(57)【要約】【課題】内部統制において汎用リスクを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制する情報処理装置を提供する。【解決手段】情報処理装置の記憶手段は、内部統制に関する活動を階層構造として記憶し、設定手段は、前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定し、有効性設定手段は、前記コントロールの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定し、抽出手段は、前記リスクに割り付けられたコントロールを抽出し、有効リスク判断手段は、リスクが前記抽出手段によって抽出されたコントロールの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断し、生成手段は、前記有効リスク判断手段によって、有効性の範囲内と判断されたリスクに基づいてリスク・コントロール・マトリックスを生成する。【選択図】図１
2009104484.tif 000002
【特許請求の範囲】
【請求項１】
内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記コントロールの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記リスクに割り付けられたコントロールを抽出する抽出手段と、
リスクが前記抽出手段によって抽出されたコントロールの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効リスク判断手段と、
前記有効リスク判断手段によって、有効性の範囲内と判断されたリスクに基づいてリスク・コントロール・マトリックスを生成する生成手段
を具備することを特徴とする情報処理装置。
【請求項２】
前記生成手段によって生成されたリスク・コントロール・マトリックスに基づいて、フロー図を生成する場合に、前記有効リスク判断手段によって判断された結果に応じてリスクとコントロールの関係を示すフロー図を生成するフロー図生成手段
をさらに具備することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記リスクの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記コントロールに割り付けられたリスクを抽出する抽出手段と、
コントロールが前記抽出手段によって抽出されたリスクの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効コントロール判断手段と、
前記有効コントロール判断手段によって、有効性の範囲内と判断されたコントロールに基づいてリスク・コントロール・マトリックスを生成する生成手段
を具備することを特徴とする情報処理装置。
【請求項４】
前記生成手段によって生成されたリスク・コントロール・マトリックスに基づいて、フロー図を生成する場合に、前記有効コントロール判断手段によって判断された結果に応じてリスクとコントロールの関係を示すフロー図を生成するフロー図生成手段
をさらに具備することを特徴とする請求項３に記載の情報処理装置。
【請求項５】
コンピュータを、
内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記コントロールの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記リスクに割り付けられたコントロールを抽出する抽出手段と、
リスクが前記抽出手段によって抽出されたコントロールの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効リスク判断手段と、
前記有効リスク判断手段によって、有効性の範囲内と判断されたリスクに基づいてリスク・コントロール・マトリックスを生成する生成手段
として機能させることを特徴とする情報処理プログラム。
【請求項６】
コンピュータを、
内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記リスクの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記コントロールに割り付けられたリスクを抽出する抽出手段と、
コントロールが前記抽出手段によって抽出されたリスクの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効コントロール判断手段と、
前記有効コントロール判断手段によって、有効性の範囲内と判断されたコントロールに基づいてリスク・コントロール・マトリックスを生成する生成手段
として機能させることを特徴とする情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及び情報処理プログラムに関する。
【背景技術】
【０００２】
近年、財務内部統制（以下、内部統制ともいう）が求められている。その財務内部統制とは、１９９２年にＣＯＳＯ（トレッドウェイ委員会組織委員会）が発表した「内部統制−統合的枠組み」が、事実上の標準となっており、「（１）業務の有効性・効率性、（２）財務諸表の信頼性、（３）関連法規の遵守の３つの目的を達成するために、合理的な保証を提供することを意図した、取締役会、経営者及びその他の職員によって遂行される１つのプロセス」と定義されている。
内部統制の整備はリスクベースのアプローチが重要とされ、業務の各アクティビティ（活動）におけるリスクを洗い出し、そのリスクを低減するための統制（コントロール）を設計していくことが基本である。そのような統制設計を支援する文書化ツールも既に市販されている。
【０００３】
これらに関する技術として、例えば、特許文献１には、それぞれの業務フローにおける再利用化と品質の均一化の向上を図ることを課題とし、業務条件を取得した業務フロー作成処理機能を有する制御装置に、取得した業務条件に対応する業務階層を、その業務条件と業務階層の対応関係を表す業務条件管理テーブルから取得させ、取得した業務階層に対応する業務フロー図を特定するＩＤを、その業務階層と業務フロー図ＩＤとの対応関係を表す業務フロー階層テーブルから取得させ、そして、取得した業務フロー図ＩＤにより特定される業務フロー図を予め設けてある種々の業務フロー図の中から収集させて、前記取得した業務条件に該当する業務フロー図の業務フローを作成させることが開示されている。
【０００４】
また、例えば、特許文献２には、業務支援システムにかかる業務フローデータの意味論的正しさを検証するのに好適な検証方法及び検証システムを提供することを課題とし、業務フローデータ検証方法は、支援対象の業務を構成する複数の業務項目と、各業務項目の実施要因となる事象と、事象の組み合わせによって規定される実施条件からなる業務フローデータの記述内容を表示画面に表示し、当該記述内容の正当性について例えば業務の流れについて熟知しているユーザの承認を求めることにより、業務フローデータの意味論的正しさを検証できることが開示されている。
【０００５】
また、例えば、特許文献３には、ＲＣＭ帳票のフォーマットが記載されている。つまり、企業に関係する品質、環境、労働安全衛生、ＣＳＲの各リスクを一元的に統合し、リスクによる損害から企業活動を守り、さらに企業の社会的責任を高め持続的成長を志向するマネジメントに供する統合アセスメント・コントロール表を提供することを課題とし、リスクとしてコントロールすべき事象を列挙する共通項目の欄と、リスク評価対象となる複数のリスクアセスメント項目の欄と、管理すべき対象のリスク低減活動の結果を記入するリスクコントロール項目の欄とを備え、複数のリスクアセスメント項目が、少なくとも、品質リスクアセスメント、労働安全衛生リスクアセスメント、環境リスクアセスメント、情報セキュリティリスクアセスメント、ＣＳＲアセスメントからなり、企業がこれを活用することにより、企業活動におけるリスクをより高度にコントロールでき、企業の存在と存続を守れることが開示されている。
【特許文献１】特開２００３−１９６４３５号公報
【特許文献２】特開２００３−２５６６３３号公報
【特許文献３】特開２００６−１１０９７８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
内部統制が一般に広まってくると、パターン化されたリスクを一律に適用し、チェックリスト的に統制状況を確認する簡易なアプローチを採用する傾向がでてきた。ここでは、アクティビティと一対一に関連付けたリスク（つまり活動固有のリスク）を「実リスク」、同一のリスクを複数のアクティビティに関連付けたリスクのタイプを「汎用リスク」と呼ぶ。同様に、アクティビティと一対一に関連付けたコントロール（つまり活動固有のコントロール）を「実コントロール」、同一のコントロールを複数のアクティビティに関連付けたコントロールのタイプを「汎用コントロール」と呼ぶ。実リスクだけに対応しているリスク・コントロール・アクティビティの関係をサポートした文書化支援システム（内部統制システム）に、そのまま汎用リスクを採用すると、利用者の意図しない対応関係が生じ混乱が発生する。
本発明は、内部統制において汎用リスクを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制する情報処理装置及び情報処理プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００７】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
［１］  内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記コントロールの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記リスクに割り付けられたコントロールを抽出する抽出手段と、
リスクが前記抽出手段によって抽出されたコントロールの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効リスク判断手段と、
前記有効リスク判断手段によって、有効性の範囲内と判断されたリスクに基づいてリスク・コントロール・マトリックスを生成する生成手段
を具備することを特徴とする情報処理装置。
【０００８】
［２］  前記生成手段によって生成されたリスク・コントロール・マトリックスに基づいて、フロー図を生成する場合に、前記有効リスク判断手段によって判断された結果に応じてリスクとコントロールの関係を示すフロー図を生成するフロー図生成手段
をさらに具備することを特徴とする［１］に記載の情報処理装置。
【０００９】
［３］  内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記リスクの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記コントロールに割り付けられたリスクを抽出する抽出手段と、
コントロールが前記抽出手段によって抽出されたリスクの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効コントロール判断手段と、
前記有効コントロール判断手段によって、有効性の範囲内と判断されたコントロールに基づいてリスク・コントロール・マトリックスを生成する生成手段
を具備することを特徴とする情報処理装置。
【００１０】
［４］  前記生成手段によって生成されたリスク・コントロール・マトリックスに基づいて、フロー図を生成する場合に、前記有効コントロール判断手段によって判断された結果に応じてリスクとコントロールの関係を示すフロー図を生成するフロー図生成手段
をさらに具備することを特徴とする［３］に記載の情報処理装置。
【００１１】
［５］  コンピュータを、
内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記コントロールの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記リスクに割り付けられたコントロールを抽出する抽出手段と、
リスクが前記抽出手段によって抽出されたコントロールの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効リスク判断手段と、
前記有効リスク判断手段によって、有効性の範囲内と判断されたリスクに基づいてリスク・コントロール・マトリックスを生成する生成手段
として機能させることを特徴とする情報処理プログラム。
【００１２】
［６］  コンピュータを、
内部統制に関する活動を階層構造として記憶する記憶手段と、
前記記憶手段に記憶されている活動と、リスク及びコントロールの関係を設定する設定手段と、
前記リスクの有効性の範囲を前記記憶手段に記憶されている活動の階層構造に基づいて設定する有効性設定手段と、
前記コントロールに割り付けられたリスクを抽出する抽出手段と、
コントロールが前記抽出手段によって抽出されたリスクの前記有効性設定手段によって設定された有効性の範囲内にあるか否かを判断する有効コントロール判断手段と、
前記有効コントロール判断手段によって、有効性の範囲内と判断されたコントロールに基づいてリスク・コントロール・マトリックスを生成する生成手段
として機能させることを特徴とする情報処理プログラム。
【発明の効果】
【００１３】
請求項１記載の情報処理装置によれば、内部統制において汎用リスクを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制できる。
【００１４】
請求項２記載の情報処理装置によれば、内部統制において汎用リスクを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制するためのフロー図を生成することができる。
【００１５】
請求項３記載の情報処理装置によれば、内部統制において汎用コントロールを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制できる。
【００１６】
請求項４記載の情報処理装置によれば、内部統制において汎用コントロールを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制するためのフロー図を生成することができる。
【００１７】
請求項５記載の情報処理プログラムによれば、内部統制において汎用リスクを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制できる。
【００１８】
請求項６記載の情報処理プログラムによれば、内部統制において汎用コントロールを採用した場合にあって、利用者の意図しない対応関係が発生することを抑制できる。
【発明を実施するための最良の形態】
【００１９】
本実施の形態は、内部統制上の制限の検証に関するものである。
まず、内部統制の「基本４文書」、「リスク」、「コントロール」等について説明する。
基本４文書とは、財務内部統制の対象となる業務プロセスごとに作成される基本文書のことをいい、具体的には、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表がある。この基本４文書に従って、業務プロセスの処理が行われる。
業務記述書とは、ナラティブとも呼ばれる。取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを文書化したものである。人事規定、経理業務規定などの規定書類は、業務記述書の上位文書であり、その改訂は、業務記述書に影響を与える。また、業務マニュアルは、業務記述書の下位文書であり、その改訂に影響を受ける。また、業務記述書の構造は、プロセス、サブプロセス、活動の階層からなっている。
業務フロー図とは、取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを視覚的にフローチャート化したものである。リスクとコントロールもこのフロー上に配置される。
ＲＣＭ（リスク・コントロール・マトリックス）とは、業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。なお、本実施の形態においては、ＲＣＭに汎用リスクが含まれている場合がある。その場合、本実施の形態は、元のＲＣＭに対してコントロールの有効性範囲を適用して、利用者の意図しないリスクとコントロールとの対応関係を抑制したようなＲＣＭを生成する。すなわち、ＲＣＭという場合は、リスクとコントロールの対応関係のみを表すＲＣＭと、実際の活動におけるリスクとコントロールとを対応させたＲＣＭという２通りがある。
職務分離表とは、業務プロセスの流れの中で、財務統制上問題となるような、同一の担当者による処理の重複が発生していないかをチェックするためのものである。
【００２０】
なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、評価、権利と義務、期間／配分、表示の６項目が一般的には使用されるが、各社または監査法人により一部変更があるため、カスタマイズできることが望ましい。
リスクとは、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。例えば、領収書処理業務におけるリスクとしては、「領収書が添付されていなくても承認されてしまうこと」のようなものがある。
コントロールとは、リスクに対する内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。例えば、領収書処理業務の前記のようなリスクに対するコントロールとして「経理部の領収書処理受け付け担当者が、精算内容と添付された領収書の現物を必ず照合すること」のようなものがある。
活動は、アクティビティともいい、階層構造（木構造）として管理されており、例えば、３階層とし、活動の直上の上位階層としてサブプロセス、その上位階層をプロセスという。なお、階層数、階層名はこれに限られない。例えば、サブプロセスの下位階層としてサブステップを挿入して、活動の上位階層をサブステップとするようにしてもよい。
また、管理という用語を用いるが、これは文脈に応じて、制御する、マネジメントする、制御又はマネジメントするためのデータを記憶するの意で用い、その役割又は動作を指す。
【００２１】
次に、実リスクだけに対応しているリスク・コントロール・アクティビティの関係をサポートした文書化支援システムに、汎用リスクを採用すると、利用者の意図しない対応関係が生じてしまう場合について説明する。
ここで、「実リスク」とは、個々の活動に対する固有のリスクをいい、「汎用リスク」とは、いくつかの活動に対して共通的に使用するリスクをいうものとする。
まず、実リスクだけからなる場合について説明する。例えば、実リスクであるリスクが４つ（Ｒ１：「受注入力誤り」、Ｒ２：「架空受注入力」、Ｒ３：「契約入力誤り」、Ｒ４：「架空契約入力」）、コントロールが２つ（Ｃ１：「受注の承認」、Ｃ２：「契約の承認」）、活動が２つ（Ａ１：「受注」、Ａ２：「契約」）とする。
リスクとコントロールの対応関係は、Ｒ１とＣ１、Ｒ２とＣ１、Ｒ３とＣ２、Ｒ４とＣ２の４つとなる。
また、活動との関係は、Ａ１は、サブプロセス１（受注）の下位にあり、Ｒ１、Ｒ２、Ｃ１と関係付けられている。Ａ２は、サブプロセス２（契約）の下位にあり、Ｒ３、Ｒ４、Ｃ２と関係付けられている。
これらから、リスク・コントロール・マトリックスを生成すると、次の４つ（（１１）〜（１４））となる。
（１１）サブプロセス１  Ａ１：Ｒ１  Ａ１：Ｃ１
（１２）サブプロセス１  Ａ１：Ｒ２  Ａ１：Ｃ１
（１３）サブプロセス２  Ａ２：Ｒ３  Ａ２：Ｃ２
（１４）サブプロセス２  Ａ２：Ｒ４  Ａ２：Ｃ２
つまり、実リスクだけを用いていれば、利用者の意図しない対応関係は生じない。
【００２２】
次に、前述と同様のものを汎用リスクを用いて、リスク・コントロール・マトリックスを生成する場合について説明する。例えば、受注と契約の両方に対応できる「入力誤り」という汎用リスク（Ｒ１’）、同様に受注と契約の両方に対応できる「架空入力」という汎用リスク（Ｒ２’）を用いたとする。つまり、汎用リスクであるリスクが２つ（Ｒ１’：「入力誤り」、Ｒ２’：「架空入力」）、コントロールが２つ（Ｃ１：「受注の承認」、Ｃ２：「契約の承認」）、活動が２つ（Ａ１：「受注」、Ａ２：「契約」）とする。
リスクとコントロールの対応関係は、Ｒ１’とＣ１、Ｒ２’とＣ１、Ｒ１’とＣ２、Ｒ２’とＣ２の４つとなる。
また、活動との関係は、Ａ１は、サブプロセス１（受注）の下位にあり、Ｒ１’、Ｒ２’、Ｃ１と関係付けられている。Ａ２は、サブプロセス２（契約）の下位にあり、Ｒ１’、Ｒ２’、Ｃ２と関係付けられている。
これらから、リスク・コントロール・マトリックスを生成すると、次の８つ（（２１）〜（２８））となる。
（２１）サブプロセス１  Ａ１：Ｒ１’  Ａ１：Ｃ１
（２２）サブプロセス１  Ａ１：Ｒ１’  Ａ２：Ｃ２
（２３）サブプロセス２  Ａ２：Ｒ１’  Ａ１：Ｃ１
（２４）サブプロセス２  Ａ２：Ｒ１’  Ａ２：Ｃ２
（２５）サブプロセス１  Ａ１：Ｒ２’  Ａ１：Ｃ１
（２６）サブプロセス１  Ａ１：Ｒ２’  Ａ２：Ｃ２
（２７）サブプロセス２  Ａ２：Ｒ２’  Ａ１：Ｃ１
（２８）サブプロセス２  Ａ２：Ｒ２’  Ａ２：Ｃ２
つまり、リスク・コントロール・マトリックスは、８行に増えてしまう。これらのうち、（２２）、（２３）、（２６）、（２７）は不要な行である。例えば（２２）を詳細に説明すると、「受注」という活動Ａ１に対する「入力誤り」というリスクＲ１’と、「契約」という活動Ａ２に対するコントロールＣ２「契約の承認」は、本来対応していないにもかかわらずリスク・コントロール・マトリックスを生成すると発生してしまう組み合わせである。これは、汎用リスクが１つの活動に関係付けられているわけではなく、複数（この場合は２つ）の活動に関係付けられているからである。本実施の形態は、コントロールの有効性の範囲に基づいて、このように本来は不要らしいリスクとコントロールの関係付けを抽出して、その関係を利用者に提示し削除を促すようにする。
【００２３】
以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的な構成図を示している。
なお、各構成部は、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態における構成部はコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、コンピュータ・プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、各構成部は機能にほぼ一対一に対応しているが、実装においては、１構成部を１プログラムで構成してもよいし、複数構成部を１プログラムで構成してもよく、逆に１構成部を複数プログラムで構成してもよい。また、複数構成部は１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１構成部が複数コンピュータで実行されてもよい。なお、１つの構成部に他の構成部が含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）を含む。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。
なお、利用者をその文脈に応じて、操作者、作成者、検証者、ユーザ等ともいう。
【００２４】
本実施の形態は、内部統制に関する処理を行うものであり、特に内部統制におけるリスクとコントロールとの関係付けに関する処理を行うものであり、図１に示すように、情報受付部１００、情報処理部１１０、記憶部１２０、出力部１３０を有している。情報処理部１１０は、階層構造生成部１１１、活動・リスク関係付部１１２、活動・コントロール関係付部１１３、有効性設定部１１４、抽出部１１５、有効性判断部１１６、リスク・コントロール・マトリックス生成部１１７、フロー図生成部１１８を有している。記憶部１２０は、活動記憶部１２１、活動・リスク関係記憶部１２２、リスク記憶部１２３、活動・コントロール関係記憶部１２４、コントロール記憶部１２５、リスク・コントロール・マトリックス記憶部１２６を有している。なお、情報処理部１１０内の各構成部は、その処理に応じて情報処理部１１０内の他の構成部又は記憶部１２０内の各記憶部と接続する。
【００２５】
情報受付部１００は、情報処理部１１０内の階層構造生成部１１１、活動・リスク関係付部１１２、活動・コントロール関係付部１１３、有効性設定部１１４と接続されており、外部からの情報を受け付けて、各構成部へその情報を入力する。外部から受け付ける情報として、利用者からの入力操作に応じた情報、他の記憶装置から読み取った情報、通信回線を介して他の情報処理装置から送信されてきた情報等がある。例えば、活動、サブプロセス等の階層構造、リスク、コントロール、リスクと活動の関係付け情報、コントロールと活動の関係付け情報、コントロールの有効性範囲の情報等がある。
【００２６】
階層構造生成部１１１は、情報受付部１００からプロセス、サブプロセス、活動、それらの階層構造に関する情報を受け取り、階層構造を構成して記憶部１２０内の活動記憶部１２１に記憶させる。
活動・リスク関係付部１１２は、情報受付部１００からリスク及びそのリスクに関係付けるべき活動に関する情報を受け取り、関係付けを行って、そのリスクを記憶部１２０内のリスク記憶部１２３又は関係付けに関する情報を活動・リスク関係記憶部１２２に記憶させる。ここでの関係付けは、活動記憶部１２１に記憶されている活動とリスク記憶部１２３に記憶されているリスクの関係を設定するものである。なお、情報受付部１００から受け取るリスクには、実リスクの他に汎用リスクが含まれていてもよい。
【００２７】
活動・コントロール関係付部１１３は、情報受付部１００からコントロール及びそのコントロールに関係付けるべき活動に関する情報を受け取り、関係付けを行って、そのコントロールを記憶部１２０内のコントロール記憶部１２５又は関係付けに関する情報を活動・コントロール関係記憶部１２４に記憶させる。ここでの関係付けは、活動記憶部１２１に記憶されている活動とコントロール記憶部１２５に記憶されているコントロールの関係を設定するものである。なお、情報受付部１００から受け取るコントロールには、実コントロールの他に汎用コントロールが含まれていてもよい。ただし、本実施の形態の説明においては、実コントロールの場合を主に説明する。また、活動・コントロール関係付部１１３は、リスクとコントロールとの割り付けを行う。この割り付けを用いて、ＲＣＭを生成することができるようになる。ただし、汎用リスクが含まれている場合は、そのＲＣＭに利用者の意図しない対応関係が含まれている場合がある。
有効性設定部１１４は、情報受付部１００からコントロールの有効性の範囲に関する情報を受け取り、そのコントロールの有効性の範囲を活動記憶部１２１に記憶されている活動の階層構造に基づいて設定する。
【００２８】
抽出部１１５は、リスクに割り付けられたコントロールを抽出する。具体的には、例えば、活動・リスク関係記憶部１２２に記憶されているリスクと活動の関係付け、活動・コントロール関係記憶部１２４に記憶されているコントロールと活動の関係付けを用いて、活動を介してリスクに割り付けられたコントロールを抽出するようにしてもよい。
有効性判断部１１６は、対象としているリスクが抽出部１１５によって抽出されたコントロールの有効性設定部１１４によって設定された有効性の範囲内にあるか否かを判断する。
リスク・コントロール・マトリックス生成部１１７は、有効性判断部１１６によって、有効性の範囲内と判断されたリスクに基づいてリスク・コントロール・マトリックスを生成して、出力部１３０もしくはフロー図生成部１１８へ渡す、又はリスク・コントロール・マトリックス記憶部１２６に記憶する。
【００２９】
フロー図生成部１１８は、リスク・コントロール・マトリックス生成部１１７によって生成されたリスク・コントロール・マトリックスに基づいて、業務フロー図を生成する場合に、有効性判断部１１６によって判断された結果に応じてリスクとコントロールの関係を示す業務フロー図を生成して出力部１３０へ渡す。
出力部１３０は、リスク・コントロール・マトリックス生成部１１７によって生成されたリスク・コントロール・マトリックス又はフロー図生成部１１８によって生成された業務フロー図を、ディスプレイ、プリンタ等の出力装置に出力する。例えば、ＨＴＭＬ（Ｈｙｐｅｒｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）等を用いた記述形式に変換して出力するようにしてもよい。
【００３０】
活動記憶部１２１は活動に関する情報、活動・リスク関係記憶部１２２は活動とリスクとの関係付けに関する情報、リスク記憶部１２３はリスクに関する情報、活動・コントロール関係記憶部１２４は活動とコントロールとの関係付けに関する情報、コントロール記憶部１２５はコントロールに関する情報、リスク・コントロール・マトリックス記憶部１２６はリスク・コントロール・マトリックスに関する情報をそれぞれ記憶する。
より具体的には、図３を用いて説明する。
活動記憶部１２１は活動表３３０、活動・リスク関係記憶部１２２は活動／リスク表３４０、リスク記憶部１２３はリスク表３１０、活動・コントロール関係記憶部１２４は活動／コントロール表３６０、コントロール記憶部１２５はコントロール表３２０、リスク・コントロール・マトリックス記憶部１２６はリスク／コントロール表３５０にそれぞれ対応している。
【００３１】
図３は、記憶部１２０内に記憶されているリスク表３１０等のテーブルのデータ構造例を示す説明図である。
リスク表３１０は、リスクＩＤ欄３１１、リスク内容欄３１２を有している。
コントロール表３２０は、コントロールＩＤ欄３２１、コントロール内容欄３２２、有効範囲欄３２３を有している。
活動表３３０は、活動ＩＤ欄３３１、活動内容欄３３２を有している。
活動／リスク表３４０は、ＩＤ欄３４１、活動ＩＤ欄３４２、リスクＩＤ欄３４３を有している。
リスク／コントロール表３５０は、ＩＤ欄３５１、リスクＩＤ欄３５２、コントロールＩＤ欄３５３を有している。
活動／コントロール表３６０は、ＩＤ欄３６１、活動ＩＤ欄３６２、コントロールＩＤ欄３６３を有している。
【００３２】
各テーブルは、欄の参照関係によって関係付けられている。つまり、リスク表３１０のリスクＩＤ欄３１１は、活動／リスク表３４０のリスクＩＤ欄３４３及びリスク／コントロール表３５０のリスクＩＤ欄３５２によって参照され、コントロール表３２０のコントロールＩＤ欄３２１は、活動／コントロール表３６０のコントロールＩＤ欄３６３及びリスク／コントロール表３５０のコントロールＩＤ欄３５３によって参照され、活動表３３０の活動ＩＤ欄３３１は、活動／リスク表３４０の活動ＩＤ欄３４２及び活動／コントロール表３６０の活動ＩＤ欄３６２によって参照される。これによって、例えば、活動ＩＤから関係付けられているリスクＩＤ、コントロールＩＤ、それらのリスク内容等を抽出することができるようになる。
【００３３】
図２は、本実施の形態を実施するにあたってのシステム構成例を示す説明図である。業務統制支援サーバー２１０と業務統制文書化作業者端末２２０がＬＡＮ／ＷＡＮ２３０の通信回線を介して接続されている。
業務統制支援サーバー２１０は、図１に示した本実施の形態を備えており、業務統制文書化作業者端末２２０から使用されるものである。なお、情報受付部１００は業務統制文書化作業者端末２２０から送信されてきた情報を受け取り、出力部１３０は業務統制文書化作業者端末２２０へ情報を出力することになる。
業務統制文書化作業者端末２２０は、業務統制支援サーバー２１０を利用する操作者が用いるものである。
図２では、業務統制支援サーバー２１０、業務統制文書化作業者端末２２０は、ともに１つずつであるが、複数あってもよい。特に、複数の業務統制文書化作業者端末２２０から１つの業務統制支援サーバー２１０を複数人によって使用できるようにしてもよい。また、業務統制文書化作業者端末２２０が、図１に示した実施の形態の情報受付部１００、出力部１３０を備えるようにしてもよい。
【００３４】
図４は、リスクとコントロールとの割り付けの例を示す説明図である。リスク・コントロール割り付け表４００は、リスクとして２つ（Ｒ１，Ｒ２）とコントロールとして２つ（Ｃ１，Ｃ２）があり、その組み合わせとして（Ｒ１，Ｃ１）と（Ｒ２，Ｃ２）の２つがあることを示している。以下、この組み合わせ（Ｒ１，Ｃ１）を、Ｒ１にＣ１を関係付けている又は割り付けているともいう。
次に、このリスク・コントロール割り付け表４００を図５に示す階層構造をもつ活動に適用した場合について説明する。プロセス１  ５０１を最上位階層とし、その下にサブプロセス１  ５１１、サブプロセス２  ５１２があり、サブプロセス１  ５１１の下に活動１  ５２１と活動２  ５２２があることを示している。そして、活動１  ５２１に関係付けられているコントロールとリスクとして、Ｃ１  ５３１、Ｒ１  ５３２、Ｒ２  ５３３がある。また、活動２  ５２２に関係付けられているコントロールとリスクとして、Ｃ２  ５３４、Ｒ１  ５３５、Ｒ２  ５３６がある。
【００３５】
このような場合に、コントロールの有効性範囲を活動の範囲とすると、図４に示したリスク・コントロール割り付け表４００では、（サブプロセス１  活動１：Ｒ１  活動１：Ｃ１）と（サブプロセス１  活動２：Ｒ２  活動２：Ｃ２）の組が生成される。つまり、Ｃ１  ５３１に関係付けられている活動１  ５２１を親として、その活動１  ５２１に関係付けられているＲ１  ５３２を探索して前者の組を抽出している。Ｃ２  ５３４に関係付けられている活動２  ５２２を親として、その活動２  ５２２に関係付けられているＲ２  ５３６を探索して後者の組を抽出している。
また、コントロールの有効性範囲をサブプロセスの範囲とすると、図４に示したリスク・コントロール割り付け表４００では、（サブプロセス１  活動１：Ｒ１  活動１：Ｃ１）と（サブプロセス１  活動１：Ｒ２  活動２：Ｃ２）と（サブプロセス１  活動２：Ｒ１  活動１：Ｃ１）と（サブプロセス１  活動２：Ｒ２  活動２：Ｃ２）の組が生成される。つまり、Ｃ１  ５３１に関係付けられている活動１  ５２１の上位であるサブプロセス１  ５１１を親として、そのサブプロセス１  ５１１を親として持つ他の活動である活動２  ５２２に関係付けられているＲ１  ５３５を探索して３番目の組を抽出している。
有効性範囲内の探索とは、対象としてコントロールを子供として有している有効性範囲内での親の最上位の階層を求め、その階層の下位にあるリスクをリスク・コントロール割り付け表４００に基づいて抽出するものである。
【００３６】
さらに、他の例について、図６〜９を用いて説明する。
図６は、実リスクを用いた活動の階層構造とリスク又はコントロールとの関係付けの例を示す説明図である。つまり、プロセス（販売６０１）、サブプロセス（受注６０２、契約６０３）、活動（受注６０４、受注６０５、契約６０６、契約６０７）の階層を有しており、受注６０４にはＲ１  ６０８（受注入力誤り）、受注６０５にはＣ１  ６０９（受注承認）、契約６０６にはＲ２  ６１０（契約入力誤り）、契約６０７にはＣ２  ６１１（契約承認）が関係付けられている。そして、ＲＣＭとして、Ｒ１とＣ１、Ｒ２とＣ２が対応している。
このような場合のリスク・コントロール・マトリックス７００は、図７に示すようになる。つまり、活動欄７０１、リスク欄７０２、活動欄７０３、コントロール欄７０４で示すと、（受注、Ｒ１  受注入力誤り、受注、Ｃ１  受注承認）、（契約、Ｒ２  契約入力誤り、契約、Ｃ２  契約承認）の２組になる。
【００３７】
図８は、汎用リスクを用いた活動の階層構造とリスク又はコントロールとの関係付けの例を示す説明図である。図６に示した例と異なるところは、実リスクではなく汎用リスクを用いている点である。つまり、図６におけるＲ１  ６０８（受注入力誤り）とＲ２  ６１０（契約入力誤り）の代わりに、汎用リスクであるＲ１’  ８０８（入力誤り）を受注６０４と契約６０６の２箇所に用いている。そして、ＲＣＭとして、Ｒ１’とＣ１、Ｒ１’とＣ２が対応している。
このような場合のリスク・コントロール・マトリックス９００（図９（Ａ））は、有効性範囲を適用していないとリスク・コントロール・マトリックス９００に示すようになる。つまり、活動欄９０１、リスク欄９０２、活動欄９０３、コントロール欄９０４で示すと、（受注、Ｒ１’  入力誤り、受注、Ｃ１  受注承認）、（受注、Ｒ１’  入力誤り、契約、Ｃ２  契約承認）、（契約、Ｒ１’  入力誤り、受注、Ｃ１  受注承認）、（契約、Ｒ１’  入力誤り、契約、Ｃ２  契約承認）の４組になる。なお、有効性範囲をプロセスとした場合も同じ結果となる。
【００３８】
ここで、有効性範囲をサブプロセスとすると、図９（Ｂ）に示すようにリスク・コントロール・マトリックス９００は、（受注、Ｒ１’  入力誤り、受注、Ｃ１  受注承認）、（契約、Ｒ１’  入力誤り、契約、Ｃ２  契約承認）の２組になる。つまり、Ｃ１  ６０９が含まれているサブプロセス（有効性範囲）である受注６０２以下のリスクを探索すると受注６０４に関係付けられているＲ１’  ８０８のみを抽出し、同様にＣ２  ６１１が含まれているサブプロセス（有効性範囲）である契約６０３以下のリスクを探索すると契約６０６に関係付けられているＲ１’  ８０８のみを抽出することになる。
なお、この例では、コントロールと対応するリスクとは別の活動に割り当てられているので、有効性範囲を活動まで狭めることはできない。
【００３９】
図１０は、本実施の形態における処理例を示すフローチャートである。
ステップＳ１００２では、階層構造生成部１１１が、利用者の操作に応じて、活動の階層構造における最上位層であるプロセスを作成する。
ステップＳ１００４では、階層構造生成部１１１が、利用者の操作に応じて、活動の階層構造におけるプロセスの下位層であるサブプロセスを作成する。
ステップＳ１００６では、階層構造生成部１１１が、利用者の操作に応じて、活動を作成する。
ステップＳ１００８では、階層構造生成部１１１が、利用者の操作に応じて、ステップＳ１００６で作成された活動をステップＳ１００４で作成されたサブプロセスと関係付ける。つまり、サブプロセスの下位層として活動をリンクする。
ステップＳ１０１０では、活動・リスク関係付部１１２が、利用者の操作に応じて、リスクを作成する。
ステップＳ１０１２では、活動・リスク関係付部１１２が、利用者の操作に応じて、ステップＳ１００６で作成された活動とステップＳ１０１０で作成されたリスクとを関係付ける。
【００４０】
ステップＳ１０１４では、活動・コントロール関係付部１１３が、利用者の操作に応じて、コントロールを作成する。その際に、有効性設定部１１４が、利用者の操作に応じて、そのコントロールの有効性範囲を設定する。有効性範囲は、階層構造の階層を利用して行う。具体的には、活動、サブプロセス、プロセスを設定する。
ステップＳ１０１６では、活動・コントロール関係付部１１３が、利用者の操作に応じて、ステップＳ１００６で作成された活動とステップＳ１０１４で作成されたコントロールとを関係付ける。
ステップＳ１０１８では、活動・コントロール関係付部１１３が、リスクとコントロールの割り付けを行う。そして、全ての活動を作成するまで、ステップＳ１００６からの処理を繰り返す。
ステップＳ１０２０では、リスク・コントロール・マトリックス生成部１１７が、今までの処理によって作成された活動、リスク、コントロール、割り付け等を用いて、ＲＣＭを生成し、出力用の情報を生成する。本処理については図１１に示すフローチャートを用いて詳細に後述する。
ステップＳ１０２２では、出力部１３０がステップＳ１０２０で生成されたＲＣＭの情報を出力する。
【００４１】
図１１は、本実施の形態における有効性判断の処理例を示すフローチャートである。つまり、図１０に示したフローチャート内のステップＳ１０２０の詳細な処理を示すものである。
ステップＳ１１０２では、リスク・コントロール・マトリックス生成部１１７が、ステップＳ１０１０で作成されたリスクの一覧を生成する。
ステップＳ１１０４では、抽出部１１５が、ステップＳ１０１８での割り付けに基づいて、ステップＳ１１０２で生成された一覧内のリスクを用いて、そのリスクに割り付けられるコントロールの一覧を生成する。
ステップＳ１１０６では、有効性判断部１１６が、ステップＳ１１０２で生成された一覧内のリスク各々は、割り付けられたコントロールのステップＳ１０１４で設定された有効性範囲内であるか否かを判断する。リスクがコントロールの有効性範囲内であるならばステップＳ１１０８へ進み、それ以外の場合はステップＳ１１１０へ進む。
ステップＳ１１０８では、そのリスクとコントロールの組は利用者が意図した対応関係であるといえるので、リスクとコントロールの組（レコード）をＲＣＭに追加する。
ステップＳ１１１０では、そのリスクとコントロールの組は利用者が意図していない対応関係である可能性があるので、リスクとコントロールの組は除外する。また、その組は、利用者が意図していない対応関係である可能性がある旨を示すフラグを付すようにしてもよい。
【００４２】
図１２は、サブプロセス設定画面１２００の表示例を示す説明図である。サブプロセス設定画面１２００は、業務統制文書化作業者端末２２０のディスプレイに表示されるものであり、利用者の操作に応じて情報受付部１００が情報を受け付け、階層構造生成部１１１、活動・リスク関係付部１１２、活動・コントロール関係付部１１３へその情報を渡す。そして、サブプロセス設定画面１２００は、活動記憶部１２１内の情報を表示、入力又は編集等するためのものである。
サブプロセス設定画面１２００は、サブプロセス階層構造設定領域１２１０、サブプロセス設定領域１２２０、活動内容設定領域１２３０を有している。サブプロセス階層構造設定領域１２１０は、サブプロセス間、活動との関係を設定し、表示する領域である。
サブプロセス設定領域１２２０は、サブプロセス階層構造設定領域１２１０で選択されたサブプロセスに関する情報を表示、入力するためのものである。例えば、サブプロセスの段落番号欄１２２１に段落番号、段落名欄１２２２に段落名等を表示する。
活動内容設定領域１２３０は、サブプロセス設定領域１２２０で対象としているサブプロセス下の活動に関する情報を表示、入力するためのものである。例えば、活動の活動名称欄１２３１に活動名称、活動内容欄１２３２に活動内容等を表示する。
【００４３】
図１３は、コントロール詳細設定画面１３００の表示例を示す説明図である。コントロール詳細設定画面１３００は、業務統制文書化作業者端末２２０のディスプレイに表示されるものであり、利用者の操作に応じて情報受付部１００が情報を受け付け、有効性設定部１１４へその情報を渡す。そして、コントロール詳細設定画面１３００は、コントロール記憶部１２５内の情報を表示、入力又は編集等するためのものである。
コントロール詳細設定画面１３００は、コントロールＮｏ．欄１３０１、統制の状況欄１３０２、有効範囲欄１３０３、統制の種類欄１３０４、統制頻度欄１３０５、統制実施組織欄１３０６、統制実施責任者１３０７、フリー属性欄１３０８、分類属性欄１３０９、統制根拠欄１３１０、統制実施の証跡欄１３１１、依存するシステム／データベース欄１３１２、情報処理統制目的欄１３１３を有している。
特に、有効範囲欄１３０３は、有効性範囲を設定するための欄であり、プロセス、サブプロセス、活動のいずれであるかを選択させるものである。これによって設定された有効性範囲外となったリスクとの割り付けを除外することになる。
【００４４】
次に図１４、１５は、リスクとコントロールの割り付けの表示例を示すものである。活動属性設定画面１４００、リスク・コントロール・マトリックス設定画面１５００は、業務統制文書化作業者端末２２０のディスプレイに表示されるものであり、利用者の操作に応じて情報受付部１００が情報を受け付け、階層構造生成部１１１、活動・リスク関係付部１１２、活動・コントロール関係付部１１３へその情報を渡す。そして、活動属性設定画面１４００、リスク・コントロール・マトリックス設定画面１５００は、活動記憶部１２１、活動・リスク関係記憶部１２２、リスク記憶部１２３、活動・コントロール関係記憶部１２４、コントロール記憶部１２５内の情報を表示、入力又は編集等するためのものである。
図１４は、活動属性設定画面１４００等の表示例を示す説明図である。
活動属性設定画面１４００は、名称欄１４０１、活動Ｎｏ．欄１４０２、活動タイプ欄１４０３、サブプロセス欄１４０４、システム名称欄１４０５、業務区分欄１４０６、実施主体組織欄１４０７、実施主体欄１４０８、実施内容欄１４０９、フリー属性欄１４１０、分類属性欄１４１１、職務分離対象活動表１４１２を有している。そして、職務分離対象活動表１４１２は、ＩＴ資源タブ１４１３、知識・情報タブ１４１４、リスクタブ１４１５、コントロールタブ１４１６、Ｒ／Ｃ設定ボタン１４２６を有している。
リスクタブ１４１５は、Ｎｏ．欄１４１７、リスク内容欄１４１８、実在欄１４１９、網羅欄１４２０、権利欄１４２１、評価欄１４２２、期間欄１４２３、表示欄１４２４、評価欄１４２５を有している。
【００４５】
そして、リスクタブ１４１５が選択されている状態で、Ｒ／Ｃ設定ボタン１４２６が選択された場合に、コントロール割付設定画面１４６０を表示する。つまり、そのリスクに割り付けられているコントロールを表示する。
コントロール割付設定画面１４６０は、コントロール割付表１４６１を有している。そして、コントロール割付表１４６１は、コントロールＮｏ．欄１４６２、統制実施組織欄１４６３、統制実施責任者欄１４６４、統制の状況欄１４６５を有している。
同様に、コントロールタブ１４１６が選択された状態で、Ｒ／Ｃ設定ボタン１４２６が選択された場合に、リスク割付設定画面１４５０を表示する。つまり、そのコントロールに割り付けられているリスクを表示する。リスク割付設定画面１４５０は、リスク割付表１４５１を有している。そして、リスク割付表１４５１は、リスクＮｏ．欄１４５２、リスク内容欄１４５３を有している。
【００４６】
図１５は、リスク・コントロール・マトリックス設定画面１５００の表示例を示す説明図である。リスク・コントロール・マトリックス設定画面１５００は、リスクとコントロールの割り付けの一覧を表示するものである。
リスク・コントロール・マトリックス設定画面１５００は、コントロール詳細設定領域１５１０、リスク・コントロール・マトリックス表示領域１５２０を有している。コントロール詳細設定領域１５１０は、コントロールＮｏ．欄１５１１、統制頻度欄１５１２、統制根拠欄１５１３、統制実施責任者欄１５１４、情報処理統制目的欄１５１５を有している。
リスク・コントロール・マトリックス表示領域１５２０が、行としてリスク、列としてコントロールを表示し、その交差する欄にマーク（図１５では「＊」）しているところのリスクとコントロールの組み合わせが、割り付けを示している。また、図１５に示すように、リスクとコントロールの割り付けが可能な箇所（コントロールの有効性範囲内の活動に関係付けされているリスク）を、他の欄とは異なる形態（色彩、模様、形状、又はこれらの組み合わせ）で表示するようにしてもよい。例えば、図１５では、色彩を付して表示するようにしている。
【００４７】
図１６は、リスク・コントロール・マトリックス表１６００のデータ構造例を示す説明図である。リスク・コントロール・マトリックス表１６００は、図３に示したリスク／コントロール表３５０をより詳細にしたものであり、リスク・コントロール・マトリックス記憶部１２６に記憶されている。このリスク・コントロール・マトリックス表１６００に基づいて、活動属性設定画面１４００、リスク・コントロール・マトリックス設定画面１５００等を表示する。
リスク・コントロール・マトリックス表１６００は、Ｎｏ．欄１６０１、サブプロセス欄１６０２、リスク欄１６１０、統制欄１６５０を有している。
リスク欄１６１０は、リスク発生活動名欄１６２０、アサーション欄１６３０、リスク（チェック項目）欄１６４０を有している。アサーション欄１６３０は、実在性欄１６３１、網羅性欄１６３２、権利／義務欄１６３３、評価欄１６３４、期間配分欄１６３５、表示欄１６３６を有している。リスク（チェック項目）欄１６４０は、リスクＮｏ．欄１６４１、リスク内容欄１６４２を有している。
統制欄１６５０は、コントロール対象活動名欄１６５１、統制頻度欄１６５２、統制根拠欄１６５３、統制実施の証跡欄１６５４、統制実施責任者欄１６５５、依存するシステム／データベース欄１６５６、統制内容欄１６６０、統制の種類欄１６７０、情報処理統制目的欄１６８０を有している。統制内容欄１６６０は、統制Ｎｏ．欄１６６１、キーコントロール欄１６６２、統制の状況欄１６６３を有している。統制の種類欄１６７０は、システム欄１６７１、マニュアル欄１６７２、ＩＴ依存マニュアル欄１６７３、予防的欄１６７４、発見的欄１６７５を有している。情報処理統制目的欄１６８０は、網羅性欄１６８１、正確性欄１６８２、正当性欄１６８３、維持継続性欄１６８４を有している。
【００４８】
図１７は、コントロールリスト設定画面１７００の表示例を示す説明図である。コントロールリスト設定画面１７００は、業務統制文書化作業者端末２２０のディスプレイに表示されるものであり、利用者の操作に応じて情報受付部１００が情報を受け付け、活動・コントロール関係付部１１３へその情報を渡す。そして、コントロールリスト設定画面１７００は、活動・コントロール関係記憶部１２４、コントロール記憶部１２５、リスク・コントロール・マトリックス記憶部１２６内の情報を表示、入力又は編集等するためのものである。
コントロールリスト設定画面１７００は、活動一覧表示領域１７１０、リスクコントロール一覧表示領域１７２０、対象リスク表示領域１７３０を有している。
活動一覧表示領域１７１０は、活動一覧表１７１１を有している。活動一覧表１７１１は、サブプロセス欄１７１２、活動名称欄１７１３、活動タイプ欄１７１４を有している。
リスクコントロール一覧表示領域１７２０は、コントロール一覧表１７２１を有している。コントロール一覧表１７２１は、Ｎｏ．欄１７２２、キーコントロール欄１７２３、統制の状況欄１７２４を有している。
対象リスク表示領域１７３０は、対象リスク表１７３１を有している。対象リスク表１７３１は、Ｎｏ．欄１７３２、実在欄１７３３、網羅欄１７３４、権利欄１７３５、評価欄１７３６、期間欄１７３７、表示欄１７３８、リスク内容欄１７３９、評価欄１７４０を有している。
対象リスク表１７３１は、例えば、コントロール一覧表１７２１で選択されたコントロールに対応する有効性範囲内のリスクを表示する領域である。
【００４９】
図１８は、フロー図画面１８００等の表示例を示す説明図である。フロー図画面１８００、１８５０は、フロー図生成部１１８によって生成された業務フロー図を出力部１３０が業務統制文書化作業者端末２２０のディスプレイに表示するものである。なお、活動（１８０１、１８０６、１８１２）は長方形、リスク（１８０３、１８０４等）は三角形、コントロール（１８０２、１８０７等）は円で表す。
フロー図画面１８００（図１８（Ａ））は、業務フロー図を表示したものである。例えば、活動１  １８０１の次に活動２  １８０６、その次に活動３  １８１２が行われることを示しており、活動１  １８０１には、Ｃ００１  １８０２とＲ００１  １８０３、Ｒ００２  １８０４、Ｒ００３  １８０５が関係付けられていることを示している。この状態で、例えば、利用者の操作によってＣ００１  １８０２が選択されると、フロー図画面１８５０（図１８（Ｂ））を表示する。
【００５０】
フロー図画面１８５０内の有効性範囲枠１８６０は、Ｃ００１  １８０２に設定された有効性範囲内にあるリスク（１８０３、１８０９）を含んで囲むように表示されたものである。そして、そのリスクを他のリスクとは異なる形態で表示する。例えば、図１８（Ｂ）では、赤色の色彩を付して表示するようにしている。なお、同じリスクのＲ００１であるが、有効性範囲外にあるＲ００１  １８１５の表示は元のままである。また、選択されたＣ００１  １８０２と関係付けられている活動１  １８０１の形態を異ならせて表示してもよい。
【００５１】
図１９は、図１６で示したリスク・コントロール・マトリックス表１６００に基づいて生成した業務フロー図の表示例を示す説明図である。そして、この場合のリスクとコントロールの割り付けを表しているリスク・コントロール割り付け表２０００を図２０に示している。
ここで、この業務フロー図内の活動は、１つのプロセスを表しており、そのプロセス下には２つのサブプロセスがあり、１つ目のサブプロセス下にはＡ１  １９０１、Ａ２  １９０７、Ａ３  １９１１があり、２つ目のサブプロセス下にはＡ４  １９１６、Ａ５  １９２１があるものである。
例えば、ここで、Ｃ００１  １９０５の有効性範囲を活動、サブプロセス、プロセスとした場合を説明する。
Ｃ００１  １９０５に割り付けされているリスクは、リスク・コントロール割り付け表２０００を参照してＲ１、Ｒ２であるので、有効性範囲が活動である場合は、Ｒ００１  １９０２、Ｒ００２  １９０３である。有効性範囲がサブプロセスである場合は、さらにＲ００１  １９０８、Ｒ００２  １９１２が加わる。また、有効性範囲がプロセスである場合は、さらにＲ００１  １９１７、Ｒ００２  １９１８、Ｒ００１  １９２２が加わる。
【００５２】
なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図２１に示すように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバーとなり得るコンピュータ等である。階層構造生成部１１１、活動・リスク関係付部１１２、活動・コントロール関係付部１１３、有効性設定部１１４、抽出部１１５等のプログラムを実行するＣＰＵ２１０１と、そのプログラムやデータを記憶するＲＡＭ２１０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ２１０３と、補助記憶装置であるＨＤ２１０４（例えばハードディスクを用いることができる）と、キーボード、マウス等のデータを入力する入力装置２１０６と、ＣＲＴや液晶ディスプレイ等の出力装置２１０５と、通信ネットワークと接続するための通信回線インタフェース２１０７（例えばネットワークインタフェースカードを用いることができる）、そして、それらをつないでデータのやりとりをするためのバス２１０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
【００５３】
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図２１に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図２１に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図２１に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
【００５４】
前記実施の形態においては、実リスク、汎用リスクを用いた例を示したが、実コントロール、汎用コントロールに用いてもよい。つまり、本実施の形態において、リスク、コントロールを対象とするものを逆のコントロール、リスクを対象とするようにすればよい。さらに、リスクとして汎用リスク、コントロールとして汎用コントロールを用いてもよい。
【００５５】
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して
記録されていてもよい。また、圧縮や暗号化など、復元可能であればどのような態様で記録されていてもよい。
【図面の簡単な説明】
【００５６】
【図１】本実施の形態の構成例についての概念的なモジュール構成図である。
【図２】本実施の形態を実施するにあたってのシステム構成例を示す説明図である。
【図３】リスク表等のテーブルのデータ構造例を示す説明図である。
【図４】リスク・コントロール割り付け表の例を示す説明図である。
【図５】活動の階層構造と有効範囲の関係の例を示す説明図である。
【図６】実リスクを用いた活動の階層構造とリスク又はコントロールとの関係付けの例を示す説明図である。
【図７】実リスクを用いたリスク・コントロール・マトリックスの例を示す説明図である。
【図８】汎用リスクを用いた活動の階層構造とリスク又はコントロールとの関係付けの例を示す説明図である。
【図９】汎用リスクを用いたリスク・コントロール・マトリックスの例を示す説明図である。
【図１０】本実施の形態における処理例を示すフローチャートである。
【図１１】本実施の形態における有効性判断の処理例を示すフローチャートである。
【図１２】サブプロセス設定画面の表示例を示す説明図である。
【図１３】コントロール詳細設定画面の表示例を示す説明図である。
【図１４】活動属性設定画面等の表示例を示す説明図である。
【図１５】リスク・コントロール・マトリックス設定画面の表示例を示す説明図である。
【図１６】リスク・コントロール・マトリックス表のデータ構造例を示す説明図である。
【図１７】コントロールリスト設定画面の表示例を示す説明図である。
【図１８】フロー図画面等の表示例を示す説明図である。
【図１９】業務フロー図の表示例を示す説明図である。
【図２０】リスク・コントロール割り付け表の例を示す説明図である。
【図２１】本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。
【符号の説明】
【００５７】
１００…情報受付部
１１０…情報処理部
１１１…階層構造生成部
１１２…活動・リスク関係付部
１１３…活動・コントロール関係付部
１１４…有効性設定部
１１５…抽出部
１１６…有効性判断部
１１７…リスク・コントロール・マトリックス生成部
１１８…フロー図生成部
１２０…記憶部
１２１…活動記憶部
１２２…活動・リスク関係記憶部
１２３…リスク記憶部
１２４…活動・コントロール関係記憶部
１２５…コントロール記憶部
１２６…リスク・コントロール・マトリックス記憶部
１３０…出力部
２１０…業務統制支援サーバー
２２０…業務統制文書化作業者端末
２３０…ＬＡＮ／ＷＡＮ
【図１】
2009104484.tif 000003
【図２】
2009104484.tif 000004
【図３】
2009104484.tif 000005
【図４】
2009104484.tif 000006
【図５】
2009104484.tif 000007
【図６】
2009104484.tif 000008
【図７】
2009104484.tif 000009
【図８】
2009104484.tif 000010
【図９】
2009104484.tif 000011
【図１０】
2009104484.tif 000012
【図１１】
2009104484.tif 000013
【図１２】
2009104484.tif 000014
【図１３】
2009104484.tif 000015
【図１４】
2009104484.tif 000016
【図１５】
2009104484.tif 000017
【図１６】
2009104484.tif 000018
【図１７】
2009104484.tif 000019
【図１８】
2009104484.tif 000020
【図１９】
2009104484.tif 000021
【図２０】
2009104484.tif 000022
【図２１】
2009104484.tif 000023