D.評価の方法

D-18.(5)-ＩＴを利用した内部統制の評価（つづき）

ここで、本題に戻りまして、ＩＴを利用した内部統制の評価について。

ＩＴ統制の「業務プロセスに係る内部統制」に入る前に、全社的な内部統制の観点から、実施基準では、ITへの対応の項目例として、次の事項が例示されています。

• 経営者は、ITに関する適切な戦略、計画等を定めているか。
• 経営者は、内部統制を整備する際に、IT環境を適切に理解し、これを踏まえた方針を明確に示しているか。
• 経営者は、信頼性のある財務報告の作成という目的の達成に対するリスクを低減するため、手作業及びITを用いた統制の利用領域について、適切に判断しているか。
• ITを用いて統制活動を整備する際には、ITを利用することにより生じる新たなリスクが考慮されているか。
• 経営者は、ITに係る全般統制及びITに係る業務処理統制についての方針及び手続を適切に定めているか。

次に、「ＩＴを利用した内部統制の評価」の進め方ですが、実施基準には以下の通り記されています。

1. 評価範囲の決定方法・手順
2. 評価範囲の識別
3. 整備状況および運用状況の評価

1.評価範囲の決定方法・手順

財務報告に係る内部統制に関連するシステムの対象範囲を明確化 業務プロセスにおける取引の発生から集計、記帳といった会計処理の過程を確認する際に、財務諸表の重要な勘定科目がどのような業務プロセス及びシステムと関連しているか、システムの機能の概要、どの部署で利用されているか等について整理する。 その際には、各業務プロセスにおいて用いる業務プロセスにおける取引の発生から集計、記帳といった会計処理の過程の整理に加えて、システム間のデータの流れ等を、必要に応じ図や表を活用して把握・整理し、また各業務プロセスで使用されているシステムの一覧を作成することが有用。 （実施基準にける参考例：業務の流れでは、上記＝業務フローでは、上記(2)で作成する業務フローへ追記された形になっています。

ＩＴ基盤の把握 各業務プロセスにおけるシステムの把握に加えて、それを支援するＩＴ基盤の概要を把握する。 ＜例＞ 　 ＩＴに関与する組織の構成 ＩＴに関する規程、手順書等 ハードウェアの構成 基本ソフトウェアの構成 ネットワークの構成 外部委託の状況

（注）過年度の評価結果の利用 ＩＴを利用した内部統制の評価は、ＩＴを利用していない内部統制と同様に原則として毎期実施する必要があるとされていますが、ＩＴを利用して自動化された内部統制に関しては、一度内部統制が設定されると、変更やエラーが発生しない限り一貫して機能するという性質があり、したがって自動化された内部統制が過年度に内部統制の不備が発見されずに有効に運用されていると評価された場合、評価された時点から内部統制が変更されてないこと、障害･エラー等の不具合が発生していないこと、及び関連する全般統制の整備及び運用の状況を確認及び評価した結果、全般統制が有効に機能していると判断できる場合には、その結果を記録することで、当該評価結果を継続して利用することができるとされています。