J-SOX の IT 全般統制の運用評価で、アカウントについて確かめられること

上場会社の内部統制報告(J-SOX)では、IT 全般統制の運用状況も評価します。この運用評価は、決めたとおりにアカウントが管理されていたかを、期中の記録で確かめる作業です。アカウントでは、利用者の追加、退職・異動時の削除、定期的な見直し、管理者権限の扱いから一部を抜き出し、1 件ごとに承認の記録や削除の日付を見ます。IT 全般統制そのものは IT 全般統制(ITGC)とはにまとめています。管理者用アカウントに絞った話は IT 全般統制(J-SOX)で管理者用アカウントについて問われることにあります。

整備の評価と運用の評価の違い

評価は 2 段階に分かれます。整備状況の評価は、ルールと仕組みが作られているかを見ます。退職者のアカウントを人事の連絡を受けて削除する手順が文書になっているか、といったことです。運用状況の評価は、そのルールが期中に実際に守られていたかを見ます。

確かめる方法として、金融庁の実施基準は担当者への質問や実施記録の検証などを挙げています。日本公認会計士協会の財務報告内部統制監査基準報告書第 1 号(以下、内基報 1 号)も、この点に触れています。運用が有効だったと裏付けるには、質問だけでは通常足りないとしています。担当者が「退職者はすぐ消しています」と答えても、記録の閲覧など質問以外の方法で裏付けることになります。人の手で行うアカウントの追加や削除なら、申請・承認・削除の記録がそれに当たります。

アカウントで確かめられる内部統制

日本公認会計士協会の監査基準報告書 315 は、付録 6 で IT 全般統制の例を挙げ、アクセス管理のプロセスに 8 つの項目を並べています。この記事では、1 件ずつの記録と照らしやすい次の 5 つを取り上げます。左の列は付録 6 の項目の内容で、右の 2 列は、運用評価で抜き出す元の一覧と照らす記録に置き換えた一例です。

付録 6 の表は、退職や異動をした利用者のアクセス権が「適時な方法で削除又は修正される」ことを、内部統制の例に挙げています。同じ表は、複雑ではない市販ソフトウェアでは、追加のたびの承認や退職時の削除と、定期的な見直しが互いの代わりになりうる、という例も示しています。

サンプルの抜き出し方

ここからは、監査人がサンプル(一覧から一部を抜き出したもの)を選ぶときの決まりです。内基報 1 号は、サンプルは選ぶ人の都合が入らない方法で抜き出さなければならないとしています。一覧全体について結論を出すため、特定の項目だけを狙って選ぶ方法も使いません。件数は、許せる逸脱(決めたとおりに行われなかった例)の割合、予想する逸脱の割合、必要な信頼度、一覧の件数から決めます。

実施基準は監査人の手続の例として、1 日に何件も繰り返し起こる取引なら、信頼度 90% を得るには統制上の要点ごとに 25 件以上が要るとしています。信頼度は、抜き出した結果が一覧全体にも当てはまると言える確からしさです。統制上の要点は、評価の対象として選んだ一つひとつの内部統制を指します。内基報 1 号によると、この 25 件は逸脱がないと見込んだ場合の件数で、逸脱がある程度見込まれるなら、監査人は件数を増やすかを検討します。それ以外は、1 日 1 回、週 1 回、月 1 回、年 1 回などの頻度に応じて件数を決めます。年に数回の見直しと、入社や異動のたびに起こる利用者の追加とでは、抜き出される件数が変わりえます。

抜き出す元の一覧も確かめられます。監査基準報告書 315 実務ガイダンス第 1 号(監査人向けの Q&A で、基準そのものではない。以下、ガイダンス)は、会社がシステムで作った情報を監査人が使うときの手続を説明しています。元のデータを帳簿などと突き合わせて、正確さと漏れのなさを確かめるというものです。退職者の削除を確かめるなら、例えば人事の退職者の一覧に漏れがないことが、照らし合わせの前提になると読めます。

共有の ID で示せなくなること

付録 6 は「認証」を、利用者が自分のログイン情報で入っていること(「別の利用者の資格情報を使用していない」こと)を確かめる内部統制として説明しています。1 つの ID とパスワードを複数の人で使っていると、この前提が当てはまりません。ガイダンスは電子承認の例で、「権限者の ID とパスワードをその課の全員が知っている、紙に書いて貼ってある」状況を挙げています。その場合は、現場の観察などで実態をつかむとしています。記録だけでは、権限者本人が承認したかどうかは分かりません。

共有の ID では、退職時の削除も記録で示せません。共有の ID は辞めた人が出ても消さないので、削除の日付が生まれないためです。辞めた人もパスワードを覚えている限り入れるので、示せるのはパスワードを変えた日だけになります。ガイダンスは管理者用の ID の例で、共有されていると誰が会計データを直したか特定しにくいとしています。対応の例には、貸出しと返却を管理して返却後にパスワードを変えること、操作の記録を後から確かめることを挙げています。

評価の時期と、期末までの確認

内部統制の評価時点は期末日です。実施基準によると、期中に運用評価をして期末日までに重要な変更があった場合は、追加の手続を検討します。変更の内容の把握や、変更後の評価などです。変更されて期末日に残っていない内部統制は、評価しなくてよいとも書いています。例えば期中に会計システムを入れ替えた場合、評価の対象は入れ替え後のシステムでの管理になると読めます。内基報 1 号は、監査人の側でも、評価の後から期末日までの有効性を確かめる手続(「ロールフォワード手続」)が要るかを検討するとしています。

記録の保存について、実施基準は、有価証券報告書の縦覧期間(5 年)と同じ程度の期間保存することが考えられるとしています。後日、第三者が検証できるよう、証拠書類を保存する必要があるとも書いています。画面で見られる利用の記録の保存期間が短いサービスなら、評価に使う分を書き出して残します。

逸脱が見つかったとき

運用評価で、退職者の ID が消えていないサンプルが見つかれば、その内部統制には逸脱があったことになります。内基報 1 号は、統計的な方法で抜き出す場合、逸脱が見つかると必要なサンプルの件数が増えることに留意するとしています。

「開示すべき重要な不備」は、内部統制報告書に書いて公表しなければならない重さの不備です。実施基準は、IT 全般統制の不備が、それだけですぐにこれに当たるわけではないとしています。ただし、業務処理統制(取引を正しく処理するために業務に組み込んだ仕組み)を有効に運用し続けられなくなるおそれがあります。不備がある場合は、代わりになる他の内部統制で目的が果たされているかを検討します。不備が見つかれば、すみやかに改善することも求められています。

ガイダンスは管理者用の ID の不備の例で、使われ方を記録で適時に確かめる仕組みが動いていれば、リスクが下がると判断できる場合があるとしています。監査人がアクセスの記録を確かめ、不正な操作がないことを直接確かめられる場合も挙げています。退職者の ID が残っていた場合も、退職後にその ID が使われていないことを記録で示せるかが、次に問われると読めます。共有の ID では、ほかの人も同じ ID を使い続けるため、記録からは辞めた人が使っていないことを示せません。