であってもよい。
３．Ｘ社、Ｙ社、Ｚ社に存在する同じコントロール（Ｃ０１）に対して、図９の例に示す監査方法管理テーブル６００のように監査方法が設定されている。この時点では、監査方法の変更は行われていないので、信頼度（変更後）欄６４０、許容逸脱率（変更後）欄６４５、サンプリング数（変更後）欄６５０、適用期間欄６５５は、空白のままである。
【００３９】
４．Ｘ社の監査でＣ０１に不備が発見された場合、Ｙ社とＺ社のＣ０１の影響度に対して、監査方法の変更が必要か否かを判定する、具体的には、図１１の例に示す変更ルール管理テーブル７００を用いて、Ｙ社のＣ０１の影響度は「大」であるため、欄１１１０から変更する必要があると判定される。そして、図１１の例に示す変更ルール管理テーブル７００を用いて、Ｚ社のＣ０１の影響度は「小」であるため、欄１１２０から変更の必要はないと判定される。
【００４０】
５．Ｙ社のＣ０１に関する現在の監査方法である、予想逸脱率、信頼度、許容逸脱率を取得する。具体的には、図１２の例に示す監査方法管理テーブル６００を用いて、欄１２１０から予想逸脱率：０．００％、欄１２２０から信頼度：９０％、欄１２３０から許容逸脱率：９％、を取得する。
６．Ｙ社のＣ０１の影響度「大」に関する、信頼度の調整値、許容逸脱率の調整値、適用期間を取得する。具体的には、図１３の例に示す変更ルール管理テーブル７００を用いて、欄１３１０から信頼度の調整値：＋５％、欄１３２０から許容逸脱率の調整値：−１％、欄１３３０から適用期間：６ヶ月、を取得する。
７．５で取得した信頼度：９０％と許容逸脱率：９％に対して、６で取得した調整値を適用して、変更後の値として信頼度：９５％（９０＋５）、許容逸脱率：８％（９−１）を算出する。なお、予想逸脱率は変更しない。
【００４１】
８．５で取得した予想逸脱率と、７で計算した変更後の信頼度：９５％、許容逸脱率：８％を使用して、変更後のサンプリング数を、サンプリング数管理テーブル８００を用いて取得する。具体的には、図１４の例に示すサンプリング数管理テーブル８００を用いて、予想逸脱率：０．００％、信頼度：９５％の許容逸脱率８％未満のサンプリング数欄８５０である欄１４１０の「３５（０）」を取得する。
９．６で取得した適用期間：６ヶ月と、７で算出した変更後の信頼度：９５％、許容逸脱率：８％と、８で取得したサンプリング数：３５（０）を、Ｙ社のＣ０１の監査方法の変更後の値として設定する。具体的には、図１５の例に示す監査方法管理テーブル６００の欄１５１０に信頼度：９５％、欄１５１５に許容逸脱率：８％、欄１５２０にサンプリング数：３５（０）、欄１５２５に適用期間：６ヶ月を設定する。
これによって、Ｘ社にあって監査におけるコントロールの実施で不備が発生した場合は、そのコントロールと同等の（今回の例では同じ）コントロールを有するＹ社における監査方法を、図１５の例に示す監査方法管理テーブル６００内の欄１５１０、欄１５１５、欄１５２０、欄１５２５のように変更した。
なお、監査方法の変更の対象として、信頼度、許容逸脱率、サンプリング数のすべてを変更する例を示したが、これらのいずれか又はこれらの組み合わせを変更の対象としてもよい。
【００４２】
なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図１６に例示するように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバとなり得るコンピュータ等である。つまり、具体例として、処理部（演算部）としてＣＰＵ１６０１を用い、記憶装置としてＲＡＭ１６０２、ＲＯＭ１６０３、ＨＤ１６０４を用いている。ＨＤ１６０４として、例えばハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）を用いてもよい。監査方法変更判定モジュール１１５、監査方法変更モジュール１２０、監査方法変更ルール管理モジュール１２５、監査実施モジュール１３０、監査結果報告モジュール１３５、監査方法管理モジュール１４０、監査スケジュール管理モジュール１４５等のプログラムを実行するＣＰＵ１６０１と、そのプログラムやデータを記憶するＲＡＭ１６０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ１６０３と、補助記憶装置（フラッシュメモリ等であってもよい）であるＨＤ１６０４と、キーボード、マウス、タッチパネル等に対する利用者の操作に基づいてデータを受け付ける受付装置１６０６と、ＣＲＴ、液晶ディスプレイ等の出力装置１６０５と、ネットワークインタフェースカード等の通信ネットワークと接続するための通信回線インタフェース１６０７、そして、それらをつないでデータのやりとりをするためのバス１６０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
【００４３】
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図１６に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図１６に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えば特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ：ＡＳＩＣ）等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図１６に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
【００４４】
また、前述の実施の形態の説明において、予め定められた値との比較において、「以上」、「以下」、「より大きい」、「より小さい（未満）」としたものは、その組み合わせに矛盾が生じない限り、それぞれ「より大きい」、「より小さい（未満）」、「以上」、「以下」としてもよい。
【００４５】
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通等のために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃ）、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ（登録商標））、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）メモリーカード等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、又は無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、又は別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して記録されていてもよい。また、圧縮や暗号化等、復元可能であればどのような態様で記録されていてもよい。
【符号の説明】
【００４６】
１００…監査システム
１０５…監査システム管理者端末
１１０…情報処理装置
１１５…監査方法変更判定モジュール
１２０…監査方法変更モジュール
１２５…監査方法変更ルール管理モジュール
１３０…監査実施モジュール
１３５…監査結果報告モジュール
１４０…監査方法管理モジュール
１４５…監査スケジュール管理モジュール
１５０…監査結果ＤＢ
１７０…業務システム
１７５…業務プロセス管理者端末
１８０…統制責任者端末
１８５…証跡登録者端末
１９０…業務プロセスＤＢ
１９５…証跡ＤＢ
２９０…通信回線
３８０…社内用通信回線
３９０…通信回線
【要約】
【課題】第１の組織の監査においてコントロールの実施における不備を発見された場合に、そのコントロールと同等のコントロールを有する第２の組織における監査方法を変更するようにした情報処理装置を提供する。
【解決手段】情報処理装置の変更手段は、第１の組織の監査においてコントロールの実施における不備を発見された場合に、前記コントロールと同等のコントロールを有する第２の組織の監査方法を変更する。
【選択図】図１【図１】
0005787017.tif 000002
【図２】
0005787017.tif 000003
【図３】
0005787017.tif 000004
【図４】
0005787017.tif 000005
【図５】
0005787017.tif 000006
【図６】
0005787017.tif 000007
【図７】
0005787017.tif 000008
【図８】
0005787017.tif 000009
【図９】
0005787017.tif 000010
【図１０】
0005787017.tif 000011
【図１１】
0005787017.tif 000012
【図１２】
0005787017.tif 000013
【図１３】
0005787017.tif 000014
【図１４】
0005787017.tif 000015
【図１５】
0005787017.tif 000016
【図１６】
0005787017.tif 000017