会計コラム（連載：第4回）「内部統制におけるITの役割」： コラム ： ハミングヘッズ

第4回　テーマ　「内部統制におけるITの役割」

PC操作が日常化した企業環境において、
ITによる内部統制の守備範囲は、“業務システム”だけではないはず。

　内部統制におけるITについての議論は、多くの場合、ERPパッケージ（統合業務パッケージ）＊のようなシステム面ばかりにスポットが当たり、これをいかに構築するかに終始しているように思えます。しかし、これだけ会社の業務でPCが当たり前に利用されている昨今、ITの果たす役割とは果たしてそれだけでしょうか。

　“PC無くして業務はできず”とも言える昨今のオフィス環境では、内部統制においてITが重要視されることは当然の流れです。また数百名、数千名と従業員がいるような、内部統制報告書の提出が義務付けられている企業では、連続した大量な業務内容を把握・管理するためITが大きな効力を持つと言えます。書類上で決められた「規則による管理」はどうしても形式的側面を否定できませんが、ITならばより客観性のある効率的な管理が可能だからです。

　監査人がITによる内部統制の評価をする際、重要なテーマとして、その企業の「IT全般統制」及び「業務処理統制」が適切なものであるか、というものがあります。「IT全般統制」とは、業務システムやソフトウェアの開発・運用・安全性の確保に関するものです。従業員が入力した内容が正しく反映されるようなプログラムになっているかなど、業務システムの基盤となるプログラムがきちんと整備されているかが問われます。「業務処理統制」とは、個々の従業員の業務プロセスが適正であるかどうかが問われるもので、現在ではシステムで対応可能なコントロールについては、出来る限りシステムを利用するという方向にあるようです。

　ERPパッケージのようなものを用いて、業務フローに対し強力な統制を敷く――例えば“部長以上でなければデータ入力ができない仕組みになっている”、“受注→出荷→売上計上→請求→代金回収といった業務フローを自動的に一元管理できるようになっている”――などのような設計・運用がなされていれば、ルールの遵守、人為的ミスの防止、作業効率の向上、といった効果を一応は期待できるでしょう。

　しかし、ITによる内部統制の守備範囲は、業務システムだけにとどまるのでしょうか――。というのは、どんな企業であっても、業務で使うITがERPパッケージだけということはないからです。WordやExcelによる書類作成もITによる業務ですが、ERPパッケージの守備範囲とはなっていません。大きな期待を寄せられた業務システムであっても、結局は従業員が利用するITの“一部分”でしかなかったからです。

業務システムは、PC業務の“一部分”にすぎません

　「IT＝システム」ではなく「IT＝PC」と考えてみると、人が社内でITを用いる範囲がいかに広いかイメージしやすいと思います。文書作成ソフトや表計算ソフト、メーラーなどが、業務のベースとなる部分を支える、非常に使用頻度の高いアプリケーションであることは、皆さんも実感されていると思います。
　ならば、これらをより意識したIT内部統制を考えれば、ERPパッケージなどのシステムで行う局所的な強い統制とは違い、もっと全社的な統制に繋げていけるはずです。

　例えば「操作履歴からの業務分析」を考える際、業務システムの分析だけでは部分的な対応と言わざるをえません。業務システムへのアクセス履歴や入力・変更履歴は、重要項目ですが、PC操作の一部でしかありません。しかし、全従業員、全PC操作の履歴分析を行えば、全社的な対応が可能となり、より広範囲に業務を見渡すことができます。

　朝、出社してデスクに着き、PCに電源を入れた瞬間からITによる業務は始まっています。一日に何度も行う無意識のメールチェック等、当たり前すぎて意識すらしないような部分もITに支えられている業務活動です。
　そして“無意識”の行動まで含めた包括的なIT統制は、“無意識”な情報漏洩の阻止、“無意識”に行われる業務のムダの洗い出し等に役立つ統制方法であるはずです。そしてこれらは、ERPパッケージのような業務システムではカバーできない、IT内部統制の範囲と言えるのです。

　“社内のルールを整備し業務効率を高める”という視点に立ち返れば、単なる「システム」制御にとどまらない「日常の業務活動」全体を視野に入れたIT統制を意識することも大切ではないでしょうか。

内部統制におけるITの効用は、「日常の業務活動」全体に及ぶはず

＜会計コラム連載＞

第1回「内部統制プロジェクトチームの疲弊」　
膨大な量のマニュアル作成､各種システムの改修など､内部統制対策で疲弊する企業と問題点とは｡

第2回「内部統制で変革すべきは“個人の意識”」　(動画あり）
従業員の感情や行動など“個人の意識”こそ、内部統制の有効性を示す大きなバロメータに。

第3回「シンプルで明快な内部統制に向けて」　
内部統制報告書、初年度の提出を終え、今、考えるべきは“自社規定ルールは本当に機能しているか”

第4回「内部統制におけるITの役割」　
PC操作が日常化した企業環境において、ITによる内部統制の守備範囲は、“業務システム”だけではないはず。

プロフィール：

松澤大之（まつざわひろゆき）

公認会計士。日本公認会計士協会東京会 監査委員会委員。大手監査法人勤務を経て、現在ハミングヘッズ経理財務担当部長。趣味はサッカーで、地元チームに所属。

次回に続く