J-SOXについて教えてください。 現在、整備状況、運用状況を行っています。 私は内部監査員です。各部門で自己チェッ…

Question

J-SOXについて教えてください。
現在、整備状況、運用状況を行っています。
私は内部監査員です。各部門で自己チェックをしてもらい、そのルールがあるかを
ﾁｪｯｸして、運用されているかを評価するのですが、抽象的でなく具体的な手順を教えて頂けないでしょうか？
ウォークスル―にて実施予定です。
その他現在用意していりのはRCMです。
サンプリングにて運用評価を考えています。
知識不足のため、大変申し訳ございませんがお力を貸してください、
よろしくお願いいたします。

補足

【整備状況の評価】
①自己点検結果を入手
②自己点検結果の検証（事実を確認する）
③現場担当にインタビュー（RCM上のコントロールが実在するか確認）
④リスクが低減されているかを評価
【運用状況の評価】
①テスト方法の決定（サンプル件数・期間・対象・件数）
②キーコントロールと識別行為のみ対象として運用テストを実施する
③サンプリングシートの作成・テスト結果の記録
何か不備や抜けているところがありましたらご教授ください

Answer 1

具体的な手順のみ簡単に申し上げます。
整備状況の評価
①自己点検結果の入手。
プロセスフローチャートまたは業務手順書に則って、文書中に登場する一連の書類について１サンプルが選定されているウォークスルーの結果～プロセスフローチャート（又は手順書）とすべての証憑・証跡（証憑とは伝票または文書。証跡とはそこに記入されたチェックマークや捺印など）～を入手します。
②自己点検結果の検証
フローチャート（又は手順書）の該当証憑、証跡がすべてそろっており、流れに沿って内容を点検者がﾁｪｯｸしたことの証拠（たとえば、「確認して捺印する」と記述があれば、確認のチェックマークと捺印にそれぞれ赤マルで点検者がここを見たゾ。と明らかにわかる）の痕跡があるかどうかを点検します。できれば、担当者になりきって業務のウォークスルーを再テストして、同じインプット（出発点）から同じ結果（アウトプット）に至るか検証します。
③現場担当者にインタビュー。
点検の結果、全ての証憑・証跡がそろっていたとして、その証憑で本当にフローチャート（又は手順書）に書かれたことが実現するか？特にRCMに書かれたリスクと、そのリスクを低減するはずのコントロールに着目してヒアリングする。具体的に例えば「もし貴方は、この転記元の伝票の数字と、入力結果に違いがある場合、どのように対処しますか？」と聞いて「担当者に差し戻します」とか「別の○○伝票で確認します」と言う答えが返ってくるかどうか。もしここで、「いやー違ってても承認しちゃいますね。」とか「ほかに確認しようが無いですね」だったら、コントロールできてないと言うこと。担当者がふだんの業務において想定していない可能性に気づくかどうかが内部監査人の腕の見せ所。「そこまでは考えてませんでした」と言うようなことが無いことを確認します。
例えば、「請求書と入金額が違っていた場合、どちらが正しいかどのように判断しますか？」とか。
普通は請求した金額に対し入金が行われるので違うはずが無いのですが、「仮にあったら？」ということを考えた時に、違っててもどちらが正しいか判断する為には、請求書を作る段階で請求の根拠となる伝票との事前のチェックが必要と言うことになります。そのコントロールが設定されてなければ、「請求書と入金額が合致していることを確認し、未回収の売掛金が無いことを確認する」と言うコントロールは、前提から崩れることになります。この場合、「請求書は取引事実を証する証券と照合されていますので、入金相手の間違いと判断します。」と言い切れるかですね。
④リスクが低減されているか評価
一番確実なのは、実際に具現化したリスク（例えば実際に発生した誤入力）がちゃんと是正されているか？を見ることですが、そうそう無いと思いますので、基本的にコントロールすべき項目にチェックが入っているかを現物のチェックマークあるいはヒアリングで「どこをチェックしてますか？」確認して、一応仮に間違ったとしても発見される、あるいは後で間違いが出ないように予防されている、となっていれば「有効」と評価します。キーコントロールが本当に「キー」なのかを判定するためには、プロセス単位で見て、仮にそのコントロールが漏れた場合に、後で是正が可能か見て、取り返しがつかなければ「キー」と言うことになると思います。

運用状況の評価
①重要な内部統制を対象に、例えば日々の取引であれば対象期間内のランダムに選定した２５件について、証憑と証跡を集めます。
②ランダムに選定する方法は、対象期間内（１年、半年、３カ月、やり方は様々）エクセルなどで乱数を発生させて任意の２５件取引番号で抽出します。私は１カ月あたり４件づつ計６カ月について、各月全件に通し番号を振って、乱数を発生させて４件づつ取ってます。
③整備評価の時に評価したキーコントロールの証憑・証跡がすべての取引についてそろってるか確認します。
④日々発生するもの、毎週次のもの、月次のもの、４半期単位のもの、ｻﾝﾌﾟﾘﾝｸﾞ件数は違いますので、内部統制実施基準にあるサンプリング件数の例に従って抽出してください。ただ、基準の件数はあくまで最低基準。うちではちょっと多めにとってます。何件取るかは、会計士との協議次第です。

では頑張って下さい。