J-SOX（内部統制報告制度）対応は、毎期の評価作業が形骸化しやすく、「昨年と同じ手続きをなぞるだけ」になっているケースが少なくありません。整備状況の評価と運用状況の評価は目的が異なるため、それぞれのポイントを押さえて実務を設計することが重要です。
内部統制評価が形骸化してしまう原因
J-SOX対応が負担の大きい年次イベントになってしまう背景には、いくつかの共通した原因があります。
- 業務記述書やフローチャートが実態とずれたまま更新されていない
- リスク・コントロール・マトリクス（RCM）が形式的で、実質的なリスク評価になっていない
- サンプルテストの範囲・件数が毎期の判断根拠なく踏襲されている
- 不備の是正状況の追跡が属人的で、翌期に持ち越されやすい
実効性のある内部統制評価にするための視点
- 業務記述書・RCMを実際の業務フローの変更に合わせて年次で見直す
- 整備状況評価では統制の「設計」に不備がないかを重点的に確認する
- 運用状況評価ではサンプルテストの実施証跡を確認し、例外事項を記録する
- 評価結果とスケジュールを早めに監査法人と共有し、指摘への対応時間を確保する
まとめ
内部統制評価を負担の大きい形式的な作業にしないためには、整備状況と運用状況それぞれの評価目的を意識し、業務記述書やRCMを実態に合わせて更新し続けることが欠かせません。