内部統制のロールフォワード、変更の届出を期中に組み込む進め方

内部統制のロールフォワードを期末に一度の聞き取りで済ませると、半年前の組織変更やシステム改修を、聞かれた担当者が思い出せないおそれがある。変更を拾い損ねたまま「変更なし」と記録すれば、期末日の評価の根拠が崩れる。筆者は、変更は期末にまとめて聞くより、起きた時点で届け出てもらう形にするのがよいと考えている。変更の届出を期中の通常業務に組み込み、期末の聞き取りは届出の漏れを確かめる場にする。

内部統制のロールフォワードとは

ロールフォワードとは、内部統制の運用状況の評価を期中に実施した場合に、評価した時点から期末日までの期間について、内部統制が有効であることを確かめる追加の手続きである。金融庁の「内部統制報告制度に関する事例集」は、「運用状況の評価を期中に実施した場合における期末日までの期間の有効性を確かめる追加手続」をロールフォワードと呼んでいる。

この手続きが要るのは、評価の基準日と作業日がずれるからである。内部統制の評価の基準は、経営者による内部統制評価は期末日を評価時点として行うと定めている。一方で、評価の作業をすべて期末日の前後に行うのは難しい。業務プロセスの数が多く、期末は決算の作業と重なる。このため、運用状況の評価の多くは期中に行う。3月決算の会社が10月から12月に評価を済ませた場合、そこから3月末までの数か月は、評価していない期間として残る。

実施基準は、この期間の扱いを次のように定めている。運用状況の評価を期中に実施した場合、期末日までに内部統制に関する重要な変更があったときには、追加手続の実施を検討する。追加手続の例として挙げられているのは、重要な変更の内容の把握・整理、変更後の内部統制の整備状況の有効性の評価、変更後の内部統制の運用状況の有効性の評価の3つである。変更されて期末日に存在しない内部統制については、評価する必要はないとも書かれている。

なお、ここで扱うのは、会社が自社の内部統制を評価する側の手続きである。監査法人が監査の中で行う手続きにも同じ呼び名があるが、実施する主体と目的が違う。

実施の流れ

ロールフォワードは、期中評価の計画を立てる時点から始まる。流れは3つの段階に分かれる。

期中評価の時点を決める

最初に、どのプロセスをいつ評価するかを決める。評価の時期が早いほど、作業は決算と重ならずに済むが、期末日までの期間が長くなり、その間に変更が起きる可能性が上がる。

全プロセスを同じ時期に評価する必要はない。前年度に不備がなく、担当者もシステムも変わっていないプロセスは、早い時期に評価しやすい。組織変更やシステムの切替が予定されているプロセスは、変更の後に評価する。変更の前に評価しても、期末日には別の内部統制になっているからである。

決算・財務報告プロセスは扱いが違う。実施基準は、決算・財務報告プロセスに係る内部統制の運用状況の評価について、期末日までに重要な変更があった場合には適切な追加手続が実施されることを前提に、前年度の運用状況をベースに、早期に実施されることが効率的・効果的だとしている。決算の統制は実施の回数が少なく、当期の期末決算を待ってから評価すると、不備が見つかっても直す時間が足りなくなる。決算の統制の設計は決算早期化と内部統制は両立できるか、不正リスクから考える統制設計で扱った。

変更の有無を聞き取る

期中評価の後、期末日までに内部統制が変わっていないかを確かめる。金融庁のQ&Aは、期中に運用状況の評価を実施した場合、その後、担当者への質問等により、評価対象とした内部統制の整備状況に重要な変更がないことが確認されたときには、新たに追加的な運用状況の評価は要しないものと考えられるとしている。

ここで問題になるのが、質問の仕方である。期末に担当者へ「この半年で何か変わりましたか」と聞く方法は、担当者の記憶に頼る。担当者自身が交代していれば、前任者の時期の変更は答えられない。変更した本人が、それを内部統制の変更だと認識していないこともある。承認者が課長から係長に変わった、チェックに使う帳票の出力元が変わった、といった変更である。

筆者が勧めるのは、変更を届け出る仕組みを期中の業務に組み込むことである。組み込む先は、すでに社内で動いている手続きにする。

届出が期中に届いていれば、評価担当は変更の内容をその都度確かめ、追加の評価が要るかを早く判断できる。期末の聞き取りは、届出に漏れがないかを確かめる場に変わる。聞く内容も、「何か変わりましたか」から「届出のあったこの3件のほかに変更はありませんか」に変えられる。

追加のテスト

筆者は、追加のテストを検討する場面を2つに整理している。重要な変更があった場合と、期中評価で不備が見つかった場合である。事例集の事例3-9は、ある会社の例として、プロセスを2つに分けた進め方を紹介している。期中の評価結果が有効だったプロセスでは、整備状況に重要な変更がないことを確認するため、担当者に対する質問等を実施した。期中の評価で不備が発見されたプロセスでは、運用状況の再評価手続として、期末日に近い時点でサンプルの検証を実施した。

不備が見つかったプロセスは、是正した後の内部統制が期末日に有効かを確かめる必要がある。是正から期末日までに、是正後の統制が実際に運用された実績がなければ、有効と判断する根拠が足りない。月次で行う統制なら、是正が期末の直前では運用の回数が足りなくなる。期中評価を早めに行う意味は、ここにもある。

確認する項目

確かめる変更は、組織、人、システム、業務、規程の5つに分けると整理しやすい。項目と、確かめる資料、残す記録を表にまとめた。

確かめるのは、変更があったかどうかだけではない。変更が、評価対象の内部統制に影響するかどうかである。部署の名前が変わっただけなら、統制の実施者も手順も変わらない。承認者が交代した場合は、同じ統制が続いているが、新しい承認者がその統制を理解して実施しているかを確かめる余地がある。業務を別の部署に移した場合は、統制そのものが変わっていることがある。

変更があったときは、内部統制を文書化した資料も直す。業務記述書、フローチャート、リスクと統制の対応表の更新の進め方は内部統制の3点セットの作り方と更新、形だけの文書にしない運用で扱った。

追加の手続きが要る場合

追加の手続きが要るかどうかは、期中評価の結果と、その後の変更の有無の組み合わせで判定する。

実施基準は、何が「重要な変更」に当たるかを金額や件数では示していない。筆者が判断の材料にするのは、その変更で、虚偽記載のリスクとそれを抑える統制の対応が変わったかどうかである。統制の実施者が同じ権限を持つ別の人に替わっただけなら、対応は変わっていない。手作業の照合をシステムの自動照合に置き換えた場合は、統制の種類が変わっているので、変更後の統制を評価する。

期末日の直前に大きな変更が入ると、変更後の統制を運用した実績が少なく、評価が難しくなる。期末日の直後にシステムの切替を予定している場合はどうか。金融庁のQ&Aは、期末日に存在する変更前の内部統制は評価の対象となるため、評価を省略することはできないとしている。ただし、変更前のシステムに係る業務処理統制については、全般統制が有効であることを前提に、期末日以前の評価した時点から重要な変更がされていないことを確認した上で、過去の評価結果を利用することができるとも述べている。切替の時期は、評価の日程と合わせて決める。

記録の残し方と監査法人との事前協議

ロールフォワードの記録は、追加のテストをした場合だけでなく、質問等で済ませた場合にも残す。実施基準は、経営者が内部統制の有効性の評価手続とその評価結果を記録し保存しなければならないとし、後日、第三者による検証が可能となるよう、関連する証拠書類を適切に保存する必要があるとしている。

記録には、次のことが分かるように書く。

• 対象のプロセスと統制、期中評価を行った日と対象にした期間
• 変更の有無を確かめた方法（届出の確認、聞き取り、資料の閲覧）
• 聞き取りの相手、日付、質問の内容と回答
• 突き合わせた資料（組織図、人事異動の通知、変更申請の一覧）
• 変更があった場合は、その内容、重要な変更に当たるかの判断と理由
• 追加のテストを行った場合は、サンプルの件数、対象期間、結果

監査法人とは、評価の計画を立てる時点で協議しておく。協議する内容は、プロセスごとの期中評価の時期、ロールフォワードの方法、重要な変更に当たるかどうかの考え方、追加のテストを行う場合のサンプルの件数と対象期間である。期末になってから方法の違いが分かると、やり直す時間が足りなくなる。

協議の結果は、評価の計画書に書いておく。翌年度に担当者が替わっても、どの考え方で進めたかが引き継がれる。監査法人が集計する誤りの扱いを経理の側でも管理する方法は未修正の虚偽表示を経理側でも管理する、監査人の集計リストを翌期につなぐにまとめた。

IT全般統制のロールフォワード

ITの統制でも、期中に評価した場合は期末日までの変更を確かめる。IT全般統制は、業務処理統制が有効に機能する環境を保証するための統制活動である。実施基準は具体例として、システムの開発・保守に係る管理、システムの運用・管理、内外からのアクセス管理などシステムの安全性の確保、外部委託に関する契約の管理を挙げている。

実務では、IT全般統制のロールフォワードで確かめるのは、期中評価の後に起きた出来事である。筆者は次のように進めることを勧める。プログラムの変更は、変更申請の一覧を期中評価の後の分まで取り、承認と導入前の試験が行われているかを確かめる。アクセス権は、期中評価の後に付与・変更・削除した権限の一覧を取り、申請と承認が残っているかを確かめる。障害は、財務報告に関わる処理に影響したものがないかを記録で確かめる。

システムに組み込まれた自動の統制には、年度をまたぐ別の取扱いがある。期中のロールフォワードとは別の話なので、分けて理解しておく。実施基準は、ITを利用して自動化された内部統制について、過年度に不備が発見されずに有効に運用されていると評価された場合、評価された時点から内部統制が変更されていないこと、障害・エラー等の不具合が発生していないこと、関連する全般統制が有効に機能していると判断できることを確認して記録すれば、その評価結果を継続して利用することができるとしている。これには、一定の複数会計期間に一度の頻度で運用状況のテストを実施する方法も含まれる。ただし、この方法は、IT環境の変化を踏まえて慎重に判断し、必要に応じて監査人と協議して行うべきもので、特定の年数を機械的に適用すべきものではないとも書かれている。

自動の統制の評価結果を使い続けるには、全般統制が有効であることが前提になる。全般統制のロールフォワードで変更の管理に不備が見つかると、自動の統制の評価にも影響が及ぶ。ITの変更の一覧は、期末にまとめて取り寄せるより、月ごとに受け取って確かめておくほうが、不備を早く見つけられる。

よくある質問

ロールフォワードは必ず要るか

運用状況の評価を期中に行ったなら、期末日までの変更を確かめる手続きは要る。評価の基準日が期末日だからである。ただし、追加のテストがいつも要るわけではない。金融庁のQ&Aは、担当者への質問等で重要な変更がないことが確認されたときには、新たに追加的な運用状況の評価は要しないものと考えられるとしている。

期間は何か月までよいか

期中評価から期末日までの期間に、何か月以内という定めはない。実施基準は、適切な時期に運用状況の評価を実施することが必要だとするにとどまる。期間が長いほど、その間に変更が起きる可能性は上がり、確かめる範囲も広がる。プロセスごとの変更の起きやすさを見て時期を決め、監査法人と事前に協議する。

追加テストの件数は

期中評価の後の追加テストについて、件数を定めた記述は実施基準に見当たらない。実施基準は、経営者がサンプル件数や対象期間などの評価の実施方法を、内部統制の重要性、複雑さ、前年度の評価結果やその後の変更の状況等を考慮して決めるとしている（Ⅱ.3.(3)④ニ）。なお、監査人の手続については、日常反復継続する取引で90%の信頼度を得るには、統制上の要点ごとに少なくとも25件のサンプルが必要になるという例示がある（Ⅲ.4.(2)①ロ）。期中評価で不備があったプロセスでは、是正後の統制が運用された期間から、統制の頻度に見合う件数を取る。件数の考え方は、計画の時点で監査法人と合意しておく。

ITの統制でも要るか

要る。IT全般統制を期中に評価した場合は、その後のプログラムの変更、アクセス権の変更、障害の発生を期末日まで確かめる。これとは別に、過年度に不備がなく有効と評価された自動化統制は、変更がないこと、不具合がないこと、全般統制が有効であることを確認して記録すれば、過年度の評価結果を継続して利用できる。