ビジネス情報コンサルティングのホームページでは、「経営に役立つ情報化のヒント」を、毎回、テーマを変えてお届けします。皆様のお仕事の参考にしていただければと思います。

　内部統制構築のポイント　第５回　３点セットを作成する際のポイント。

　J-SOX対応の内部統制構築においては、３つの文書を作成する必要があります。３点セットなどと呼ばれる文書で、業務フロー、業務記述書、リスクコントロールマトリクス（RCM）の３つです。
　この３点セットは、前回解説したとおり、J-SOXにおけるリスク分析の結果を文書としてまとめたものになります。それぞれの文書の意義については、前回の解説をご参照ください。法的に必ず作成しなければならないといったものではありませんが、J-SOX対応の内部統制構築、評価、監査の実効性を上げるためには、作成することがほぼ必須といえるものです。
　今回は、この３点セットを作成する際のポイントについて、ご説明します。

●業務フロー
　①後のメンテナンスのことを考えて、スペース的に余裕をもって描く。
　②まず、大きな流れをフロー化し、必要な部分（内部統制対象業務）を徐々に詳細化していく。
　③各プロセスに番号を付ける。階層構造が分かる番号体系がよい。
　④何人かで分担して作成する場合には、フローの描き方やプロセスの詳細度などを決めておく。
　⑤すでに作成された業務フローがあれば、大いに参考にする。

●業務記述書
　①業務フローの１つのプロセスを、１つの業務処理として記述する。
　②入力情報と出力情報を記述する。入力情報が業務処理によって出力情報に変わることが分かる記述にする。
　③業務記述書には、リスクは記述しない。何を目的とした業務処理なのか、②の入力情報・出力情報を基に記述する。
　④財務報告に係る処理の内容に焦点を当てて記述する。
　⑤経営者や監査人も見る文書であることを考慮して、業務に特化した用語は使わない。どうしても使う場合には説明を付ける。

●RCM
　①リスクとコントロールの表現をあらかじめ統一しておく。リスクは損失・被害・デメリットを表す表現、コントロールはマニュアル統制では具体的な行為、IT統制では具体的なシステム機能で表現する。
　②リスクには、財務報告の信頼性への影響を基に、重要度を設定する。たとえば、Ａ・Ｂ・Ｃの３段階評価として、３段階の設定基準をあらかじめ決めておく。
　③１つのリスクに対するコントロールの数は、２つまで、あるいは３つまでということで、あらかじめ決めておき、有効なコントロールに絞り込む。
　④コントロールにはアサーション（統制目標）との対応を明示する。対応するアサーションの数も２つ、あるいは３つということで、あらかじめ決めておき、何のための統制かを明確にする。
　⑤コントロールの設定にあたっては、経済性（投資対効果）、実現可能性（当該組織の成熟度）を考慮する。