内部統制

更新の頻度は導入形態で違う。Public Editionは年2回の定時更新で日程を選べず、Private Editionとオンプレミスは2年ごとの主要リリースと半年ごとの機能追加がある。形態に合わせて回帰テストを使い回す仕組みを示す。

通報を受けた事実を監査法人に伝えないという選択肢は、監査基準報告書240の経営者確認書の下では存在しない。発覚直後の混乱の中で、何から手をつけ、誰に任せるべきかに迷うCFOのための初動の手引き。

テスト環境のデータを仮名加工情報として整理すれば楽になる、という発想はかえって高くつく。削除情報の管理や第三者提供の禁止など、別の義務が加わるからだ。検証環境のデータの扱い方を整理する。

延ばせる期限と延ばせない期限を先に仕分ける。有価証券報告書は承認で延ばせるが、源泉所得税の翌月10日、賃金の支払、社会保険料の納付は動かない。システム停止に備えて代替の締め方を用意しておくための記事。

監視すべきは権限保有者の一覧ではなく、ログ同期ジョブだ。SAPのEAMは6種類のログを集めるが、その集め方に落とし穴がある。緊急時の強い権限を誰にいつ渡し、どう事後確認するかを整理した。

軽微基準は開示しなくてよいという許可証ではない。該当するか明らかでない場合は該当しないものとして扱われ、一連の行為は影響を合算して判定する。開示の判断に毎回迷う会社が、ルールを先に持つための整理。

負荷を下げようと記帳を外注に出しても、兼務は解けていない。外に出せるのは作業で、判断は残るからだ。見積りに結論を出せ、管理部長不在の月を実際に担った二人目を中に置く。経理と人事を同じ人に置き続けると統制は二重に落ちる。

Excelの加工表を禁止しても現場は戻ってしまう。禁止すべきものと、条件付きで許すものを分けていないからだ。正本はERPの伝票とレポートだと宣言し、加工表には出典と正本との差額を載せる運用を示す。

関連当事者の把握を取引先マスタの突合で済ませていないか。役員個人や親族の会社、実質支配先は名寄せでは漏れる。範囲は二親等以内の親族と、その者が議決権の過半数を持つ会社にまで及ぶ。入口を役員本人の就任時申告と年次確認書に置き、法人番号で名簿化する運用を示す。

外注したのに確認の手間が減らない。差戻しの相当部分は自社側の証憑・マスタ・締切に起因する。指標を委託先の成績表でなく境界面の成績表とし、更新月の3か月前に判断を始める。改善しないときの選択肢は三つあり、順番がある。