内部統制監査 IT全般統制の不備について

2007/10/24
監査・保証実務委員会報告第82号
「財務報告に係る内部統制の監査に関する実務上の取扱い」


その7　「P39　(3)　ITに係る全般統制の不備の検討　〜〜」

>>　公開草案
ITに係る全般統制に不備がある場合には、関連するすべてのITに係る業務処理統制に影響を及ぼすことに留意する必要がある。
ITに係る全般統制は、財務情報の信頼性を確保すること、及びITに係る業務処理統制の継続的な運用を確実にすることを間接的に支援するものであるため、たとえITに係る業務処理統制が有効に機能していたとしても、継続的な運用を保証するITに係る全般統制に不備があれば、ITに係る業務統制は有効に機能しない可能性があるため、虚偽記載が発生するリスクが高まることになる。
ITに係る全般統制に不備が発見された場合、代替的又は補完的なITに係る全般統制の存在を検討する。
代替的又は補完的なITに係る全般統制が有効に整備・運用されている場合、発見された不備は重要な欠陥とは評価されないが、不備の発見されたITに係る全般統制の必要性を検討し、適時に改善することが求められる。
代替的又は補完的なITに係る全般統制が存在しない場合、当該ITに係る全般統制に対応するITに係る業務処理統制について、発見された虚偽記載リスクの発生可能性と影響度を分析する必要がある。
ITに係る全般統制における不備は、それ自体が財務報告の重要な虚偽記載が発生するリスクに必ずしも直接に繋がるものではないため、直ちに重要な欠陥と評価されるものではない。
>>

>>　最終案
ITに係る全般統制に不備がある場合には、関連するすべてのITに係る業務処理統制に影響を及ぼす可能性があることに留意する必要がある。
ITに係る全般統制は、ITに係る業務処理統制の継続的な運用を確実にすることを間接的に支援するものであり、ITに係る全般統制に不備があれば、ITに係る業務処理統制は有効に機能しない可能性があるため、虚偽記載が発生するリスクが高まる場合がある。
ただし、ITに係る全般統制における不備は、それ自体が財務報告の重要な虚偽記載が発生するリスクに必ずしも直接に繋がるものではないため、業務処理統制が現に有効に機能していることが検証できているのであれば、直ちに重要な欠陥と評価されるものではないことに留意する。
>>

すごく改訂されていますよね。
公開草案からの削除が目を引きますが、
それ以外の部分についても記載変更が多々見受けられます。

・IT全般統制の不備はIT業務処理統制に影響を及ぼす「可能性」がある
というニュアンスに変更になっています。

・IT全般統制の不備は虚偽記載リスクの発生を高める「場合」がある
というニュアンスに変更になっています。

・代替的又は補完的なIT全般統制
については記載が落とされていますし、
それによりカバーされている不備についても適時改善が落ちました。
存在しない場合の虚偽記載リスクの検討も消えています。

そして極めつけはなんといっても、
>>
ただし、ITに係る全般統制における不備は、それ自体が財務報告の重要な虚偽記載が発生するリスクに必ずしも直接に繋がるものではないため、業務処理統制が現に有効に機能していることが検証できているのであれば、直ちに重要な欠陥と評価されるものではないことに留意する。
>>
この部分に尽きると思っております。

IT全般統制に不備が存在しているとして、
代替的又は補完的なIT全般統制がなくても、
「そもそも業務処理統制が有効に機能しているならOK」
という検討フローに大幅変更になっています。

監査人側にてIT統制（全般・業務処理含む）を評価するだけの、
人員と能力がそもそも・・・（以下記載自重！）


ともかくIT全般統制については、
「それ自体が財務報告の重要な虚偽記載が発生するリスクに必ずしも直接繋がるものではない」
ことから、IT業務処理統制を噛ませることになるでしょう。

・IT全般統制の評価
　　↓
・IT全般統制の不備発見
　　↓
・関連するIT業務処理統制の評価
　　↓
・内部統制の不備の検討
　　↓
・重要な欠陥の検討

一連の流れで考えておく必要があるのでしょうね。