(57)【要約】【課題】内部統制文書の作成者の能力に依存することなく、内部統制上の制限に従っている内部統制文書であるか否かを検証するようにした情報処理装置を提供する。【解決手段】情報処理装置の受付手段は、内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付け、検索手段は、前記受付手段によって受け付けられたプロセス識別子に関連する文書部品を検索し、検証手段は、前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証し、結果出力手段は、前記検証手段による検証結果を出力する。【選択図】図１
2009042865.tif 000002
【特許請求の範囲】
【請求項１】
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する文書部品を検索する検索手段と、
前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
を具備することを特徴とする情報処理装置。
【請求項２】
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスクを検索する検索手段と、
前記検索手段によって検索されたリスクに対してコントロールが設定されているか否かを検証する検証手段と、
前記検証手段によってコントロールが設定されていないと検証されたリスクを出力するリスク出力手段
を具備することを特徴とする情報処理装置。
【請求項３】
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスク及びコントロールを検索する検索手段と、
前記検索手段によって検索されたコントロールの種別に応じて、該コントロールに対応するリスクとの順序関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
を具備することを特徴とする情報処理装置。
【請求項４】
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する活動を検索する検索手段と、
前記検索手段によって検索された活動が、前記プロセスに関連する文書内に設定されているか否かを検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
を具備することを特徴とする情報処理装置。
【請求項５】
コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する文書部品を検索する検索手段と、
前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
として機能させることを特徴とする情報処理プログラム。
【請求項６】
コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスクを検索する検索手段と、
前記検索手段によって検索されたリスクに対してコントロールが設定されているか否かを検証する検証手段と、
前記検証手段によってコントロールが設定されていないと検証されたリスクを出力するリスク出力手段
として機能させることを特徴とする情報処理プログラム。
【請求項７】
コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスク及びコントロールを検索する検索手段と、
前記検索手段によって検索されたコントロールの種別に応じて、該コントロールに対応するリスクとの順序関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
として機能させることを特徴とする情報処理プログラム。
【請求項８】
コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する活動を検索する検索手段と、
前記検索手段によって検索された活動が、前記プロセスに関連する文書内に設定されているか否かを検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
として機能させることを特徴とする情報処理プログラム。
【請求項９】
内部統制に関する対象としているプロセスを特定するプロセス識別子を選択する選択手段と、
前記選択手段によって選択されたプロセス識別子を送信する送信手段と、
前記送信手段による送信に対応する検証結果を受信する受信手段と、
前記受信手段によって受信された検証結果を提示する提示手段
を有する第１の情報処理装置と
前記第１の情報処理装置から送信されたプロセス識別子を受信するプロセス識別子受信手段と、
前記プロセス識別子受信手段によって受信されたプロセス識別子に関連する文書部品を検索する検索手段と、
前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証する検証手段と、
前記検証手段による検証結果を前記第１の情報処理装置へ送信する結果送信手段
を有する第２の情報処理装置
を具備することを特徴とする情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理プログラム及び情報処理システムに関する。
【背景技術】
【０００２】
近年、財務内部統制が求められている。財務内部統制（以下、内部統制ともいう）とは、１９９２年にＣＯＳＯ（トレッドウェイ委員会組織委員会）が発表した「内部統制−統合的枠組み」が、事実上の標準となっており、「（１）業務の有効性・効率性、（２）財務諸表の信頼性、（３）関連法規の遵守の３つの目的を達成するために、合理的な保証を提供することを意図した、取締役会、経営者及びその他の職員によって遂行される１つのプロセス」と定義されている。
内部統制を行うにあたり、後述する内部統制の基本４文書の文書を作成、文書部品間の制限等を検証する必要がある。
【０００３】
これらに関連する技術として、例えば、特許文献１には、ホームページ上の新着情報など、表示する内容やリンク先が頻繁に更新されるコンテンツにおいて、新しいハイパーリンク情報の追加、及び古くなったハイパーリンク情報の削除を自動化することを課題とし、新着情報の入力が行われた場合、タイトル、リンク先、登録者、新着情報ページへの掲載期間など入力項目が正しくセットされているかのチェックを行い、チェックにより登録可能であると確認された情報を基に新着情報管理ファイルを生成して格納し、格納された新着情報管理ファイルを定期的にチェックして掲載期間の終了した新着情報を削除し、新着情報ページの表示要求を受けると、新着情報ページのＨＴＭＬ記述文を基にＨＴＭＬファイルを作成することが開示されている。
【０００４】
また、例えば、特許文献２には、参照リンクのリンク先データを自動的にチェックし、リンク先データがなくなっている場合にはリンク先データの探索を行うようにし、データ管理者が行っていた参照リンクのメンテナンス作業を軽減し、また、リンク先データが獲得できない参照リンクの存在を減らし、レスポンスの悪さを改善することを課題とし、リンク先データ獲得手段が獲得したハイパーメディアデータから探索補助知識抽出手段が探索補助知識を抽出し、タイミング発生手段からのタイミングにより、リンク先チェック手段が参照リンクのリンク先データをチェックし、リンク先データが取得不能になっていることが判明したときには、リンク探索知識ベースに蓄えられた知識情報をもとにリンク探索手段がリンク先データを自動的に探索し、探索結果をデータ管理者に通知することが開示されている。
【０００５】
また、例えば、特許文献３には、タスクを構成する個別業務数が膨大になっても、個別業務の漏れや重複もなく、個別業務の順序の決定を容易にできるようにすることを課題とし、所定のタスクを遂行するために必要となる業務群の中の業務ごとに、該業務の実行前に実行されるべき先行業務を示す先行業務リストを作成し、これに基づき、該先行業務リストに記載された各業務の実行タイミングの前後関係を示す業務前後関係リストを作成し、該リストに基づき、順序値座標算出部及び並列値座標算出部が、該リストに記載された各業務を表す業務シンボルの配置座標を生成し、この生成された配置座標に従い、ディスプレイに複数の業務シンボルを２次元表示することが開示されている。
【特許文献１】特開２００１−３２５１４４号公報
【特許文献２】特開平０９−２８２２２０号公報
【特許文献３】特開２００６−０１８５９０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、内部統制の基本４文書の文書を作成する場合に、例えば「リスクには必ずコントロールが設定されていなければならない」といった制限（内部統制上の制限ともいう）に従う必要があり、もしこの制限に従わない場合、内部統制文書として不備が存在することになる。
本発明は、内部統制文書の作成者の能力に依存することなく、内部統制上の制限に従っている内部統制文書であるか否かを検証するようにした情報処理装置、情報処理プログラム及び情報処理システムを提供することを目的としている。
【課題を解決するための手段】
【０００７】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
［１］  内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する文書部品を検索する検索手段と、
前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
を具備することを特徴とする情報処理装置。
【０００８】
［２］  内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスクを検索する検索手段と、
前記検索手段によって検索されたリスクに対してコントロールが設定されているか否かを検証する検証手段と、
前記検証手段によってコントロールが設定されていないと検証されたリスクを出力するリスク出力手段
を具備することを特徴とする情報処理装置。
【０００９】
［３］  内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスク及びコントロールを検索する検索手段と、
前記検索手段によって検索されたコントロールの種別に応じて、該コントロールに対応するリスクとの順序関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
を具備することを特徴とする情報処理装置。
【００１０】
［４］  内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する活動を検索する検索手段と、
前記検索手段によって検索された活動が、前記プロセスに関連する文書内に設定されているか否かを検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
を具備することを特徴とする情報処理装置。
【００１１】
［５］  コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する文書部品を検索する検索手段と、
前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
として機能させることを特徴とする情報処理プログラム。
【００１２】
［６］  コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスクを検索する検索手段と、
前記検索手段によって検索されたリスクに対してコントロールが設定されているか否かを検証する検証手段と、
前記検証手段によってコントロールが設定されていないと検証されたリスクを出力するリスク出力手段
として機能させることを特徴とする情報処理プログラム。
【００１３】
［７］  コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連するリスク及びコントロールを検索する検索手段と、
前記検索手段によって検索されたコントロールの種別に応じて、該コントロールに対応するリスクとの順序関係を検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
として機能させることを特徴とする情報処理プログラム。
【００１４】
［８］  コンピュータを、
内部統制に関する対象としているプロセスを特定するプロセス識別子を受け付ける受付手段と、
前記受付手段によって受け付けられたプロセス識別子に関連する活動を検索する検索手段と、
前記検索手段によって検索された活動が、前記プロセスに関連する文書内に設定されているか否かを検証する検証手段と、
前記検証手段による検証結果を出力する結果出力手段
として機能させることを特徴とする情報処理プログラム。
【００１５】
［９］  内部統制に関する対象としているプロセスを特定するプロセス識別子を選択する選択手段と、
前記選択手段によって選択されたプロセス識別子を送信する送信手段と、
前記送信手段による送信に対応する検証結果を受信する受信手段と、
前記受信手段によって受信された検証結果を提示する提示手段
を有する第１の情報処理装置と
前記第１の情報処理装置から送信されたプロセス識別子を受信するプロセス識別子受信手段と、
前記プロセス識別子受信手段によって受信されたプロセス識別子に関連する文書部品を検索する検索手段と、
前記検索手段によって検索された文書部品と他の文書部品又は文書との関係を検証する検証手段と、
前記検証手段による検証結果を前記第１の情報処理装置へ送信する結果送信手段
を有する第２の情報処理装置
を具備することを特徴とする情報処理システム。
【発明の効果】
【００１６】
請求項１記載の情報処理装置によれば、内部統制文書の操作者の能力に依存することなく、内部統制上の制限に従っている内部統制文書であるか否かを検証できる。
【００１７】
請求項２記載の情報処理装置によれば、内部統制文書の操作者の能力に依存することなく、リスクとコントロールとを対応させた内部統制文書であるか否かを検証できる。
【００１８】
請求項３記載の情報処理装置によれば、内部統制文書の操作者の能力に依存することなく、コントロールとリスクとの順序関係を検証できる。
【００１９】
請求項４記載の情報処理装置によれば、内部統制文書の操作者の能力に依存することなく、活動が関連する文書内に設定されているか否かを検証できる。
【００２０】
請求項５記載の情報処理プログラムによれば、内部統制文書の操作者の能力に依存することなく、内部統制上の制限に従っている内部統制文書であるか否かを検証できる。
【００２１】
請求項６記載の情報処理プログラムによれば、内部統制文書の操作者の能力に依存することなく、リスクとコントロールとを対応させた内部統制文書であるか否かを検証できる。
【００２２】
請求項７記載の情報処理プログラムによれば、内部統制文書の操作者の能力に依存することなく、コントロールとリスクとの順序関係を検証できる。
【００２３】
請求項８記載の情報処理プログラムによれば、内部統制文書の操作者の能力に依存することなく、活動が関連する文書内に設定されているか否かを検証できる。
【００２４】
請求項９記載の情報処理システムによれば、内部統制文書の操作者の能力に依存することなく、内部統制上の制限に従っている内部統制文書であるか否かを検証できる。
【発明を実施するための最良の形態】
【００２５】
本実施の形態は、内部統制上の制限の検証に関するものである。
まず、内部統制の「基本４文書」、「リスク」、「コントロール」等について説明する。
基本４文書とは、財務内部統制の対象となる業務プロセスごとに作成される基本文書のことをいい、具体的には、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表がある。この基本４文書に従って、業務プロセスの処理が行われる。
業務記述書とは、ナラティブとも呼ばれる。取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを文書化したものである。人事規定、経理業務規定などの規定書類は、業務記述書の上位文書であり、その改訂は、業務記述書に影響を与える。また、業務マニュアルは、業務記述書の下位文書であり、その改訂に影響を受ける。また、業務記述書の構造は、プロセス、サブプロセス、サブステップ、活動の４階層からなっている。
業務フロー図とは、取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを視覚的にフローチャート化したものである。リスクとコントロールもこのフロー上に配置される。
ＲＣＭ（リスク・コントロール・マトリックス）とは、業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。
職務分離表とは、業務プロセスの流れの中で、財務統制上問題となるような、同一の担当者による処理の重複が発生していないかをチェックするためのものである。
【００２６】
なお、アサーションとは、財務情報が信頼性のある情報であるための前提条件となるものであり、具体的には、実在性、網羅性、評価、権利と義務、期間／配分、表示の６項目が一般的には使用されるが、各社また各監査法人により一部変更があるため、カスタマイズできることが望ましい。
リスクとは、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。例えば、領収書処理業務におけるリスクとしては、「領収書が添付されていなくても承認されてしまうこと」のようなものがある。
コントロールとは、リスクに対する内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。例えば、領収書処理業務の前記のようなリスクに対するコントロールとして「経理部の領収書処理受け付け担当者が、精算内容と添付された領収書の現物を必ず照合すること」のようなものがある。
文書部品とは、活動、コントロール、リスク、知識・情報、ＩＴ資源、サブプロセス、サブステップの要素であり、公開され、文書化担当者等が利用できる。また、活動とは、業務プロセス上で人間又はシステムにより実施される業務行為のことをいう。また、知識・情報とは、業務プロセスに関係する文書群であり、例えば、規定集、マニュアルなどが該当する。また、ＩＴ資源とは、システム、システムデータ、マスタＤＢなどのＩＴ関連リソースのことをいう。これらは例えばＤＭＳ（Ｄｏｃｕｍｅｎｔ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）に保存される。
【００２７】
以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的な構成図を示している。
なお、各構成部は、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態における構成部はコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、コンピュータ・プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させること、又は記憶装置に記憶させるように制御するの意である。また、各構成部は機能にほぼ一対一に対応しているが、実装においては、１構成部を１プログラムで構成してもよいし、複数構成部を１プログラムで構成してもよく、逆に１構成部を複数プログラムで構成してもよい。また、複数構成部は１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１構成部が複数コンピュータで実行されてもよい。なお、１つの構成部に他の構成部が含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）を含む。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。
なお、操作者をその文脈に応じて、作成者、検証者、ユーザー等ともいう。
【００２８】
本実施の形態は、図１に示すように、クライアント装置１１０、内部統制システム１２０、ＤＭＳ１３０が通信回線１４０によって接続されている。
クライアント装置１１０は、文書化プロセス選択部１１１、送信部１１２、受信部１１３、検証結果提示部１１４を有しており、基本４文書の文書の検証者によって使用される。そのため、検証者の操作の受け付け、検証結果の提示等を行うユーザーインタフェースを有している。
文書化プロセス選択部１１１は、送信部１１２と接続されており、検証者の操作に応じて検証を行う対象である文書化プロセスを選択する。また、文書化プロセスは、基本４文書の文書群を指す。その文書化プロセスを特定するプロセスＩＤ（ＩＤｅｎｔｉｆｉｃａｔｉｏｎ  ｎｕｍｂｅｒ、識別子）を送信部１１２へ渡す。
送信部１１２は、文書化プロセス選択部１１１と接続されており、文書化プロセス選択部１１１よりプロセスＩＤを受け取り、内部統制システム１２０のプロセスＩＤ受信部１２１へ通信回線１４０を介して送信する。
受信部１１３は、検証結果提示部１１４と接続されており、内部統制システム１２０の検証結果送信部１２４より通信回線１４０を介して、文書化プロセス選択部１１１によって選択された文書化プロセスに対する検証結果を受信し、受信したデータを検証結果提示部１１４へ渡す。
検証結果提示部１１４は、受信部１１３と接続されており、受信部１１３から渡されたデータをディスプレイ等に提示する。例えば、本来あるべき部品情報が存在しなかった場合、その旨及び内部統制文書の修正を促すことを提示する。
【００２９】
内部統制システム１２０は、プロセスＩＤ受信部１２１、部品検索部１２２、文書検証部１２３、検証結果送信部１２４を有しており、クライアント装置１１０からの指示により、内部統制上の制限の検証を行う。
プロセスＩＤ受信部１２１は、部品検索部１２２と接続されており、クライアント装置１１０の送信部１１２より通信回線１４０を介して、プロセスＩＤを受信する。受信したプロセスＩＤを部品検索部１２２へ渡す。
部品検索部１２２は、プロセスＩＤ受信部１２１、文書検証部１２３と接続されており、プロセスＩＤ受信部１２１から渡されたプロセスＩＤに関連する文書部品をＤＭＳ１３０内の文書部品等ＤＢ１３２から検索する。検索結果を文書検証部１２３へ渡す。例えば、検索する文書部品として、リスク、コントロール、活動のいずれか１つ以上、または、これらの組み合わせがある。
【００３０】
文書検証部１２３は、部品検索部１２２、検証結果送信部１２４と接続されており、部品検索部１２２によって検索された文書部品と他の文書部品又は文書との関係を検証する。検証する場合に、ＤＭＳ１３０の文書部品等ＤＢ１３２内のデータを用いてもよい。
また、検証として、部品検索部１２２によって検索されたリスクに対してコントロールが設定されているか否かを検証すること、部品検索部１２２によって検索されたコントロールの種別に応じて、そのコントロールに対応するリスクとの順序関係を検証すること、部品検索部１２２によって検索された活動が、プロセスに関連する文書内に設定されているか否かを検証することがある。そして、検証結果を検証結果送信部１２４へ渡す。
検証結果送信部１２４は、文書検証部１２３と接続されており、文書検証部１２３による検証結果をクライアント装置１１０の受信部１１３へ通信回線１４０を介して送信する。
【００３１】
ＤＭＳ１３０は、送受信部１３１、文書部品等ＤＢ１３２を有している。
送受信部１３１は、内部統制システム１２０の部品検索部１２２又は文書検証部１２３等からの検索指示を受信し、文書部品等ＤＢ１３２内の検索に合致するデータを取り出して、内部統制システム１２０内の部品検索部１２２又は文書検証部１２３等へ送信する。
文書部品等ＤＢ１３２は、文書化プロセスに関連する文書部品、リンクテーブル等を記憶する。記憶しているデータについては、図２を用いて詳述する。
【００３２】
図２を用いて、文書部品等ＤＢ１３２内のデータ構成例を説明する。
文書部品等ＤＢ１３２は、基本４文書のデータとなる業務記述書データ２３０、フロー図データ２４０、ＲＣＭデータ２５０、職務分離表データ２６０、文書部品群である部品テーブル２１０、そして文書部品間のリンク関係を規定しているリンクテーブル２２０を記憶している。また、部品テーブル２１０内には、活動テーブル２１１、コントロールテーブル２１２、リスクテーブル２１３、知識・情報テーブル２１４、ＩＴ資源テーブル２１５、サブプロセステーブル２１６、サブステップテーブル２１７を有している。
そして、リンクテーブル２２０、業務記述書データ２３０、フロー図データ２４０、ＲＣＭデータ２５０、職務分離表データ２６０は、それぞれ部品テーブル２１０と接続されている。
つまり、基本４文書のデータとなる業務記述書データ２３０、フロー図データ２４０、ＲＣＭデータ２５０、職務分離表データ２６０は、それぞれ文書部品群である部品テーブル２１０によって構成されており、さらに、文書部品間はリンクテーブル２２０によって規定されている。部品テーブル２１０は主に部品検索部１２２による検索対象となり、リンクテーブル２２０は主に文書検証部１２３により利用される。
【００３３】
次に、例を挙げて作用・働き（動作）を説明する。
（例１）コントロールの無いリスクをチェック
内部統制上の制限である「リスクには必ずコントロールが設定されていなければならない」をチェックするものである。
まず、図３を用いて、この制限及び制限違反の例を説明する。この例は、「棚から製品を取り出す作業」に関するフロー図の一部を示したものである。
ＲＫ００１は「別製品を棚から取り出してしまう」というリスクであり、それに対するＣＴ００１として「注文リストとの照合を行い、再確認」というコントロールが設定されている。また、ＲＫ００２は「注文リストが間違っており、正しく製品を棚から取り出せない」というリスクであるが、これに対応するコントロールが設定されていない。
【００３４】
次に、図４を用いて、クライアント装置１１０の文書化プロセス選択部１１１による対象とする文書化プロセスの選択処理について説明する。
内部統制の対象は、図４に示すように階層構造になっている。対象とする文書化プロセスは「国内販売プロセス」であり、これは「業務統制／検証会社Ａ／○○テスト２」の階層下にある。検証者が「国内販売プロセス」を選択し、メニュー４００を表示させ、「文書内容チェック」を選択する。この操作に応じて、文書化プロセス選択部１１１は、「国内販売プロセス」の文書化プロセスＩＤを取得する。そして、送信部１１２が対象とする文書化プロセスＩＤを内部統制システム１２０のプロセスＩＤ受信部１２１へ送信する。
【００３５】
次に、図５を用いて、文書部品等ＤＢ１３２内のリスクテーブル５００とリスク・コントロールリンクテーブル５５０を説明する。リスクテーブル５００は図２に示すリスクテーブル２１３であり、リスク・コントロールリンクテーブル５５０はリンクテーブル２２０の一部である。
リスクテーブル５００は、文書化プロセスＩＤ欄５１０、リスクＩＤ欄５２０等を有しており、リスクの全てを記憶しているテーブルである。リスク・コントロールリンクテーブル５５０は、文書化プロセスＩＤ欄５６０、リスクＩＤ欄５７０、コントロールＩＤ欄５８０等を有しており、リスクとそれに対応するコントロールとを記憶しているテーブルである。
【００３６】
部品検索部１２２は、文書化プロセスＩＤを受け取り、その文書化プロセスＩＤをリスクテーブル５００内の文書化プロセスＩＤ欄５１０から検索し、それに対応するリスクを抽出する。図５の場合、受け取った文書化プロセスＩＤが「ＩＣ０００」とすると、リスクテーブル５００からリスクＩＤである「ＲＫ００１」と「ＲＫ００２」を抽出する。
【００３７】
そして、文書検証部１２３は、リスク・コントロールリンクテーブル５５０を用いて、文書化プロセスＩＤ「ＩＣ０００」を検証する。つまり、文書検証部１２３は、部品検索部１２２から文書化プロセスＩＤ「ＩＣ０００」、リスクＩＤ「ＲＫ００１」、「ＲＫ００２」を受け取り、リスク・コントロールリンクテーブル５５０内の該当するリスクに対応するコントロールがあるか否かを検証する。具体的には、「ＲＫ００１」には「ＣＴ００１」、「ＣＴ００２」が対応していること、「ＲＫ００２」に対応するコントロールはないことを検証する。
【００３８】
この検証結果を内部統制システム１２０の検証結果送信部１２４は送信し、クライアント装置１１０の受信部１１３が受信する。そして、検証結果提示部１１４が、図６に示すような文書内容チェック結果一覧画面６００をディスプレイ等に提示する。文書内容チェック結果一覧画面６００は、プロセス名欄６１０、チェック結果一覧６２０を有しており、チェック結果一覧６２０は、プロセス名欄６２１、部品種別欄６２２、名称欄６２３、内容欄６２４、結果コメント欄６２５を有している。つまり、文書化プロセス「国内販売プロセス」のリスク「ＲＫ００２」には「対応するコントロールがありません」ということを提示する。
【００３９】
（例２）コントロールの種別により、業務記述書又はフロー図上でのコントロールとリスクの順序関係をチェック
コントロールの種別には「予防的」、「発見的」がある。予防的コントロールはリスクを未然に防ぐことを表し、発見的コントロールは問題が起こってから対処することを表す。その為この属性は、業務記述書やフロー図上でのコントロールとリスクの順序関係を決める属性である。予防的コントロールの場合、リスクより先にコントロールを配置する必要があり、発見的コントロールの場合は、リスク以後にコントロールを配置しなくてはならない。この順序関係をチェックするものである。
なお、文書化プロセス選択部１１１、検証結果提示部１１４の処理は、（例１）と同等であるので省略する。
【００４０】
まず、図７を用いて、実際の作業の例を説明する。「順序１」として「コントロール［予防的］」で「伝票の内容を確認の上、担当者が承認する」、「順序２」として「リスク」で「受注内容と間違って製品を棚から取り出してしまう」、「順序３」として「コントロール［発見的］」で「トラック積み込み時に、内容の再確認をする」のような順序になる。
【００４１】
図７で示した例の文書部品等ＤＢ１３２のデータ関係、つまりコントロールテーブル８００、リスクテーブル５００、リスク・コントロールリンクテーブル５５０の関係の例を図８に示す。コントロールテーブル８００は図２に示すコントロールテーブル２１２であり、文書化プロセスＩＤ欄８１０、コントロール種別欄８２０、コントロールＩＤ欄８３０等を有している。コントロール種別欄８２０が、そのコントロールが予防的であるか発見的であるかを示している符号を記憶している。
部品検索部１２２は、コントロールテーブル８００からコントロールを抽出し、リスクテーブル５００からリスクを抽出する。そして、それらの関係をリスク・コントロールリンクテーブル５５０から抽出する。
【００４２】
次に、文書検証部１２３は、部品検索部１２２の検索結果を用いて、コントロールの種別を用いて順序関係を算出する。リスク「ＲＫ００１」にはコントロール「ＣＴ００１」及び「ＣＴ００２」が対応し、コントロール「ＣＴ００１」は予防的であるのでリスク「ＲＫ００１」よりも前にあるべきであること、コントロール「ＣＴ００２」は発見的であるのでリスク「ＲＫ００１」よりも後にあるべきであることがわかる。この関係をフロー図を用いて表すと図９のようになる。
【００４３】
次に、文書検証部１２３は、この順序関係とサブプロセスリンクテーブル１０００に規定されている順序関係とを比較して、その順序に矛盾があるか否かを検証する。なお、サブプロセスリンクテーブル１０００は、業務記述書作成時にユーザーが作成したものであり、文書化プロセスＩＤ欄１０１０、実行順序欄１０２０、部品ＩＤ欄１０３０を有している。この検証によって、コントロール「ＣＴ００２」とリスク「ＲＫ００１」との順序に矛盾があることがわかる。そして、検証結果送信部１２４が検証結果（コントロール「ＣＴ００２」とリスク「ＲＫ００１」との順序に誤りがある可能性があること）をクライアント装置１１０へ送信する。なお、業務記述書内の順序関係を例として示したが、フロー図内での順序関係を対象としてもよい。
【００４４】
（例３）作成した活動が、業務記述書に設定されているかをチェック
内部統制上の制限である「全ての活動は、業務記述書に記述されていなければならない」をチェックするものである。
【００４５】
まず、図１１を用いて、実際の作業の例を説明する。
業務記述書を作成（ステップＳ１１０１）した後に、フロー図を作成（ステップＳ１１０２）する場合である。業務記述書では、活動「ＡＶ００１（社員が物品を注文する）」、「ＡＶ００３（チーム長が承認する）」が記述される。そして、フロー図では、活動「ＡＶ００１」、「ＡＶ００３」を記す他に、活動「ＡＶ００５（グループ長がさらに承認する）」も追加されている。つまり、この状態では、フロー図では活動「ＡＶ００５」があるが、業務記述書では活動「ＡＶ００５」は反映されていないことになる。
【００４６】
図１１で示した例の文書部品等ＤＢ１３２のデータ関係、つまり部品一覧テーブル１２００、サブプロセスリンクテーブル１０００の関係の例を図１２に示す。部品一覧テーブル１２００は、文書化プロセスＩＤ欄１２１０、部品タイプ欄１２２０、活動部品ＩＤ欄１２３０等を有しており、その文書化プロセス内の部品の全てが反映されているテーブルである。なお、部品一覧テーブル１２００内の活動「ＡＶ００５」はフロー図作成時に追加されたものである。
なお、文書化プロセス選択部１１１、検証結果提示部１１４の処理は、（例１）と同様であるので省略する。
【００４７】
部品検索部１２２は、部品一覧テーブル１２００から全ての活動を抽出する。
次に、文書検証部１２３は、部品検索部１２２によって抽出された活動が、サブプロセスリンクテーブル１０００に反映されているか否かを検証する。図１２の場合、活動「ＡＶ００１」、「ＡＶ００３」はサブプロセスリンクテーブル１０００内に反映されているが、活動「ＡＶ００５」はサブプロセスリンクテーブル１０００内に反映されていないことがわかる。そして、検証結果送信部１２４が検証結果（活動「ＡＶ００５」が業務記述書に反映されていないこと）をクライアント装置１１０へ送信する。
なお、業務記述書に記載されている活動を例として示したが、フロー図に記載されている活動を対象としてもよい。
【００４８】
なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図１３に示すように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバーとなり得るコンピュータ等である。部品検索部１２２、文書検証部１２３、文書化プロセス選択部１１１、検証結果提示部１１４等のプログラムを実行するＣＰＵ１３０１と、そのプログラムやデータを記憶するＲＡＭ１３０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ１３０３と、補助記憶装置であるＨＤ１３０４（例えばハードディスクを用いることができる）と、キーボード、マウス等のデータを入力する入力装置１３０６と、ＣＲＴや液晶ディスプレイ等の出力装置１３０５と、通信ネットワークと接続するための通信回線インタフェース１３０７（例えばネットワークインタフェースカードを用いることができる）、そして、それらをつないでデータのやりとりをするためのバス１３０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
【００４９】
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図１３に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図１３に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図１３に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
【００５０】
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して
記録されていてもよい。また、圧縮や暗号化など、復元可能であればどのような態様で記録されていてもよい。
【図面の簡単な説明】
【００５１】
【図１】本実施の形態の構成例についての概念的なモジュール構成図である。
【図２】文書部品等ＤＢ内のデータ構成例を示す説明図である。
【図３】リスクとコントロールとの関係の例を示す説明図である。
【図４】内部統制上の制限チェックの選択画面例を示す説明図である。
【図５】リスクテーブルとリスク・コントロールリンクテーブルとの関係の例を示す説明図である。
【図６】内部統制上の制限チェックの結果画面例を示す説明図である。
【図７】コントロールとリスクの順序関係の例を示す説明図である。
【図８】コントロールテーブル、リスクテーブル、リスク・コントロールリンクテーブルとの関係の例を示す説明図である。
【図９】コントロールテーブル、リスクテーブル、リスク・コントロールリンクテーブルの解析結果の例を示す説明図である。
【図１０】サブプロセスリンクテーブルのデータ構造例を示す説明図である。
【図１１】業務記述書作成とフロー図作成の例を示す説明図である。
【図１２】部品一覧テーブルとサブプロセスリンクテーブルとの関係の例を示す説明図である。
【図１３】本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。
【符号の説明】
【００５２】
１１０…クライアント装置
１１１…文書化プロセス選択部
１１２…送信部
１１３…受信部
１１４…検証結果提示部
１２０…内部統制システム
１２１…プロセスＩＤ受信部
１２２…部品検索部
１２３…文書検証部
１２４…検証結果送信部
１３０…ＤＭＳ
１３１…送受信部
１３２…文書部品等ＤＢ
１４０…通信回線
２１０…部品テーブル
２１１…活動テーブル
２１２…コントロールテーブル
２１３…リスクテーブル
２１４…知識・情報テーブル
２１５…ＩＴ資源テーブル
２１６…サブプロセステーブル
２１７…サブステップテーブル
２２０…リンクテーブル
２３０…業務記述書データ
２４０…フロー図データ
２５０…ＲＣＭデータ
２６０…職務分離表データ
【図１】
2009042865.tif 000003
【図２】
2009042865.tif 000004
【図３】
2009042865.tif 000005
【図４】
2009042865.tif 000006
【図５】
2009042865.tif 000007
【図６】
2009042865.tif 000008
【図７】
2009042865.tif 000009
【図８】
2009042865.tif 000010
【図９】
2009042865.tif 000011
【図１０】
2009042865.tif 000012
【図１１】
2009042865.tif 000013
【図１２】
2009042865.tif 000014
【図１３】
2009042865.tif 000015