(57)【特許請求の範囲】
【請求項１】
対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、
前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、
前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段を具備し、
前記第２抽出手段は、前記コントロールの評価が実施された場所が、前記組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出する
ことを特徴とする情報処理装置。
【請求項２】
前記場所は、国又は地域であることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
組織のリスクと同等のリスクに対応するコントロールを抽出する第１抽出手段と、
前記リスクに対応するコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、
前記第２抽出手段により抽出されたコントロールを、前記組織のコントロールの候補として表示する表示手段を具備し、
前記第２抽出手段は、前記コントロールの使用回数を用いてコントロールを抽出する
ことを特徴とする情報処理装置。
【請求項４】
対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、
前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、
前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段を具備し、
前記第２抽出手段は、前記コントロールの評価の作業数を用いてコントロールを抽出する
ことを特徴とする情報処理装置。
【請求項５】
前記第２抽出手段は、前記コントロールの評価が実施された場所が、前記組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することを特徴とする請求項３又は４に記載の情報処理装置。
【請求項６】
前記第２抽出手段は、前記コントロールの使用回数を用いてコントロールを抽出することを特徴とする請求項１、２又は４のいずれか一項に記載の情報処理装置。
【請求項７】
前記第２抽出手段は、前記コントロールの評価の作業数を用いてコントロールを抽出することを特徴とする請求項１、２又は３のいずれか一項に記載の情報処理装置。
【請求項８】
前記組織によるコントロールの評価が行われた場合は、該組織におけるリスク、コントロール、コントロールの評価結果を登録する登録手段をさらに具備することを特徴とする請求項１から７のいずれか一項に記載の情報処理装置。
【請求項９】
コンピュータを、
対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、
前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、
前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段として機能させ、
前記第２抽出手段は、前記コントロールの評価が実施された場所が、前記組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出する
ことを特徴とする情報処理プログラム。
【請求項１０】
コンピュータを、
組織のリスクと同等のリスクに対応するコントロールを抽出する第１抽出手段と、
前記リスクに対応するコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、
前記第２抽出手段により抽出されたコントロールを、前記組織のコントロールの候補として表示する表示手段として機能させ、
前記第２抽出手段は、前記コントロールの使用回数を用いてコントロールを抽出する
ことを特徴とする情報処理プログラム。
【請求項１１】
コンピュータを、
対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、
前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、
前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段として機能させ、
前記第２抽出手段は、前記コントロールの評価の作業数を用いてコントロールを抽出する
ことを特徴とする情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及び情報処理プログラムに関する。
【背景技術】
【０００２】
特許文献１には、内部統制作業において潜在するリスク把握、評価、適切なコントロール設定が困難であった点を解決することを課題とし、個々の業務機能に潜むリスクを洗い出し、このリスクに対する具体的なコントロールを設定し、リスクに対して設定されたコントロールが適切に業務に適用され継続して機能しているか否かを点検し、リスクに対する適切なコントロールの設定がされていないと判断された場合には、既存のコントロールの設定の見直しを行うことが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−０７７１４９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
先行技術においては、ユーザがコントロールを採用した後に、コントロールが適切に機能しているか否か評価し、その評価結果を元にコントロールの適性を検討することは可能であった。しかし、ユーザがコントロールを採用する前に、該当コントロールの評価結果を元にコントロールの適性を検討することはできなかったため、ユーザはコントロールを採用する前に、該当コントロールの評価結果を元に、ユーザに適したコントロールを抽出することはできなかった。
そこで本発明は、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するようにした情報処理装置及び情報処理プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００５】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段を具備し、前記第２抽出手段は、前記コントロールの評価が実施された場所が、前記組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することを特徴とする情報処理装置である。
請求項２の発明は、前記場所は、国又は地域であることを特徴とする請求項１に記載の情報処理装置である。
請求項３の発明は、組織のリスクと同等のリスクに対応するコントロールを抽出する第１抽出手段と、前記リスクに対応するコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、前記第２抽出手段により抽出されたコントロールを、前記組織のコントロールの候補として表示する表示手段を具備し、前記第２抽出手段は、前記コントロールの使用回数を用いてコントロールを抽出することを特徴とする情報処理装置である。
請求項４の発明は、対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段を具備し、前記第２抽出手段は、前記コントロールの評価の作業数を用いてコントロールを抽出することを特徴とする情報処理装置である。
【０００６】
請求項５の発明は、前記第２抽出手段は、前記コントロールの評価が実施された場所が、前記組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することを特徴とする請求項３又は４に記載の情報処理装置である。
【０００７】
請求項６の発明は、前記第２抽出手段は、前記コントロールの使用回数を用いてコントロールを抽出することを特徴とする請求項１、２又は４のいずれか一項に記載の情報処理装置である。
【０００８】
請求項７の発明は、前記第２抽出手段は、前記コントロールの評価の作業数を用いてコントロールを抽出することを特徴とする請求項１、２又は３のいずれか一項に記載の情報処理装置である。
【０００９】
請求項８の発明は、前記組織によるコントロールの評価が行われた場合は、該組織におけるリスク、コントロール、コントロールの評価結果を登録する登録手段をさらに具備することを特徴とする請求項１から７のいずれか一項に記載の情報処理装置である。
【００１１】
請求項９の発明は、コンピュータを、対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段として機能させ、前記第２抽出手段は、前記コントロールの評価が実施された場所が、前記組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することを特徴とする情報処理プログラムである。
請求項１０の発明は、コンピュータを、組織のリスクと同等のリスクに対応するコントロールを抽出する第１抽出手段と、前記リスクに対応するコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、前記第２抽出手段により抽出されたコントロールを、前記組織のコントロールの候補として表示する表示手段として機能させ、前記第２抽出手段は、前記コントロールの使用回数を用いてコントロールを抽出することを特徴とする情報処理プログラムである。
請求項１１の発明は、コンピュータを、対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する第１抽出手段と、前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出する第２抽出手段と、前記第２抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する表示手段として機能させ、前記第２抽出手段は、前記コントロールの評価の作業数を用いてコントロールを抽出することを特徴とする情報処理プログラムである。
【発明の効果】
【００１２】
請求項１の情報処理装置によれば、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するにあたって、既に他の組織で実施されたコントロールの評価結果を用いて、コントロールの候補を抽出することができる。また、対象としている組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することができる。
請求項２の情報処理装置によれば、対象としている組織におけるコントロールの評価を実施する国又は地域と適合している組織のコントロールを抽出することができる。
請求項３の情報処理装置によれば、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するにあたって、既に他の組織で実施されたコントロールの評価結果を用いて、コントロールの候補を抽出することができる。また、コントロールが使用された回数を用いてコントロールを抽出することができる。
請求項４の情報処理装置によれば、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するにあたって、既に他の組織で実施されたコントロールの評価結果を用いて、コントロールの候補を抽出することができる。また、コントロールの評価の作業数を用いてコントロールを抽出することができる。
【００１３】
請求項５の情報処理装置によれば、コントロールの評価が実施された場所が、組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することができる。
【００１４】
請求項６の情報処理装置によれば、コントロールが使用された回数を用いてコントロールを抽出することができる。
【００１５】
請求項７の情報処理装置によれば、コントロールの評価の作業数を用いてコントロールを抽出することができる。
【００１６】
請求項８の情報処理装置によれば、組織によるコントロールの評価が行われた場合は、その組織におけるリスク、コントロール、コントロールの評価結果を登録することができる。
【００１８】
請求項９の情報処理プログラムによれば、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するにあたって、既に他の組織で実施されたコントロールの評価結果を用いて、コントロールの候補を抽出することができる。また、対象としている組織におけるコントロールの評価を実施する場所と適合している組織のコントロールを抽出することができる。
請求項１０の情報処理プログラムによれば、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するにあたって、既に他の組織で実施されたコントロールの評価結果を用いて、コントロールの候補を抽出することができる。また、コントロールが使用された回数を用いてコントロールを抽出することができる。
請求項１１の情報処理プログラムによれば、既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するにあたって、既に他の組織で実施されたコントロールの評価結果を用いて、コントロールの候補を抽出することができる。また、コントロールの評価の作業数を用いてコントロールを抽出することができる。
【図面の簡単な説明】
【００１９】
【図１】第１の実施の形態の構成例についての概念的なモジュール構成図である。
【図２】第１の実施の形態を実現する場合のシステム構成例を示す説明図である。
【図３】第１の実施の形態による処理例を示すフローチャートである。
【図４】第１の実施の形態による処理例を示すフローチャートである。
【図５】検索画面の表示例を示す説明図である。
【図６】検索画面に記載された検索例を示す説明図である。
【図７】テストテーブルのデータ構造例を示す説明図である。
【図８】テストテーブルにシミュレーション結果を含めたデータ構造例を示す説明図である。
【図９】検索結果画面の表示例を示す説明図である。
【図１０】テスト結果テーブルのデータ構造例を示す説明図である。
【図１１】証跡管理テーブルのデータ構造例を示す説明図である。
【図１２】母集団管理テーブルのデータ構造例を示す説明図である。
【図１３】テスト結果判断テーブルのデータ構造例を示す説明図である。
【図１４】コントロール結果判断テーブルのデータ構造例を示す説明図である。
【図１５】実施国管理テーブルのデータ構造例を示す説明図である。
【図１６】使用頻度管理テーブルのデータ構造例を示す説明図である。
【図１７】第２の実施の形態の構成例についての概念的なモジュール構成図である。
【図１８】第２の実施の形態による処理例を示すフローチャートである。
【図１９】本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００２０】
以下、図面に基づき本発明を実現するにあたっての好適な各種の実施の形態の例を説明する。
図１は、第１の実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、それらのモジュールとして機能させるためのコンピュータ・プログラム（コンピュータにそれぞれの手順を実行させるためのプログラム、コンピュータをそれぞれの手段として機能させるためのプログラム、コンピュータにそれぞれの機能を実現させるためのプログラム）、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、モジュールは機能に一対一に対応していてもよいが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）の場合にも用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態に応じて、又はそれまでの状況・状態に応じて定まることの意を含めて用いる。「予め定められた値」が複数ある場合は、それぞれ異なった値であってもよいし、２以上の値（もちろんのことながら、全ての値も含む）が同じであってもよい。また、「Ａである場合、Ｂをする」という意味を有する記載は、「Ａであるか否かを判断し、Ａであると判断した場合はＢをする」の意味で用いる。ただし、Ａであるか否かの判断が不要である場合を除く。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。もちろんのことながら、「システム」には、人為的な取り決めである社会的な「仕組み」（社会システム）にすぎないものは含まない。
また、各モジュールによる処理毎に又はモジュール内で複数の処理を行う場合はその処理毎に、対象となる情報を記憶装置から読み込み、その処理を行った後に、処理結果を記憶装置に書き出すものである。したがって、処理前の記憶装置からの読み込み、処理後の記憶装置への書き出しについては、説明を省略する場合がある。なお、ここでの記憶装置としては、ハードディスク、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、外部記憶媒体、通信回線を介した記憶装置、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）内のレジスタ等を含んでいてもよい。
【００２１】
本実施の形態は、ＩＳＯ（Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｏｒｇａｎｉｚａｔｉｏｎ  ｆｏｒ  Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ、国際標準化機構、具体的には、ＩＳＯ２７００１等）、ＩＳＭＳ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ、情報セキュリティマネジメントシステム）等で定められた評価において、組織で発生し得るリスクに適したコントロールを割り与えるものである。
内部統制を行うためには、基本文書として、ＲＣＭ（リスク・コントロール・マトリックス）等を作成する必要がある。ＲＣＭとは、組織における業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、評価、権利と義務、期間／配分、表示の６項目が一般的には使用されるが、各社また監査法人により一部変更があるため、カスタマイズされ得る。リスクとは、組織目標の達成を阻害する要因のことをいい、具体的には、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。コントロールとは、リスクを軽減するための内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。組織とは、内部統制を適用する対象であって、例えば、企業、会社、部門等があり、以下、企業を例示して説明する。また、サンプリング（数）とは、コントロールの評価（運用テスト、以下、単にテストともいう）で用いられる用語で、一部の項目に対する検証から得た結果をもって全体の特性を評価する手続きをいう。母集団とは、サンプリングのテスト対象を無作為抽出法で抽出する元となる全体のことを指す。証跡とは、証拠となるような痕跡をいう。
【００２２】
本実施の形態である情報処理装置１００は、内部統制におけるリスクに対応するコントロールの候補を抽出するものであって、図１の例に示すように、データ解析モジュール１０５、実施国・使用頻度抽出モジュール１１０、結果抽出モジュール１１５、検索情報管理ＤＢ１３０、リスク・コントロール管理ＤＢ１３５、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、結果管理ＤＢ１５０、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０を有している。そして、情報処理装置１００と通信回線を介して接続されているユーザ端末１７０は、結果表示モジュール１８０、検索条件受付モジュール１８５、画面表示モジュール１９０を有している。データ解析モジュール１０５は、実施国・使用頻度抽出モジュール１１０、検索情報管理ＤＢ１３０、ユーザ端末１７０の検索条件受付モジュール１８５と接続されている。データ解析モジュール１０５は、対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出する。ここで、「リスクが同等」とは、リスクが完全一致する場合を含み、２つのリスクが予め定められた条件を満たす場合を含む。ここでの予め定められた条件として、例えば、（１）同等とするリスクを列挙したレコードからなるテーブルを用意しておき、このテーブルの１レコード内で２つのリスクがあること、（２）予め定められた計算式に一方のリスクを代入して、他方のリスクと同じ値になること、（３）予め定められた値でリスクをソートして、そのソート後の順位において、２つのリスク間の差分が予め定められた値未満又は以下であること等がある。
具体的には、データ解析モジュール１０５は、検索条件受付モジュール１８５からの検索指示にしたがってユーザ端末１７０を用いているユーザが所属している組織（Ａ）と同等の業種、規模等である組織であって、組織（Ａ）で発生し得るリスクと同等のリスクを有している組織（Ｂ）のデータ（検索情報管理ＤＢ１３０）から、その組織（Ｂ）におけるリスクに対応するコントロールをリスク・コントロール管理ＤＢ１３５から抽出する。組織におけるリスクとコントロールの対応付けに関しては、特開２００８−７７１４９号公報等に記載の技術を用いればよい。なお、さらに、結果抽出モジュール１１５（又は実施国・使用頻度抽出モジュール１１０と結果抽出モジュール１１５）による処理によって、データ解析モジュール１０５が抽出したコントロールから、組織（Ａ）のコントロールの候補を抽出することになる。
【００２３】
実施国・使用頻度抽出モジュール１１０は、データ解析モジュール１０５、結果抽出モジュール１１５、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５と接続されている。
実施国・使用頻度抽出モジュール１１０は、データ解析モジュール１０５によって抽出されたコントロールの評価が行われた国又は地域において、コントロールの評価が実施された国又は地域が、対象としている組織におけるコントロールの評価を実施する国又は地域と適合している組織のコントロールを抽出する。例えば、両者の国又は地域が一致するものを抽出するようにしてもよい。各国等で相違する法やルールに適合したものを選択するためである。
また、実施国・使用頻度抽出モジュール１１０は、データ解析モジュール１０５によって抽出されたコントロール内で、コントロールの使用回数を用いてコントロールを抽出するようにしてもよい。例えば、抽出されたコントロールで使用回数が高いもの（例えば、使用回数で降順にソートして、予め定められた順位内のもの、予め定められた回数より多い又は以上であるもの等）を抽出するようにしてもよい。なお、ここでの使用回数とは、組織に関係なくコントロール自体が使用された回数を示している。使用回数が高いコントロールは、信用あるコントロールとなり得る可能性が高いためである。
【００２４】
結果抽出モジュール１１５は、実施国・使用頻度抽出モジュール１１０、結果管理ＤＢ１５０、ユーザ端末１７０の結果表示モジュール１８０と接続されている。
結果抽出モジュール１１５は、データ解析モジュール１０５が抽出したコントロールの中から、リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを、対象としている組織におけるコントロールの候補として抽出する。ここでの「予め定められた条件」として、例えば、最もよい評価結果であること、評価結果が予め定められた閾値より高い又は閾値以上であること、評価結果で降順にソートを行い、順位が予め定められた閾値未満又は以下であること（早い順位であること）等がある。具体的には、コントロールを評価するための評価を実施した結果情報（後述するサンプルテスト結果、サンプルテスト問題無割合、テスト結果、コントロール結果のいずれか）が最もよいコントロールを抽出するようにしてもよい。
なお、結果抽出モジュール１１５は、実施国・使用頻度抽出モジュール１１０による結果を用いることなく、データ解析モジュール１０５による処理結果を用いるようにしてもよい。もちろんのことながら、結果抽出モジュール１１５は、実施国・使用頻度抽出モジュール１１０による抽出結果に対して、前述の処理を行うようにしてもよい。
結果抽出モジュール１１５は、コントロールの評価の作業数を用いてコントロールを抽出するようにしてもよい。例えば、実施国・使用頻度抽出モジュール１１０によって抽出されたコントロールから、評価作業数が少ないコントロールを抽出する。具体的には、コントロール数や「証跡数×サンプリング数」を用いて抽出する。評価する作業数が少ないということは、無駄な工数を削減することができることとなる。つまり、効率的に作業を行うようにするためである。
さらに結果抽出モジュール１１５は、コントロールの評価基準を用いてコントロールを抽出するようにしてもよい。例えば、実施国・使用頻度抽出モジュール１１０によって抽出されたコントロールから、対象としている組織と同等のもしくはそれ以上のコントロールの評価基準を使用しているコントロールを抽出する。具体的には、「サンプルテスト問題無割合」を用いて抽出する。対象としている組織の同等以上のコントロール評価基準をもつということは、対象としている組織にとって適切なコントロールを抽出することができることとなる。
【００２５】
検索情報管理ＤＢ１３０、リスク・コントロール管理ＤＢ１３５、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、結果管理ＤＢ１５０、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０は、組織毎の情報（リスクとコントロールの関連、証跡数（種類）、サンプリング数、テスト結果、テスト結果で問題がないことを表す割合等）を管理する。
検索情報管理ＤＢ１３０は、データ解析モジュール１０５、リスク・コントロール管理ＤＢ１３５と接続されている。検索情報管理ＤＢ１３０は、組織に関する情報、例えば、組織の名称、組織の業種、組織の売上規模、組織の従業員規模等を記憶しており、データ解析モジュール１０５からアクセスされる。
リスク・コントロール管理ＤＢ１３５は、検索情報管理ＤＢ１３０、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０と接続されている。リスク・コントロール管理ＤＢ１３５は、組織毎に、リスクとコントロールとの対応を記憶している。例えば、前述のＲＣＭを記憶している。また、検索情報管理ＤＢ１３０、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０内のデータのリンクから、リスク・コントロール管理ＤＢ１３５内のデータが参照可能となっている。逆に、リスク・コントロール管理ＤＢ１３５内のデータのリンクから、検索情報管理ＤＢ１３０等内のデータが参照可能となっている。
【００２６】
実施国管理ＤＢ１４０は、実施国・使用頻度抽出モジュール１１０、リスク・コントロール管理ＤＢ１３５、使用頻度管理ＤＢ１４５と接続されている。実施国管理ＤＢ１４０は、後述する図１５の例に示すようなデータを保持しており、組織毎に、その組織のコントロールに対するテストが実施された国又は地域（対応国）を記憶している。なお、既にテストが実施された国又は地域だけでなく、テストの実施を予定している国又は地域を記憶してもよい。
使用頻度管理ＤＢ１４５は、実施国・使用頻度抽出モジュール１１０、リスク・コントロール管理ＤＢ１３５、実施国管理ＤＢ１４０と接続されている。使用頻度管理ＤＢ１４５は、組織毎に、コントロールの使用回数を記憶している。さらに、例えば、コントロールが採用もしくは実施された年月日を記憶していてもよいし、予め定められた期間におけるコントロールの使用回数等を記憶していてもよい。
結果管理ＤＢ１５０は、結果抽出モジュール１１５と接続されている。結果管理ＤＢ１５０は、組織毎に、その組織において実施されたテストの結果を記憶している。
母集団管理ＤＢ１５５は、リスク・コントロール管理ＤＢ１３５、証跡数管理ＤＢ１６０と接続されている。母集団管理ＤＢ１５５は、後述する図１２の例に示すようなデータを保持しており、組織毎に、その組織において実施され得るテストにおけるテスト対象の母集団を記憶している。
証跡数管理ＤＢ１６０は、リスク・コントロール管理ＤＢ１３５、母集団管理ＤＢ１５５と接続されている。証跡数管理ＤＢ１６０は、後述する図１１の例に示すようなデータを保持しており、組織毎に、その組織において実施され得るテストにおける証跡数を記憶している。また、証跡数管理ＤＢ１６０内のデータのリンクから、母集団管理ＤＢ１５５内のデータが参照可能となっている。逆に、母集団管理ＤＢ１５５内のデータのリンクから、証跡数管理ＤＢ１６０内のデータが参照可能となっている。
【００２７】
画面表示モジュール１９０は、検索条件受付モジュール１８５と接続されている。画面表示モジュール１９０は、リスクに対応するコントロールを検索するための画面を、ユーザ端末１７０の液晶ディスプレイ等の表示装置に表示する。例えば、ブラウザによって、情報処理装置１００の検索用ページを表示するようにしてもよい。具体例について、図５の例に示す検索画面５００を用いて後述する。
検索条件受付モジュール１８５は、画面表示モジュール１９０、情報処理装置１００のデータ解析モジュール１０５と接続されている。検索条件受付モジュール１８５は、画面表示モジュール１９０によって表示された検索画面に、ユーザによりキーボード、マウス、タッチパネル等を用いて記載された、検索条件を受け付ける。そして、情報処理装置１００のデータ解析モジュール１０５に、その検索条件を送信する。具体例について、図６の例に示す検索画面５００を用いて後述する。
結果表示モジュール１８０は、情報処理装置１００の結果抽出モジュール１１５と接続されている。結果表示モジュール１８０は、情報処理装置１００の結果抽出モジュール１１５によって送信された検索結果（リスクに対応するコントロール群）を表示する。具体例について、図９の例に示す検索結果画面９００を用いて後述する。
【００２８】
情報処理装置１００、ユーザ端末１７０による処理例（概略）を時系列で説明する。
（１）  画面表示モジュール１９０は、ユーザ端末１７０の表示装置に検索画面を表示する。
（２）  検索条件受付モジュール１８５は、その検索画面に、ユーザのキーボード、マウス、タッチパネル等に対する操作によって記載された検索情報を受け付ける。例えば、ユーザの操作によってユーザの組織（クライアント）のリスク情報、業種、規模等を選択し、コントロール検索の指示を行う。
（３）  データ解析モジュール１０５は、検索条件受付モジュール１８５で入力した検索情報を解析し、該当する組織のコントロールを検索する。
（４）  実施国・使用頻度抽出モジュール１１０は、データ解析モジュール１０５の結果から、実施国・使用頻度抽出モジュール１１０の評価の実施国や過去に使用された回数（使用回数）を用いてコントロールを抽出する。
（５）  結果抽出モジュール１１５は、「コントロール結果」、「テスト結果」、「サンプルテスト：問題無割合」等を用いてコントロールを抽出する。
（６）  結果表示モジュール１８０は、適したコントロール順に検索結果を表示する。
【００２９】
図２は、第１の実施の形態を実現する場合のシステム構成例を示す説明図である。
情報処理装置１００、Ａ社ユーザ端末１７０Ａ、Ｂ社ユーザ端末１７０Ｂ、Ｃ社ユーザ端末１７０Ｃ、Ｄ社ユーザ端末１７０Ｄ、Ｅ社ユーザ端末１７０Ｅは、通信回線２９０を介してそれぞれ接続されている。通信回線２９０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのインターネット等であってもよい。各社からのユーザ端末１７０によって、情報処理装置１００にアクセスが行われる。例えば、Ａ社ユーザ端末１７０Ａからのアクセスによって、Ａ社がコントロールを採用する際、Ｃ社が採用しているコントロールに対する評価（テスト）結果が利用される。
【００３０】
図３は、第１の実施の形態による処理例を示すフローチャートである。
ステップＳ３０２では、データ解析モジュール１０５は、自社のリスクに対するコントロールを、業種、規模等の必要属性を設定し、検索処理をする。
図５は、検索画面５００の表示例を示す説明図である。画面表示モジュール１９０は、検索画面５００に、リスク情報欄５１０、コントロールのテストが行われた国を設定する作業実施国欄５２０、コントロールの使用回数を設定する使用頻度欄５３０Ａ、使用頻度欄５３０Ｂ、コントロールの評価が行われた期間を設定する期間欄５４０Ａ、期間欄５４０Ｂ、対象とする組織の業種を設定する業種欄５５０、対象とする組織の売上規模を設定する売上規模欄５６０Ａ、売上規模欄５６０Ｂ、対象とする組織の従業員規模を設定する従業員規模欄５７０Ａ、従業員規模欄５７０Ｂ、検索ボタン５８０を表示する。リスク情報欄５１０〜従業員規模欄５７０Ｂは、ユーザによって記載（選択等も含む）され、リスクに対応するコントロールの検索条件となる。また、特開２０１３−８０２９９号公報等に記載の技術を用いて、リスク情報欄５１０を使用せずに業種、規模等からリスク情報を抽出してもよい。期間欄５４０Ａは、カレンダーを表示して選択するようにしてもよい。
図６は、検索画面５００に記載された検索例を示す説明図である。リスク情報欄５１０には「Ｒ１」と記載され、作業実施国欄５２０には「Ｙ国」と記載され、使用頻度欄５３０Ａには「５」と記載され、使用頻度欄５３０Ｂには「以上」と記載され、期間欄５４０Ａには「２０１０／０１／０１」と記載され、期間欄５４０Ｂには「以降」と記載され、業種欄５５０には「自動車」と記載され、売上規模欄５６０Ａには「ＸＸＸＸＸ」と記載され、売上規模欄５６０Ｂには「以上」と記載され、従業員規模欄５７０Ａには「ＸＸＸＸＸ」と記載され、従業員規模欄５７０Ｂには「以上」と記載されている。この状態で、検索ボタン５８０が押下される。検索ボタン５８０の押下によって、これらの検索条件にしたがってデータ解析モジュール１０５等による検索が行われる。
【００３１】
ステップＳ３０４では、結果抽出モジュール１１５は、検索内容から、適したコントロールを、リスク・コントロール管理ＤＢ１３５、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０を用いて抽出する。このステップＳ３０４の処理については、図４の例に示すフローチャートを用いて後述する。
【００３２】
図４は、第１の実施の形態（結果抽出モジュール１１５）による処理例を示すフローチャートである。
ステップＳ４０２では、コントロールの評価結果が高いものを抽出する。例えば、テストテーブル７００を用いてコントロールを抽出する。テストテーブル７００は、図６の例で示した企業規模（業種、売上規模、従業員規模）の検索条件を満たす企業を抽出した結果を示すものである。なお、図６に示す例は、Ｅ社による検索であるとする。ステップＳ４０２では、検索画面で指定された内容から、「コントロール結果」を確認する。
図７は、テストテーブル７００のデータ構造例を示す説明図である。テストテーブル７００は、企業名欄７１０、リスク欄７１５、コントロール欄７２０、証跡欄７２５、テスト欄７３０、母集団のサンプリング数欄７３５、サンプルテスト（サンプリング数×証跡）欄７４０、サンプルテスト結果欄７４５、サンプルテスト問題無割合欄７５０、テスト結果欄７５５、コントロール結果欄７６０、実施国欄７６５、使用頻度欄７７０を有している。
企業名欄７１０は、企業名を記憶している。リスク欄７１５は、その企業におけるリスクを記憶している。コントロール欄７２０は、そのリスクに対応するコントロールを記憶している。
【００３３】
証跡欄７２５は、そのコントロールにおける証跡数を記憶している。証跡欄７２５の値については、例えば、証跡管理テーブル１１００を用いればよい。図１１は、証跡管理テーブル１１００のデータ構造例を示す説明図である。証跡管理テーブル１１００は、企業名欄１１１０、１コントロール毎の証跡数欄１１２０、証跡情報欄１１３０を有している。証跡情報欄１１３０は、納品書欄１１３２、申請書欄１１３４、契約書欄１１３６、請求書欄１１３８、計画書欄１１４０、規定／帳簿欄１１４２、確認書欄１１４４、依頼書欄１１４６、受領書欄１１４８、マニュアル欄１１５０を有している。企業名欄１１１０は、企業名を記憶している。１コントロール毎の証跡数欄１１２０は、その企業における１コントロール毎の証跡数を記憶している。証跡情報欄１１３０は、そのコントロールにおける証跡情報を記憶している。納品書欄１１３２は、証跡として納品書の採用有無（「○」は採用の意）を記憶している。申請書欄１１３４は、証跡として申請書の採用有無を記憶している。契約書欄１１３６は、証跡として契約書の採用有無を記憶している。請求書欄１１３８は、証跡として請求書の採用有無を記憶している。計画書欄１１４０は、証跡として計画書の採用有無を記憶している。規定／帳簿欄１１４２は、証跡として規定／帳簿の採用有無を記憶している。確認書欄１１４４は、証跡として確認書の採用有無を記憶している。依頼書欄１１４６は、証跡として依頼書の採用有無を記憶している。受領書欄１１４８は、証跡として受領書の採用有無を記憶している。マニュアル欄１１５０は、証跡としてマニュアルの採用有無を記憶している。例えば、Ａ社では、１コントロールに対して５つの証跡があり、それは、納品書、申請書、契約書、請求書、計画書がある。
【００３４】
テスト欄７３０は、そのコントロールのテストを記憶している。テスト欄７３０の値については、例えば、母集団管理テーブル１２００を用いればよい。
テーブル１２００は、企業名欄１２１０、母集団のサンプリング数規定値欄１２２０を有している。企業名欄１２１０は、企業名を記憶している。母集団のサンプリング数規定値欄１２２０は、その企業におけるテストの母集団のサンプリング数規定値を記憶している。例えば、Ａ社におけるテストのサンプリング数は「２５」である。
【００３５】
母集団のサンプリング数欄７３５は、そのテストにおける母集団のサンプリング数を記憶している。なお、「母集団のサンプリング数」は、一部の項目に対するテスト結果で全体の特性を評価する手続きで、そのテストする数値のことである。サンプルテスト（サンプリング数×証跡）欄７４０は、サンプルテスト（サンプリング数×証跡）を記憶している。つまり、母集団のサンプリング数欄７３５と証跡欄７２５の値によって定まる。
サンプルテスト結果欄７４５は、そのサンプルテストにおいて「○（問題無し）」である結果の数を記憶している。つまり、サンプルテスト（サンプリング数×証跡）欄７４０内の値以下である。
【００３６】
テスト結果欄７５５の値については、例えば、サンプルテスト問題無割合欄７５０の値にテスト結果判断テーブル１３００を適用すればよい。図１３は、テスト結果判断テーブル１３００のデータ構造例を示す説明図である。テスト結果判断テーブル１３００は、企業名欄１３１０、テスト結果条件（１）欄１３２０、テスト結果条件（２）欄１３３０を有している。企業名欄１３１０は、企業名を記憶している。テスト結果条件（１）欄１３２０は、その企業におけるテスト結果が「○」となる条件（サンプル結果が〇の割合）を記憶している。テスト結果条件（２）欄１３３０は、テスト結果が「△」となる条件（サンプル結果が〇の割合）記憶している。例えば、Ａ社においては、サンプルテストの問題無の割合が９３％以上である場合はテスト結果「○」となり、サンプルテストの問題無の割合が９０％以上９２％以下である場合はテスト結果「△」となる。なお、これ以外の場合（サンプルテストの問題無の割合が９２％未満である場合）はテスト結果「×」となる。テストテーブル７００では、Ａ社では１つのリスクに対し２つのコントロールが存在しており、１つ目のコントロールに対するテストではサンプルテスト問題無割合欄７５０は１００％であるのでテスト結果「○」となり、２つ目のコントロールに対するテストではサンプルテスト問題無割合欄７５０は８８％であるのでテスト結果「×」となる。
【００３７】
サンプルテスト問題無割合欄７５０は、サンプルテスト問題無割合を記憶している。つまり、（サンプルテスト結果欄７４５の値）／（サンプルテスト（サンプリング数×証跡）欄７４０の値）×１００によって算出される。テスト結果欄７５５は、そのサンプルテスト問題無割合に対応するテスト結果を記憶している。
【００３８】
コントロール結果欄７６０は、そのテスト結果に対応するコントロール結果を記憶している。コントロール結果欄７６０の値については、例えば、テスト結果欄７５５の値にコントロール結果判断テーブル１４００を適用すればよい。図１４は、コントロール結果判断テーブル１４００のデータ構造例を示す説明図である。コントロール結果判断テーブル１４００は、企業名欄１４１０、テスト結果欄１４２０、コントロール結果欄１４３０を有している。企業名欄１４１０は、企業名を記憶している。テスト結果欄１４２０は、その企業におけるテスト結果を記憶している。コントロール結果欄１４３０は、そのテスト結果に対応するコントロール結果を記憶している。つまり、コントロール結果欄１４３０の値を適用する条件をテスト結果欄１４２０が記憶している。なお、テスト結果欄１４２０の「×あり」は「△あり」より優先して適用される。したがって、テスト結果「×」が１つでもある場合は、「×あり」のコントロール結果欄１４３０となり、テスト結果「△」だけ、又は「○」と「△」の混合（「×」無し）の場合は、「△あり」のコントロール結果欄１４３０となる。例えば、Ｂ社ではテスト結果欄７５５が「○」、「○」であるので、コントロール結果判断テーブル１４００のＢ社のテスト結果欄１４２０が「○のみ」に該当し、コントロール結果欄７６０は「○」となる。また、Ｃ社ではテスト結果欄７５５が「×」、「○」であるので、コントロール結果判断テーブル１４００のＣ社のテスト結果欄１４２０が「×あり」に該当し、コントロール結果欄７６０は「×」となる。なお、個々のコントロールに対してコントロール結果欄７６０があるので、Ａ社では、２つのコントロール（「Ｃ１」、「Ｃ２」）があり、コントロール結果も２つある。
【００３９】
実施国欄７６５は、テストの実施国を記憶している。実施国欄７６５の値については、例えば、実施国管理テーブル１５００を用いればよい。図１５は、実施国管理テーブル１５００のデータ構造例を示す説明図である。実施国管理テーブル１５００は、企業名欄１５１０、実施国欄１５２０を有している。企業名欄１５１０は、企業名を記憶している。実施国欄１５２０は、その企業によってテストが実施された国を記憶している。例えば、実施国管理テーブル１５００よりＤ社ではテストがＹ国で行われており、実施国欄７６５では「Ｙ国」となっている。
【００４０】
使用頻度欄７７０は、そのテストにおけるコントロールの使用頻度を記憶している。使用頻度欄７７０の値については、例えば、使用頻度管理テーブル１６００を用いればよい。図１６は、使用頻度管理テーブル１６００のデータ構造例を示す説明図である。使用頻度管理テーブル１６００は、企業名欄１６１０、コントロール欄１６２０、使用頻度欄１６３０を有している。企業名欄１６１０は、企業名を記憶している。コントロール欄１６２０は、その企業におけるコントロールを記憶している。使用頻度欄１６３０は、そのコントロールの使用頻度（ここでは使用回数）を記憶している。例えば、使用頻度管理テーブル１６００よりＤ社のコントロール「Ｃ１」ではテストが８回行われており、使用頻度欄７７０では「８回」となっている。
【００４１】
例えば、Ｄ社については、リスク欄７１５は「Ｒ１」、コントロール欄７２０は「Ｃ１」、証跡欄７２５は「６」、テスト欄７３０は「１」、母集団のサンプリング数欄７３５は「２０」、サンプルテスト（サンプリング数×証跡）欄７４０は「１２０」、サンプルテスト結果欄７４５は「１２０」、サンプルテスト問題無割合欄７５０は「１００％」、テスト結果欄７５５は「〇」、コントロール結果欄７６０は「〇」、実施国欄７６５は「Ｙ国」、使用頻度欄７７０は「８回」である。
また、Ｂ社、Ｃ社については、１つのコントロール「Ｃ１」に対して、テストが２回行われたことを示しており、Ａ社については、コントロールが２つ（「Ｃ１」、「Ｃ２」）あることを示している。
また、「結果」の関連は以下の通りである。
「サンプルテスト結果」（サンプルテスト結果欄７４５）をまとめた結果が、「テスト結果」（テスト結果欄７５５）となり、「テスト結果」（テスト結果欄７５５）をまとめた結果が「コントロール結果」（コントロール結果欄７６０）となる。
なお、Ｅ社条件テーブル７８０は、Ｅ社においてコントロールが決定される前（もちろんのことながら、テストが実施される前）であるので、テストテーブル７００に登録されていない。値が未定の欄は「？」を記載している。
【００４２】
ステップＳ４０４では、抽出されたコントロールのうち、「サンプルテスト：問題無割合」（サンプルテスト問題無割合欄７５０）を確認する。
ステップＳ４０６では、テスト結果判断テーブル１３００と照らし合わせ、「サンプルテスト：問題無割合」が対象としている企業以上のコントロールを抽出する。ステップＳ４０２〜Ｓ４０６の処理は、テスト結果がよいコントロールの選択に関する処理である。
ステップＳ４０８では、抽出されたコントロールを対象としている企業に適用した場合の「サンプリング数×証跡」（サンプルテスト（サンプリング数×証跡）欄７４０）を確認する。
ステップＳ４１０では、抽出したコントロールに複数のテストが存在する場合には、各テストにおける「サンプリング数×証跡」を合算する。例えば、図７の例におけるＢ社、Ｃ社が該当する。
ステップＳ４１２では、ステップＳ４０８又はステップＳ４１０の処理結果の数値が小さいものを抽出する。
ステップＳ４０８〜Ｓ４１２の処理は、作業効率がよい（テスト作業が少ない）コントロールの選択に関する処理である。つまり、テスト結果がよく、テスト効率がよい、コントロールが選択されることとなる。
ステップＳ４１４では、ステップＳ４０８〜Ｓ４１２で抽出されたコントロールを、対象としている企業の適したコントロールとして、検索結果の一番上に表示する。
【００４３】
図８は、テストテーブル７００にシミュレーション結果を含めたデータ構造例を示す説明図である。
Ｅ社の証跡やサンプリング数に割り当てたシミュレーション結果を、図８の例に示すテストテーブル７００に示す。これは、図７の例に示したテストテーブル７００の各テストに対して、シミュレーション結果を付加したものである。例えば、シミュレーション結果８１０は、Ｄ社の証跡欄７２５をＥ社の５とし、Ｄ社の母集団のサンプリング数欄７３５をＥ社の２０とした場合のシミュレーション結果であり、サンプルテスト（サンプリング数×証跡）欄７４０は１００となる。
コントロール結果欄７６０の「コントロール結果」が「○」となるのは、Ａ社、Ｂ社、Ｄ社である。なお、Ｃ社はコントロールに複数のテストが存在し、「テスト結果」が「×」のものが含まれ、図１４の例に示すコントロール結果判断テーブル１４００により「コントロール結果」が「×」となっている。
図１３の例に示すテスト結果判断テーブル１３００のテスト結果条件（１）欄１３２０によりＥ社（自社：検索を行った企業）は「サンプルのテスト問題無割合」が「９５％以上」である必要があり、該当するのは、Ｂ社とＤ社となる。なお、Ａ社は、「サンプルのテスト問題無割合」は９３％のため、該当しない。
さらに「実施国」、「使用頻度」を加えた抽出を行ってもＢ社とＤ社のコントロールが適している。つまり、Ｅ社の実施国（Ｙ国）と合致し、使用頻度は予め定められた条件（上位２位以内）を満たしている。また、証跡情報についても同等の証跡を活用していることもわかる。
ただし、Ｂ社はリスクに対してコントロールは１つであるが、テストが２つ割り付き、Ｂ社のテスト作業をＥ社の証跡数やサンプリング数に置き換えて実施すると、合算されたテスト作業は２００回となる。Ｄ社のテストは１つでテスト作業は１００回であるため、作業効率を考慮するとＤ社が採用しているコントロールが適していることとなる。
【００４４】
図９は、検索結果画面９００の表示例を示す説明図である。検索結果画面９００は、結果表示モジュール１８０がユーザ端末１７０の表示装置に表示するもの（結果抽出モジュール１１５による抽出結果）である。
検索結果画面９００は、検索領域９１０、検索結果領域９５０を有している。検索領域９１０には、リスク情報欄５１０、作業実施国欄５２０、使用頻度欄５３０Ａ、使用頻度欄５３０Ｂ、期間欄５４０Ａ、期間欄５４０Ｂ、業種欄５５０、売上規模欄５６０Ａ、売上規模欄５６０Ｂ、従業員規模欄５７０Ａ、従業員規模欄５７０Ｂ、検索ボタン５８０が表示されている。つまり、検索条件（図６の例に示した検索画面５００の内容）を表示している。
検索結果領域９５０には、結果抽出モジュール１１５による抽出結果である検索結果テーブル９６０を表示している。検索結果テーブル９６０は、企業名欄９６２、最適なコントロール欄９６４、実施国欄９６６、使用頻度欄９６８、証跡情報欄９７０を有している。企業名欄９６２は、企業名を表示している。最適なコントロール欄９６４は、検索条件のリスクに対応しており、その企業で採用しているコントロールを表示している。実施国欄９６６は、そのコントロールのテストが実施された国を表示している。使用頻度欄９６８は、そのコントロールのテストにおける使用頻度を表示している。証跡情報欄９７０は、そのコントロールの証跡情報を表示している。
【００４５】
図１０は、テスト結果テーブル１０００のデータ構造例を示す説明図である。このテスト結果テーブル１０００はＤ社が作用しているコントロールをＥ社に適用した後、Ｅ社におけるコントロールに対するテスト結果を、テストテーブル７００に反映したものである。そして、Ｅ社におけるコントロールの使用頻度だけでなく、Ｄ社におけるコントロールの使用頻度も更新されている。つまり、Ｄ社が採用しているコントロールが、Ｅ社で採用され使用されたからである。
テスト結果テーブル１０００は、企業名欄１０１０、リスク欄１０１５、コントロール欄１０２０、証跡欄１０２５、テスト欄１０３０、母集団のサンプリング数欄１０３５、サンプルテスト（サンプリング数×証跡）欄１０４０、サンプルテスト結果欄１０４５、サンプルテスト問題無割合欄１０５０、テスト結果欄１０５５、コントロール結果欄１０６０、実施国欄１０６５、使用頻度欄１０７０を有している。これらは、テストテーブル７００と同等の項目である。
なお、前述の検索条件と同等の検索条件で検索された場合、「使用頻度」や「問題無割合」ではＤ社のコントロールがコントロール候補として一番上に表示されるが、「作業効率」（テスト対象が少ない）では、Ｅ社のコントロールがコントロール候補として一番上に表示される。
【００４６】
図１７は、第２の実施の形態の構成例についての概念的なモジュール構成図を示している。なお、第１の実施の形態と同種の部位には同一符号を付し重複した説明を省略する。第２の実施の形態は、前述の第１の実施の形態に、結果受付モジュール１７５、ＤＢ情報再計算モジュール１２０、システム更新モジュール１２５を付加したものである。
【００４７】
リスク・コントロール管理ＤＢ１３５は、システム更新モジュール１２５、検索情報管理ＤＢ１３０、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０と接続されている。システム更新モジュール１２５、検索情報管理ＤＢ１３０、実施国管理ＤＢ１４０、使用頻度管理ＤＢ１４５、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０内のデータのリンクから、リスク・コントロール管理ＤＢ１３５内のデータが参照可能となっている。逆に、リスク・コントロール管理ＤＢ１３５内のデータのリンクから、システム更新モジュール１２５等内のデータが参照可能となっている。
【００４８】
使用頻度管理ＤＢ１４５は、実施国・使用頻度抽出モジュール１１０、システム更新モジュール１２５、リスク・コントロール管理ＤＢ１３５、実施国管理ＤＢ１４０と接続されている。
結果管理ＤＢ１５０は、結果抽出モジュール１１５、システム更新モジュール１２５と接続されている。
母集団管理ＤＢ１５５は、システム更新モジュール１２５、リスク・コントロール管理ＤＢ１３５、証跡数管理ＤＢ１６０と接続されている。
証跡数管理ＤＢ１６０は、システム更新モジュール１２５、リスク・コントロール管理ＤＢ１３５、母集団管理ＤＢ１５５と接続されている。
【００４９】
ＤＢ情報再計算モジュール１２０は、システム更新モジュール１２５、ユーザ端末１７０の結果受付モジュール１７５と接続されている。ＤＢ情報再計算モジュール１２０は、ユーザ端末１７０の結果受付モジュール１７５から受け付けた情報を、結果管理ＤＢ１５０に記憶させるための情報に変換し、その変換結果をシステム更新モジュール１２５に渡す。
システム更新モジュール１２５は、ＤＢ情報再計算モジュール１２０、リスク・コントロール管理ＤＢ１３５、使用頻度管理ＤＢ１４５、結果管理ＤＢ１５０、母集団管理ＤＢ１５５、証跡数管理ＤＢ１６０と接続されている。システム更新モジュール１２５は、第１の組織によるコントロールの評価が行われた場合は、その第１の組織におけるリスク、コントロール、コントロールの評価結果を登録する。
この登録後においては、データ解析モジュール１０５は、ＤＢ情報再計算モジュール１２０によって登録された組織から第２の組織を抽出するようになる。つまり、抽出されたコントロールで評価実施後の結果を反映する。このことで、結果管理ＤＢ１５０内の情報はその時点での情報が格納されることとなる。
結果受付モジュール１７５は、情報処理装置１００のＤＢ情報再計算モジュール１２０と接続されている。結果受付モジュール１７５は、ユーザによる評価結果の記載又はスクリプト（プログラム）による評価結果を受け付けて、情報処理装置１００のＤＢ情報再計算モジュール１２０に送信する。
【００５０】
情報処理装置１７００、ユーザ端末１７７０による処理例（概略）を時系列で説明する。
（１）  画面表示モジュール１９０は、ユーザ端末１７７０の表示装置に検索画面を表示する。
（２）  検索条件受付モジュール１８５は、その検索画面に、ユーザのキーボード、マウス、タッチパネル等に対する操作によって記載された検索情報を受け付ける。例えば、ユーザの操作によってユーザの組織（クライアント）のリスク情報、業種、規模等を選択し、コントロール検索の指示を行う。
（３）  データ解析モジュール１０５は、検索条件受付モジュール１８５で入力した検索情報を解析し、該当する組織のコントロールを検索する。
（４）  実施国・使用頻度抽出モジュール１１０は、データ解析モジュール１０５の結果から、実施国・使用頻度抽出モジュール１１０の評価の実施国や過去に使用された回数（使用回数）を用いてコントロールを抽出する。
（５）  結果抽出モジュール１１５は、「コントロール結果」、「テスト結果」、「サンプルテスト：問題無割合」等を用いてコントロールを抽出する。
（６）  結果表示モジュール１８０は、適したコントロール順に検索結果を表示する。
（７）  結果受付モジュール１７５は、結果表示モジュール１８０による情報を表示装置に表示にして、ユーザの操作によって自組織にあったコントロールが選択される。評価の作業が実施される。実施後、結果表示モジュール１８０は、評価結果を情報処理装置１００側に送信する。
（８）  ＤＢ情報再計算モジュール１２０は、送信された情報を解析し、既に結果管理ＤＢ１５０等に登録された情報と比較して反映準備をする。
（９）  システム更新モジュール１２５は、結果管理ＤＢ１５０等の各データベースに情報を反映する。
【００５１】
図１８は、第２の実施の形態による処理例を示すフローチャートである。第１の実施の形態による図３の例に示すフローチャートに対応している。ステップＳ１８０２、ステップＳ１８０４の処理は、図３の例に示すフローチャートのステップＳ３０２、ステップＳ３０４の処理と同等のものである。
ステップＳ１８０６では、結果受付モジュール１７５は、自社で適用したコントロールでのテスト結果情報等を設定する。
ステップＳ１８０８では、システム更新モジュール１２５は、設定情報（テスト結果情報等）を、結果管理ＤＢ１５０等のＤＢに反映する。
【００５２】
なお、本実施の形態（第１の実施の形態、第２の実施の形態）は、コントロール評価が高いもの（例えば、前述の例では、コントロール結果が「○」のもの）を抽出することを行っている。
さらにその上で、コントロール評価基準（例えば、サンプルテスト問題無割合等）やコントロールの評価が実施された国又は地域、コントロールの使用回数、コントロールの評価の作業数（例えば、証跡数×サンプリング数等）を用いて、コントロール候補を抽出する。なお、これらの項目（コントロール評価基準、コントロールの評価が実施された国又は地域、コントロールの使用回数、コントロールの評価の作業数）は、用いなくてもよいし、これらの項目のうちのいずれか１つ又はこれらの項目の組み合わせを用いてもよい。そして、これらの項目を使用する順序は問わない。
【００５３】
なお、本実施の形態（情報処理装置１００、ユーザ端末１７０、情報処理装置１７００、ユーザ端末１７７０）としてのプログラムが実行されるコンピュータのハードウェア構成は、図１９に例示するように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバとなり得るコンピュータ等である。つまり、具体例として、処理部（演算部）としてＣＰＵ１９０１を用い、記憶装置としてＲＡＭ１９０２、ＲＯＭ１９０３、ＨＤ１９０４を用いている。ＨＤ１９０４として、例えばハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）を用いてもよい。データ解析モジュール１０５、実施国・使用頻度抽出モジュール１１０、結果抽出モジュール１１５、ＤＢ情報再計算モジュール１２０、システム更新モジュール１２５、結果受付モジュール１７５、結果表示モジュール１８０、検索条件受付モジュール１８５、画面表示モジュール１９０等のプログラムを実行するＣＰＵ１９０１と、そのプログラムやデータを記憶するＲＡＭ１９０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ１９０３と、補助記憶装置（フラッシュメモリ等であってもよい）であるＨＤ１９０４と、キーボード、マウス、タッチパネル等に対する利用者の操作に基づいてデータを受け付ける受付装置１９０６と、ＣＲＴ、液晶ディスプレイ等の出力装置１９０５と、ネットワークインタフェースカード等の通信ネットワークと接続するための通信回線インタフェース１９０７、そして、それらをつないでデータのやりとりをするためのバス１９０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
【００５４】
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図１９に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図１９に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図１９に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
【００５５】
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通等のために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃ）、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ（登録商標））、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）メモリーカード等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、又は無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、又は別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して記録されていてもよい。また、圧縮や暗号化等、復元可能であればどのような態様で記録されていてもよい。
【符号の説明】
【００５６】
１００…情報処理装置
１０５…データ解析モジュール
１１０…実施国・使用頻度抽出モジュール
１１５…結果抽出モジュール
１２０…ＤＢ情報再計算モジュール
１２５…システム更新モジュール
１３０…検索情報管理ＤＢ
１３５…リスク・コントロール管理ＤＢ
１４０…実施国管理ＤＢ
１４５…使用頻度管理ＤＢ
１５０…結果管理ＤＢ
１５５…母集団管理ＤＢ
１６０…証跡数管理ＤＢ
１７０…ユーザ端末
１７５…結果受付モジュール
１８０…結果表示モジュール
１８５…検索条件受付モジュール
１９０…画面表示モジュール
２９０…通信回線
１７００…情報処理装置
１７７０…ユーザ端末
【要約】
【課題】既に他の組織で採用されたコントロールの評価結果を用いて、ユーザがコントロールを採用する前に、ユーザに適したコントロールを抽出するようにした情報処理装置を提供する。
【解決手段】情報処理装置の第１の抽出手段は、対象としている組織におけるリスクと同等のリスクに対応づけられたコントロールを抽出し、第２の抽出手段は、前記リスクに対応づけられたコントロールの中から、前記リスクに対するコントロールの評価結果が予め定められた条件を満たすコントロールを抽出し、表示手段は、前記第２の抽出手段により抽出されたコントロールを、前記組織におけるコントロールの候補として表示する。
【選択図】図１【図１】
0005664816.tif 000002
【図２】
0005664816.tif 000003
【図３】
0005664816.tif 000004
【図４】
0005664816.tif 000005
【図５】
0005664816.tif 000006
【図６】
0005664816.tif 000007
【図７】
0005664816.tif 000008
【図８】
0005664816.tif 000009
【図９】
0005664816.tif 000010
【図１０】
0005664816.tif 000011
【図１１】
0005664816.tif 000012
【図１２】
0005664816.tif 000013
【図１３】
0005664816.tif 000014
【図１４】
0005664816.tif 000015
【図１５】
0005664816.tif 000016
【図１６】
0005664816.tif 000017
【図１７】
0005664816.tif 000018
【図１８】
0005664816.tif 000019
【図１９】
0005664816.tif 000020