業務プロセス統制の構築と評価

このサイトはコントロールソリューションズ株式会社をスポンサーとして、Zenken株式会社が運営しています。
代表 佐々野未知
Sponsored by
代表取締役社長佐々野未知

経営コンサルタントとして、内部統制構築支援やIFRSコンバージョン支援に携わるとともに、各種実務セミナー講師としても活躍中。

目次 INDEX

業務プロセスに係る内部統制とは?どんなものがあるか?

業務プロセスに係る内部統制(業務プロセス統制)とは、会社の業務プロセスにおいて、部署等の単位で日常的に実施されている内部統制です。

英語ではProcess Level Controlと呼ばれ、省略してPLCと表記されることがあります。

具体的には、例えば、販売プロセスであれば、見積や受注を承認することや、製品出荷時に注文内容と照合すること、請求書に全ての出荷が含まれているか確認することが挙げられます、また、購買プロセスであれば、発注前に相見積もりをとって金額を確認すること、請求書を支払う前に納品書を確認することなどが挙げられます。

全社的な内部統制の評価結果を踏まえて、評価対象となった業務プロセスに内在する財務報告リスクと実施している内部統制を把握・文書化します。

そのうえで、財務報告の信頼性に重要な影響を及ぼす統制上の要点について内部統制が機能しているかを、整備状況と運用状況の観点から評価します。

業務プロセス統制の文書化

業務プロセス統制の評価に先立ち、以下の手順で、業務プロセスにおける取引の開始、承認、記録、処理、報告を含め、取引の流れを把握し、取引の発生から集計、記帳といった会計処理の過程を理解し、記録・保存します。

  1. 各業務プロセスについて、取引の流れ、会計処理の過程を、必要に応じ図や表を活用して整理し、理解する。
  2. 各業務プロセスについて虚偽記載の発生するリスクを識別し、それらのリスクがいかなる財務報告又は勘定科目等と関連性を有するのか、また、識別されたリスクが業務の中に組み込まれた内部統制によって、十分に低減できるものになっているか、必要に応じ図や表を活用して、検討する。

(1)の段階で、①フローチャートと②業務記述書を作成し、業務プロセスの流れや実施している作業を可視化します。

(2)の段階で、③リスクコントロールマトリックス(RCM)と呼ばれる表を作成し、リスクに対する統制が十分かどうかを判断します。

業務プロセス統制の文書化において作成する①~③を「3点セット」と呼びます。

3点セットを作成する際は、3つの文書の記載内容が整合するように作成しましょう。

業務プロセス統制の整備の状況を記録し、可視化することによって、内部統制の有効性に関する評価を実施できる状態となります。

フローチャートの作成例

フローチャート

フローチャートは、部門間にまたがる業務フローの大枠を把握し、リスクを判別するのに有用です。

業務記述書の作成例

業務記述書

業務記述書は、フローチャートで示されている業務の詳細、担当者、関連証憑などを確認して明確にします。

RCMの作成例

RCM

RCMは、業務プロセスに関する理解にもとづき、当該業務プロセスに内在するリスクとコントロールを併記し、その対応関係を明確にします。

財務報告リスク

業務プロセスのリスクを識別するにあたっては、適切な財務情報を作成するための要件を理解しておくことが重要です。

この要件をアサーションといい、主に以下のものがあります。

  1. 実在性:資産及び負債が実際に存在し、取引や会計事象が実際に発生していること
  2. 網羅性:計上すべき資産、負債、取引や会計事象を全て記録していること
  3. 権利と義務の帰属:計上されている資産に対する権利及び負債に対する義務が企業に帰属していること
  4. 評価の妥当性:資産及び負債を適切な価額で計上していること
  5. 期間配分の適切性:取引や会計事象を適切な金額で記録し、収益及び費用を適切な期間に配分していること
  6. 表示の妥当性:取引や会計事象を適切に表示していること

IT業務処理統制とIT依存統制

業務プロセス統制には、金額の承認や数量の照合など、人手で実施するマニュアル統制だけではなく、システムが行う処理も含まれます。

このシステムが行う処理をIT業務処理統制と呼びます。

英語ではIT Application Controlと呼ばれ、省略してITACと表記されることがあります。

なお、人手とコンピュータ処理が一体となって機能している内部統制は、IT依存統制といいます。

IT業務処理統制は、業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保するために業務プロセスに組み込まれている統制であり、以下のような項目があげられます。

  • 入力情報の完全性、正確性、正当性等を確保する統制
  • 例外処理(エラー)の修正と再処理
  • マスタ・データの維持管理
  • システムの利用に関する認証、操作範囲の限定などアクセスの管理

IT業務処理統制は、企業の成長にとって必要不可欠であり、近年ますますその重要性が注目されています。

しかし、IT業務処理統制は、コンピュータ・プログラムに組み込まれて自動化されており、表面的にはリスクがないようにみえるため、文書化において記載が漏れることがありますので、注意しましょう。

業務プロセス統制の整備状況評価

整備状況評価では、3点セットで整理した統制活動が、規程や方針に従って運用された場合に、財務報告の重要な事項に虚偽記載が発生するリスクを十分に低減できるかという観点から、当該内部統制の整備状況の有効性を評価します。

具体的には、ウォークスルーテストと呼ばれる手法で、関係者へのヒアリングや、規程等の閲覧、サンプル取引資料の検査、観察などを行います。

ウォークスルーテスト

ウォークスルーテストは、取引がその発生から会社の情報システムを経由し、最終的に会社の財務諸表への計上までのプロセスの流れに従って、質問やサンプル取引の証憑を確認しながら追跡する手法です。

業務プロセスの流れにそって、証憑を確認することで、文書の正確性の検証と整備状況の有効性を確認します。

ウォークスルーテストでは、例えば、以下のような事項に留意します。

  • 内部統制は、不正又は誤謬を防止又は適時に発見できるよう適切に実施されているか。
  • 適切な職務の分掌が導入されているか。
  • 担当者は、内部統制の実施に必要な知識及び経験を有しているか。
  • 内部統制に関する情報が、適切に伝達され、分析・利用されているか。
  • 内部統制によって発見された不正又は誤謬に適時に対処する手続が設定されているか。

業務プロセス統制の運用状況評価

運用状況評価では、整備状況評価で確認した統制が、実際のそれぞれの現場で日々実施されているかどうかを、関連文書の閲覧、当該内部統制に関係する適切な担当者への質問、業務の観察、内部統制の実施記録の検証、各現場における内部統制の運用状況に関する自己点検の状況の検討等により、確認します。

整備状況で確認した統制のうち、統制の要点に該当する内部統制に絞った上で、年間の取引から複数件をサンプルしてテストを実施します。

サンプリングテスト

サンプリングテストは、業務プロセス統制の運用状況の有効性を確認するための手法です。

統制が適切に機能しているかどうかを、期中の取引からサンプルを抽出・検証することで確かめます。

テストの結果、例外事項が検出された場合には、発生原因や発生頻度を確認し、実質的な統制が行われたのかどうか、再発性があるどうかを検討し、最終的にその統制を不備にするか否かの判断を行います。

サンプリング方法

サンプリング方法には、統計的サンプリングと非統計的サンプリングがあります。

統計的サンプリングは無作為・ランダムにサンプルを抽出する方法です。

一方で非統計的サンプリングは、評価実施者の経験に基づき、金額、取引種別等の属性を考慮してサンプルを抽出する方法が該当します。

J-SOXでは、原則としてランダムサンプリングを行います。

サンプル件数

サンプル件数は、統制の頻度や重要性に基づいて決定します。

例えば、日次の統制には25件、月次や四半期の統制は2件のサンプルをテストします。

IT業務処理統制の評価

IT業務処理統制が、適切に業務プロセスに組み込まれ、運用されているかを評価するにあたっては、具体的には、例えば、次のような点を評価します。

  • 入力情報の完全性、正確性、正当性等が確保されているか。
  • エラーデータの修正と再処理の機能が確保されているか。
  • マスタ・データの正確性が確保されているか。
  • システムの利用に関する認証・操作範囲の限定など適切なアクセス管理がなされているか。

IT業務処理統制の場合、システムに組み込まれていることから、評価する場合のサンプル数は、通常1件となります。

ロールフォワードとは?

制度上、内部統制の評価時点は、期末日とされています。

しかし、全ての運用評価を期末日に実施することは不可能であり、ほとんどの上場会社は、期中に実施しています。

このため運用状況の評価を期中に実施した場合、期末日までに内部統制に関する重要な変更がないかどうか、変更がある場合には、変更された内部統制が有効かどうかを確認しなければなりません。

この確認作業を「ロールフォワード」と呼びます。

具体的には、以下を実施する必要があります。

  1. 重要な変更の有無およびその内容の把握・整理
  2. (変更がある場合のみ)変更後の内部統制の整備状況の有効性の評価
  3. (変更がある場合のみ)変更後の内部統制の運用状況の有効性の評価

業務プロセス統制のよくある不備

業務プロセス統制の構築は、初めてJ-SOX対応が必要となる上場準備会社においては非常に大変な作業です。

社員の誠実性を前提として、収益性や効率性を追求してきたところを、上場となると、プロセスを可視化してチェック・説明できる体制へと変えていかなければなりません。

例えば、単価マスタを変更できる担当者を限定する、取引先に対する信用調査、反社チェックを実施する、受注前には社内の承認をとる、回収期日を過ぎた売上債権に対して回収可能性を見積もって引当金を計上するなど、上場にあたって対応しなければならない課題・不備は、多岐にわたります。

現場の担当者からは、余計な手間が増えることで嫌がられる場面も少なくありません。

佐々野未知氏より
業務プロセス統制の文書化や評価に悩んだら
コンサルへ相談を

業務プロセス統制は、対象となる業務を詳細に把握する必要があるため、作業が膨大となりやすい部分です。

業務を可視化するだけだから大丈夫だろうとプロセス担当者にまかせていたら、いつの間にかJ-SOXに関連がない業務についてフローチャートを作成していた、肝心の会計システムへの入力業務を文書化していなかったなど、作業に手戻りが発生する場合があります。

また、評価においても、上場会社として財務報告リスクを削減するために、どこまで統制を追加すれば良いのかの判断には専門知識が必要となる場合があります。

上場による社員の疲弊を防ぐためにも専門知識と外部の視点を持つコンサルタントを採用し、効率的に業務プロセス統制の構築と評価を進めることが一般的です。

コンサルタントは社内の気づきにくい課題を発見し、組織全体の統制力を強化する手助けします。

まずは相談から。悩んだ際はぜひご相談ください。

代表 佐々野未知
メディア監修
しています!
Sponsored by
代表佐々野未知

上智大学経済学部卒業。大原簿記学校講師、青山監査法人(当時)勤務を経て、1998年KPMGニューヨーク事務所に入社。
2002年以降は、KPMG東京事務所(現あずさ監査法人)にて外資系企業の法定監査、デューデリジェンス、SOX法対応支援業務を担当する。
現在は、経営コンサルタントとして、内部統制構築支援やIFRSコンバージョン支援に携わるとともに、各種実務セミナー講師としても活躍中。
著書『フローチャート式ですぐに使える内部統制の入門と実践』他。

セミナー情報

コントロールソリューションズでは、内部統制に関わるセミナーを随時開催しています。佐々野氏のセミナーは分かりやすいと好評のため、「すぐに相談までは進めない」という方はセミナーでお話を聞いてみてはいかがでしょうか?

1/6~2/10配信
みずほセミナー
概要
これだけでOK「内部統制の期末評価と報告書作成の実務」

今年も1年間かけて実施してきた財務報告に係る内部統制の評価について、結果を取りまとめる時期になりました。内部統制報告書の提出にむけた全体作業を念頭におきながら、最終的に重要な不備が残ることがないようにロールフォワードや再テスト等を進めていきましょう。なお、改訂実施基準が施行されたため、期中に不備等が見つかると追加で評価しなければならない可能性があります。自社の評価範囲に影響するような不備は早めに把握し、内部統制の構築と評価が期末までに完了するよう進めることが大切です。 本講座では、期末前後の評価作業、有効性の判断方法、内部統制報告書の作り方、改訂に伴う評価範囲への影響等について、最近の各社及び監査法人の動向等をふまえ、随所に設例、事例を織り込みながら、実務本位の解説で定評ある講師がわかり易くご指導いたします。

セミナーをもっと見る
1/6~2/10配信
みずほセミナー
概要
今の時代に求められる全社的リスクマネジメントの構築と実践

海外進出先での政情不安や急激な為替変動、クラウドサービス利用に伴うリスク等、昨今企業が直面するリスクは、増大かつ多様化しており、リスク管理の重要性が高まっています。従来型のリスクに対して各部門が都度場当たり的に対応するのではなく、リスク情報をタイムリーに認識・集約したうえで効率的・効果的に対応するためには、全社的な視点から計画的に実施する、いわゆる全社的リスクマネジメント(ERM)体制の構築と実践が不可欠です。法的にも、会社法、金融商品取引法、コーポレートガバナンスコードにおいて、グループ全体を含めた先を見越した全社的リスク管理体制の整備が求められています。しかし、具体的にどのような構築・運用が望ましいかは、各社各様であるため、ERMの導入が困難になっています。本講座では、ERMの構築からその後のPDCAサイクルにおける実務上の重要ポイントについて、具体例を用いて直面する課題とともに初心者にもわかり易く解説します。また、ERMの一環として、危機管理マニュアルや事業継続計画の策定についても合わせて説明します。

2/3~3/10配信
みずほセミナー
概要
これだけでOK「内部統制の期末評価と報告書作成の実務」

今年も1年間かけて実施してきた財務報告に係る内部統制の評価について、結果を取りまとめる時期になりました。内部統制報告書の提出にむけた全体作業を念頭におきながら、最終的に重要な不備が残ることがないようにロールフォワードや再テスト等を進めていきましょう。

なお、改訂実施基準が施行されたため、期中に不備等が見つかると追加で評価しなければならない可能性があります。自社の評価範囲に影響するような不備は早めに把握し、内部統制の構築と評価が期末までに完了するよう進めることが大切です。

本講座では、期末前後の評価作業、有効性の判断方法、内部統制報告書の作り方、改訂に伴う評価範囲への影響等について、最近の各社及び監査法人の動向等をふまえ、随所に設例、事例を織り込みながら、実務本位の解説で定評ある講師がわかり易くご指導いたします。

2/3~3/10配信
みずほセミナー
概要
今の時代に求められる全社的リスクマネジメントの構築と実践

海外進出先での政情不安や急激な為替変動、クラウドサービス利用に伴うリスク等、昨今企業が直面するリスクは、増大かつ多様化しており、リスク管理の重要性が高まっています。

従来型のリスクに対して各部門が都度場当たり的に対応するのではなく、リスク情報をタイムリーに認識・集約したうえで効率的・効果的に対応するためには、全社的な視点から計画的に実施する、いわゆる全社的リスクマネジメント(ERM)体制の構築と実践が不可欠です。法的にも、会社法、金融商品取引法、コーポレートガバナンスコードにおいて、グループ全体を含めた先を見越した全社的リスク管理体制の整備が求められています。しかし、具体的にどのような構築・運用が望ましいかは、各社各様であるため、ERMの導入が困難になっています。

本講座では、ERMの構築からその後のPDCAサイクルにおける実務上の重要ポイントについて、具体例を用いて直面する課題とともに初心者にもわかり易く解説します。また、ERMの一環として、危機管理マニュアルや事業継続計画の策定についても合わせて説明します。

アーカイブ配信
SMBCコンサルティング
概要
監査役等業務の基本と実務ポイント

企業不祥事や製品事故の増加に伴い、コーポレート・ガバナンス強化が進み、監査役等の責任が重くなっています。本講座では、監査役やスタッフ向けに、役割・責任や実務ポイントを具体例を交えてわかりやすく解説します。

アーカイブ配信
SMBCコンサルティング
概要
内部統制報告制度の全体像と全社統制の基本

内部統制制度が浸透する一方で、運用面での課題や作業効率化のニーズが高まっています。本講座では、J-SOXの背景や体制、全社統制構築に関する基本知識を、実務に精通した講師がわかりやすく解説します。

アーカイブ配信
SMBCコンサルティング
概要
業務プロセスを中心とした内部統制評価の基本

内部統制制度が浸透する一方で、運用上の課題や効率化に対するニーズが高まっています。本講座では、業務プロセスやIT全般統制の評価について、記載例を用いながら、実務に精通した講師が基本知識やノウハウをわかりやすく解説します。