ホーム >
富士通ジャーナル >
注目のソリューション >
内部統制 >
内部統制いよいよ本番へ！整備・運用状況を評価し、改善へ

内部統制いよいよ本番へ！整備・運用状況を評価し、改善へ

2008年4月より本番年度を迎えた日本版SOX法。前のページでは、内部統制の取り組み状況の調査結果などから、多くの企業が抱えていると思われる不備項目や、IT全般統制を支援するソリューションをご紹介しました。このページでは整備状況の評価や運用状況の評価と不備改善のポイントについてご説明します。

評価・改善の流れ

一般に、日本版SOX法対応の作業は、「文書化」「整備状況の評価」「運用状況の評価」の順に進めます。評価フェーズにおいては、さまざまな不備が検出されます。

整備状況の評価

文書化で作成した文書を基に、現状の統制が仕組みとして有効かを評価します。仕組みが不完全だと不備として検出されます。たとえば、次のような場合に不備として検出されます。

統制が、リスクを減少させる仕組みとして機能していない
規程や手順書に、記述漏れがある、5W1H（Who,When,Where,What,Why,How）があいまいに記述されいる
証憑が残る仕組みになっていない

運用状況の評価

統制の仕組みが期待通りに運用されているかを評価します。規程や手順以外の運用をしている、などの場合に不備として検出されます。たとえば、証憑に次のようなことがある場合に不備として検出されます。

押印漏れ
項目の記入漏れや記述漏れ
記述の不整合（第三者チェックの形骸化など）

検出された不備を改善するには、一般に次のステップを踏みます。

改善計画の策定

改善計画の策定では、以下の点を明確にします。

改善の方向性
改善担当者
完了期日

その際、難易度、他の改善案件との関連、緊急性などを考慮します。
改善に時間がかかっても、重要なものについては、ほかの方法でリスクの低減が代替えできないか（代替統制）を検討します。

改善の実施

改善計画にしたがい、統制の仕組みを見直します。たとえば、次のようなことをおこないます。

ソリューションやツールの導入
規程・手順書の変更や追加
証憑類の再設計
正しい運用を図るための説明会や教育・研修の実施など

改善完了の確認

運用状況の再評価を実施し、改善後の新しい仕組みが有効に運用されていることを確認します。

ページの先頭へ

取り組みは段階的に

不備改善項目は、企業規模や拠点の数、情報システムの数などによって異なりますが、多い場合は100件を超えることもあるようです。数が多いほど一度に解決するのは難しく、優先順位や取り組みの度合いなどを考慮する必要が出てきます。

一般的には重要度が高いものから始めるべきでしょう。一方で、ほかへの影響も考慮する必要があります。統制を強化することによる業務の効率化やコストへの影響を考慮しなければ、かえって悪影響となることも考えられます。企業価値を向上させることが法制度の主旨ですから、日本版SOX法に対応することが経営に過度な負担を与えることになってしまっては本末転倒です。改善項目全体を把握し、どのように改善すべきか、中長期的な視野で取り組むことが肝要です。

短期的には、影響範囲が狭く特定しやすいものに着手し、平行して全体を見直す計画を立てながら、複数年にわたって取り組むことが現実的です。
取り組みに対する考え方はおおむね次のようになると思います。

人手による解決を考える

現状のルールや手順を大きく変えることなく、取り組みが不十分であった業務に対し、より徹底する。

例：台帳による管理、記録の保管、承認手続きの整備、規程・手順書の再整備と徹底など

ツールによる効率化

統制を強化することによる業務の負荷を軽減するためのツール導入を検討する。

例：セキュリティツールや運用支援ツールの導入

管理対象の削減

重要なデータを一元管理したり、サーバやストレージを統合することで管理対象を減らす。

統制を強化するために特別なテクノロジーは必要ありません。従来より情報漏えいのために導入されているセキュリティツールや、効率化のために導入されている運用支援ツールが統制強化に役立つこともあるかもしれません。

また、サーバやストレージの統合を検討するには、情報システム全体に影響が出ますから、TCO削減や競争力強化、事業継続、環境対策等々の経営課題と合わせて検討し、全体としてどのような姿にするべきか理想像を描きながら検討を進めるべきでしょう。

富士通では、長年の経験に基づいたさまざまな考慮点と、雛形となる情報システム利用シーンを整備し、「利用シーンレベル全集」を提供しています。お客様が、情報システムの将来像を描くために、これをぜひご活用いただきたいと考えております。そして、これが、お客様にとって最適な情報システムの構築に役立つと考えております。

利用シーンレベル全集とは？