ドメインⅥ

コントロールの理論と適用

2008年4月
CIAフォーラム CSA研究会（No．6）
ドメインⅥ：森・友田

ドメインⅥ コントロールの理論と適用
ドメインⅠ～Ⅲ CSAの設計・導入・運用の要素
ドメインⅣ～Ⅵ CSAを適用するコンテンツの知識
リスクマネジメントは、目的の設定
Ｖ
リスクの識別
Ｖ
リスクの評価Ｖ
リスクへの対応Ｖ
統制活動
2008 by CIA Forum CSA Study Group No. 6

ドメインⅣ
ドメインⅤ
ドメインⅤ
ドメインⅤ
ドメインⅥ
101

ドメインⅥ コントロールの理論と適用－内部統制を評価するための理論と方法 ： CSAに深い関わり（ ）：テキストページ

A．コーポレートガバナンス、コントロールの理論およびモデル（p129－134）

B．組織のコントロール実績を判断する手法 （レビュー、監査、その他の評価など）（p134－137）
 C．インフォーマルコントロールとフォーマルコントロールの関係（p137－139）

D．フォーマルコントロール（手作業による、または自動化された）の評価方法（p139－143）
 E．インフォーマルコントロール、統制環境の評価手法（p143－145）
 F．コントロールの文書化手法（p145－149）
 G．コントロールのデザインおよび適用（p149－153）
 H．内部統制システムの全般的有効性について判断・報告する方法（p153－160）
 I．結論（p160）
2008 by CIA Forum CSA Study Group No. 6102

Ⅵ‐B. 組織のコントロール実績を判断する手法（レビュー、監査、その他の評価など） （p134－137）
 監査人が内部統制をレビューする目的

・すべての重要なリスクエクスポージャーの識別・コントロールが構築されているかの判断・整備されているコントロールの効率性、有効性および経済性の検証・欠陥（Weakness）の識別と文書化・不備の改善確認のためのフォローアップ

2008 by CIA Forum CSA Study Group No. 6103

Ⅵ‐B. 組織のコントロール実績を判断する手法（レビュー、監査、その他の評価など） （p134－137）
 内部統制評価の４つのステップ

ａ．コントロールポイントの識別
ｂ．文書化
・記述書（Memorandum）
・質問書（Questionnaires）
・チェックリスト（Checklists）
・フローチャート（Flowchart）
ｃ．統制リスク（残存リスク）レベルの評価
ｄ．経営者への、重大な欠陥（Material Weakness）の報告

2008 by CIA Forum CSA Study Group No. 6104

Ⅵ‐B. 組織のコントロール実績を判断する手法（レビュー、監査、その他の評価など） （p134－137）
 重大な欠陥の例

ａ．適切な職務分離がない
ｂ．従業員または経営者による不正な活動の証拠
ｃ．過去の監査で識別された重大な欠陥が、改善されていない
ｄ．資産が保全されていない
ｅ．システムの欠陥により、完全・正確な情報提供が不能

2008 by CIA Forum CSA Study Group No. 6105

Ⅵ‐B. 組織のコントロール実績を判断する手法（レビュー、監査、その他の評価など） （p134－137）

 コントロール評価の方法

・ＣＯＳＯ
・ＣｏＣｏ・その他

2008 by CIA Forum CSA Study Group No. 6106

Ⅵ‐Ｃ． インフォーマルコントロールとフォーマルコントロールの関係（p137－139）
 フォーマルコントロール

・＝ハードコントロール
・組織構造、方針、手続き、人事、報告、内部レビューなど
・すべての監査人が慣れ親しんでいる、通常のコントロール・レビューしやすい2008 by CIA Forum CSA Study Group No. 6107

Ⅵ‐Ｃ． インフォーマルコントロールとフォーマルコントロールの関係（p137－139）
 インフォーマルコントロール

・＝ソフトコントロール
・組織文化、認識、報酬体系など・能力、価値、率直さ、リーダーシップ、期待などの「無形」のものに対応
・レビューしにくい➢ CSA、特に「ワークショップ」形式が適している
2008 by CIA Forum CSA Study Group No. 6108

Ⅵ‐Ｄ． フォーマルコントロール（手作業による、または自動化された）の評価手法（p139－143 ） マニュアル（手作業）によるコントロール

・「基準」 2120.A1 ～ C2・内部統制の重要な部分を構成（今後も）・ITの導入により、見方が変化・費用が高くつき、非効率とみなされるように・個人の能力のばらつきがあるため高リスク¾ 「自動化されたコントロール＋人間のレビュー」に移行
2008 by CIA Forum CSA Study Group No. 6109

Ⅵ‐Ｄ． フォーマルコントロール（手作業による、または自動化された）の評価手法（p139－143 ） 自動化されたコントロール

・ITによるコントロール
・メリット ： 経済性、迅速性、信頼性、正確性・＋α（人間による事後レビュー）がなければ意味なし
・従業員と経営者によるレビューの有効性を補完し、高める

2008 by CIA Forum CSA Study Group No. 6110

Ⅵ‐Ｄ． フォーマルコントロール（手作業による、または自動化された）の評価手法（p139－143 ） 内部統制評価のための、一般的なテスト方法¾ 準拠性テスト（Compliance Test）
・定められたとおりに適用されているかを検証
・監査証跡がある場合 ： レビュー・監査証跡がない場合 ： 観察、インタビュー¾ 実証性テスト（Substantive Test）
・データの比較、照合・マニュアル実施も可能だが、自動化されたレビューが一般的になってきている2008 by CIA Forum CSA Study Group No. 6111

Ⅵ‐Ｄ． フォーマルコントロール（手作業による、または自動化された）の評価手法（p139－143 ） 分析的監査手続 － １

・実践要項2320-1 ： 「分析および評価」
・間接情報（KPIなど）による分析・使い方によっては、非常に強力な監査手続となる・この手続きによって、予想しなかった結果や関係が識別された場合、結果や関係を調査して評価・十分に説明されない結果や関係については、適切なレベルの経営者に伝達
2008 by CIA Forum CSA Study Group No. 6112

Ⅵ‐Ｄ． フォーマルコントロール（手作業による、または自動化された）の評価手法（p139－143 ） 分析的監査手続 －２¾ 以下を識別する際に、特に有効・予想されない差異・予想される差異がない状態・潜在的な誤謬・潜在的な不正または違法行為・その他の異常な、または非経常的な、取引あるいは事象
2008 by CIA Forum CSA Study Group No. 6113

Ⅵ‐E． インフォーマルコントロール、統制環境の評価手法（p.143 -145 ） インフォーマルコントロール評価の対象領域

・組織構造・コントロール、インテグリティおよび倫理に対する経営者の姿勢・コントロール、インテグリティおよび倫理に対する従業員の姿勢・コントロールに関する方針および手続きの有効性
・品質に対する組織のコミットメント
・組織文化
・スタッフの姿勢およびモラル・取締役会と監査委員会の有効性・人的資源に関する方針および手続き

2008 by CIA Forum CSA Study Group No. 6114

Ⅵ‐Ｅ． インフォーマルコントロール、統制環境の評価手法（p.143 -145 ） CSAは、インフォーマルコントロール評価の有効な手法¾ 従来の内部統制手法は、フォーマルコントロールのレビューに基礎をおいており、インフォーマルコントロールの測定・評価は困難¾ CSAワークショップの能力は、組織にとって計り知れないほど貴重・参加当事者のコミュニケーションを図れる・教育訓練の場となる・統制活動とその活動に向けての姿勢の情報を入手できる
2008 by CIA Forum CSA Study Group No. 6115

Ⅵ‐Ｅ． インフォーマルコントロール、統制環境の評価手法（p.143 -145 ） CSAワークショップからの成果例

・ﾋﾞｼﾞﾈｽ目標を達成する可能性を改善する。

・ｲﾝﾌｫｰﾏﾙｺﾝﾄﾛｰﾙが容易に識別・評価される。
・参加者のｵｰﾅｰｼｯﾌﾟ意識が向上し、改善措置が有効・適時的になる。
・貴重な監査資源を、重大な欠陥や残余ﾘｽｸの高い領域に配分できる。
・経営陣の責任が補強され、専門家任せの傾向が少なくなる。
2008 by CIA Forum CSA Study Group No. 6116

Ⅵ‐Ｆ． コントロールの文書化手法（p.145 - 149）
 １．フローチャートの作成
 ２．ビジネスプロセスのマッピング
 ３．コントロールチャート（管理図）
 ４．コントロールに関する質問書¾ 内部統制に関する質問書（ICQ）
・監査人が、監査対象領域の文書化のために利用・ICQで判明した欠陥・弱点から、実地調査の重点領域を特定する
・一般的に、「はい/いいえ」の回答形式

2008 by CIA Forum CSA Study Group No. 6117

Ⅵ‐Ｇ． コントロールのデザインおよび適用（p.149 -153 ）１．コントロール目的の明確化¾ そもそも、内部統制に必要不可欠
・戦略目的 ： 経済情勢、自然災害、政情不安、競争、法規制、テクノロジーなどが影響
・業務コントロール目的 ： 組織の事業に焦点を当て、プロセスマッピングと評価に直接影響網羅性、正確性、適時性などに対応すべき・コンプライアンス目的 ： 方針、税法、業界基準、規制などの遵守に関連2008 by CIA Forum CSA Study Group No. 6118

Ⅵ‐Ｇ． コントロールのデザインおよび適用（p.149 -153 ） ２．コントロールのデザイン（予防的、発見的、是正的、あるいはインフォーマル、フォーマルなど）¾ テクニカルな基本事項
・予防的コントロール ：好ましくない事象の発生を回避する
・発見的コントロール ：好ましくない事象が発生した場合に、識別する・是正的コントロール ：好ましくない事象の発生する可能性のある状況から改善・回復する・指揮的（または指示的）コントロール (参考）2008 by CIA Forum CSA Study Group No. 6119

Ⅵ‐Ｇ． コントロールのデザインおよび適用（p.149 -153 ） ３．費用対効果¾ 実務的な基本事項
・リスクとコントロールのバランスには、「費用対効果」が重要・過度なコントロールは不適当なコントロールであり、問題・コントロールのデザインにかかる費用が、リスクそのものより高くならないようにしなければならない
・エクスポージャーとコントロールのバランスをとることで、「合理的な保証」が得られる

2008 by CIA Forum CSA Study Group No. 6120

ドメインⅥ 総括
 内部統制の有効性担保には、「独立的評価」＋「継続的（Ongoing）モニタリング」が必要
 従来、「独立的評価」は内部監査部門が行ってきた CSAは、この従来の考え方を、劇的に変えた－＞コントロールの所有者は経営者－＞ 定期的なコントロールのレビュー活動は、監視戦略の一環

2008 by CIA Forum CSA Study Group No. 6121

ドメインⅥ 総括
 CSAは、内部監査人が従来実施していた監査を補完し、場合によっては代替可能¾ 事業領域に、コントロールのレビューとモニタリング活動を「組み込む（Build In）」ことを促す¾ これによって、内部統制システムの全体的な質と統制環境が、大幅に改善¾ 内部監査人の役割変化事例 ： コントロールの検証者としての役割から、経営者によるコントロール自己評価に際するファシリテーターとしての役割へ
 モニタリングおよび監視プロセスへのCSAの適用によって、監査の効率性と有効性は、大幅に向上
2008 by CIA Forum CSA Study Group No. 6122