【IT統制】運用評価のサンプルは何件取ればいい？ ‣ はてなベース株式会社

運用評価のサンプルを何件取るかを、一律の件数で定めた基準はありません。監基報530は、サンプル数を統計的手法か職業的専門家としての判断で決めるものとし、許容逸脱率や予想逸脱率などを要因として例示しています。よく聞く25件は、実施基準が監査人の手続を説明する中で、信頼度90%を得る件数の例として挙げたものです。週次5件、月次2件のような頻度別の件数も、経済産業省の追補版が示した例です。会社が自分で評価するときの件数は、経営者が統制の重要性などを考えて決めます。件数と、逸脱が出たときの進め方は、評価を始める前に監査法人とすり合わせます。
この記事の要約

頻度別の件数は追補版の例。統計で求めたのは日次以上の25件だけで、件数は統制ごとに判断で決まる

架空のC社は、首都圏に住宅リフォームの店を14店舗持つ、社員230人の会社です。昨年上場し、今期が初めて内部統制報告書を出す年でした。IT内部統制を担当する内田さんは、運用状況の評価の手伝いを、経理3年目の世戸田さんに頼みました。監査法人からは「サンプルは25件で」とだけ言われていました。

統制の一覧を見た世戸田さんは、首をかしげました。「月に1回しか動かない統制も、25件取るんですか。1年に12回しか動いていないのに」。続けて「25件って、どこかの基準で決まっているんでしょうか」とも聞きました。内田さんも、1件に承認の記録が無かったらどうするのかまでは答えられませんでした。そこで2人は、評価の計画書を書く前に、経理と内部統制に詳しい外部の専門家の銭形さんに相談しました。C社も、登場する3人も、架空の例です。

件数を決めた基準は無く、25件は例

銭形さんの最初の答えは、「何件、と決めた基準はありません」というものでした。件数は、統制ごとに、いくつかの要因を考えて決めるものです。

財務諸表監査のサンプリングを扱う監基報530によれば、サンプル数は、統計的手法を適用するか、職業的専門家としての判断によって決まります。そのうえで、運用評価のサンプル数に影響する要因を付録2に例示しています。統制にどこまで頼るつもりか、、、結論にどれだけの確かさを求めるか、母集団の大きさの5つです。許容逸脱率が低いほど、また予想逸脱率が高いほど、必要な件数は増えます。反対に、大きな母集団では、項目数が件数に与える影響は無視できるほど小さいとされています。

内部統制監査の側も、考え方は同じです。監査人向けの内基報1は、許容逸脱率、予想逸脱率、必要とする信頼度、母集団の項目数などからサンプル数を決めるよう求め、監基報530を参照させています。監基報330も、運用評価の範囲を決めるときに、統制の実施頻度や予想逸脱率などを考慮することがあると書いています。

では、「売上高や純資産に応じて決まる」という話は、どこから来たのでしょうか。金額の指標が出てくるのは、別の場面です。たとえば実施基準は、評価する事業拠点を売上高等の重要性で選ぶとし、連結売上高等のおおむね3分の2という考え方を例に挙げています。2023年の改訂では、この例を機械的に適用すべきでないとも明記されました。開示すべき重要な不備を判断するときの金額的重要性も、連結税引前利益のおおむね5%程度が例です。さらに、財務諸表監査の重要性の基準値は、税引前利益や売上高、純資産などの指標から決めることが監基報320に例示されています。この重要性は、金額の誤りを調べる詳細テストの件数には影響します。しかし、監基報530が運用評価の要因として挙げる5つに、売上高や純資産は入っていません。

それなら、よく聞く25件はどこから来たのか。出どころは、2023年4月7日に改訂された「財務報告に係る内部統制の評価及び監査に関する実施基準」です。

許容逸脱率9%・信頼度90%・予想逸脱0の条件なら、計算上25件で10%を下回る。24件では届かない

25件が出てくるのは、監査人の手続を説明した箇所の括弧書きです。対象は日常反復継続する取引で、統計上のを前提にしています。そのうえで、90%の信頼度を得るにはごとに少なくとも25件が必要になる、と例として書かれています。内基報1も、この25件を実施基準の例示として扱っています。つまり、どの会社のどの統制にも25件を求める規定ではありません。

25件で何が言えるのかは、経済産業省が2024年12月25日に改訂した「システム管理基準追補版」の付録1に書かれています。無限大の母集団から25件を無作為に抜き取って1件も逸脱が見つからなければ、全体として9%以上の逸脱が無いことを信頼水準90%で説明できる、というものです。逸脱とは、承認の記録が無いなど、統制が決めたとおりに動かなかった件のことです。

編集部で、この理屈を実数で追ってみました。本当は9%の割合で承認漏れがある母集団から、25件続けて漏れに当たらない確率は、0.91を25回掛けた約0.095です。24件だと、0.91を24回掛けて約0.104になり、10%を超えます。そのため、許容逸脱率9%、信頼度90%、予想逸脱0件という条件を置くと、25件という数字になります。内基報1の付録3にある統計的サンプル数の表でも、この組み合わせの欄は25件です。

ただし、条件が変われば件数も変わります。内基報1によれば、25件は母集団に逸脱が無いと仮定した件数で、通常はの評価が有効なことが前提です。全社的な内部統制に不備があって逸脱が予想されるなら、監査人は予想逸脱率を見直し、件数を増やす必要があるかを検討します。

月に1回の統制も、25件取る？

追補版の例に沿うなら、取りません。冒頭の図は追補版の付録図表1-1「サンプル件数の例」で、月次は2件です。とはいえ追補版自身が、サンプル件数がどの程度が適切かは一概にいえない、と前置きしています。そのうえで、全社的な内部統制が適切な場合に、たとえばこの表をあらかじめ定めて判定することが考えられる、と書いています。

しかも、統計で求めた件数は25件の行だけです。追補版は、1日につき多数と日次以外の組み合わせは統計的方法によるものではない、と明記しています。週次・月次・四半期の処理は母集団が小さいので、統計的サンプリングによらなくてよい、とも書いています。銭形さんは、月次の2件を「12件のうち2件で全体を推定する」理屈ではなく、動いた回数が少ない統制を数回分の実物で確かめる考え方だと見ています。

一方、会社が自分で評価するときの件数は、経営者が決めます。実施基準は、統制の重要性や複雑さ、担当者が行う判断の性質、実施者の能力、前年度の評価結果などを考えて、サンプル件数と対象期間を決めるよう求めています。金融庁の「内部統制報告制度に関するQ&A」も、件数を含む評価方法は企業の状況に応じて弾力的に取れるとし、経営者が自らの判断で決められると答えています。監査人側の内基報1も、日常反復以外の取引は頻度に従って適切なサンプル数を決める、と書くだけです。この記事で確かめた資料のうち、頻度別の件数を表で示しているのは追補版だけで、それも例示です。

反対に、システムが自動で動かす統制は、ITGCの有効性を前提に手作業より件数を減らせると実施基準は書いています。処理のパターンごとに確かめる考え方は承認フローや自動仕訳をITACとして評価する記事で説明しています。

母集団は全件の一覧から、好みが入らない方法で抜き取る

サンプルを抜き取る元の一覧は、評価対象期間にその統制が動いた回の全件です。監基報530も、母集団を、監査人がサンプルを抽出し結論を導き出そうとする項目全体と定義しています。

母集団の決め方。評価対象期間の全件の一覧を作り、一覧の正確性と網羅性を確かめ、無作為抽出か系統的抽出で抜き取り、期中評価なら期末までの変更を担当者に聞いて記録する

世戸田さんが最初に用意したのは、承認を通った仕訳の一覧でした。しかし銭形さんは、ここで待ったをかけました。承認済みに絞ると、承認を通らずに入った仕訳が最初から外れるからです。仕訳承認の統制なら、母集団は期間中に帳簿に登録された仕訳、つまり承認の対象になる全件の一覧です。

また、一覧に漏れがあれば、漏れた分はサンプルに選ばれません。そこで、一覧の件数と合計が元データと一致するかを先に照合します。一覧の正確性と網羅性を確かめるこの手順は、システム帳票の正確性と網羅性を確かめる方法の記事で説明しています。

抜き取り方にも決まりがあります。内基報1によれば、が排除される方法でサンプルを抽出し、そこから母集団全体の結論を導き出さなければなりません。監基報530も、母集団内のすべてのサンプリング単位に抽出の機会が与えられる方法を求めています。具体的には、乱数で選ぶ無作為抽出か、全件数をサンプル数で割った間隔で選ぶ系統的抽出です。間隔は、月末などの周期と重ならないようにします。

たとえば「金額の大きい仕訳を25件」は、特定の項目を狙う抽出です。母集団全体の結論を出せないので、運用評価のサンプルには向きません。「月末の仕訳を25件」も、月中の仕訳に抽出の機会が無いので、監基報530の求めに反します。Q&Aも、監査人が経営者のサンプルを使うときの検討事項として、母集団を代表しているか、無作為に抽出されているかを挙げています。乱数の出し方と抽出した日を記録に残しておけば、この検討にそのまま答えられます。

なお、評価の時点は期末日です。Q&Aによれば、期中に運用評価をしたあと、担当者への質問などで整備状況に重要な変更が無いと確かめられれば、新たな運用評価は要しないと考えられます。一方、統制そのものが期末までに変わったときに何件取り直すかは、確かめた資料には書かれていません。変更が分かった時点で監査法人に相談します。

逸脱が1件出たら、件数を足す前に原因を調べる

逸脱が1件出ても、それだけで統制が無効になるわけではありません。監基報330も、統制が有効に運用されていることは逸脱がまったく無いことを意味しない、と書いています。

逸脱が出たときの流れ。まず原因と影響を質問し、共通の特徴がないかを見て、例外的事象なら追加手続で裏づけ、そうでなければ件数の拡大か不備としての評価に進む

実際、C社でも、日次の仕訳承認の25件のうち1件で、承認の記録が見つかりませんでした。「じゃあ1件足して26件にすれば、元どおりですね」。世戸田さんがそう言うと、銭形さんは首を横に振りました。監基報330は、逸脱を見つけたら原因と潜在的な影響を理解するために質問し、その統制に依拠する基礎があるか、追加の運用評価が必要かを判断するよう求めています。

識別したすべての逸脱について、内容と原因を調べるよう求めるのが監基報530です。ただし、逸脱を例外的な出来事と考えるのは極めて稀な状況で、その場合は残りの母集団に影響しない証拠を、追加の手続で得ます。どれも監査人の規定です。それでも、自社で同じ順に調べて記録を残しておけば、監査法人の質問にそのまま答えられます。

そこで世戸田さんがまず調べたのは、「誰が、いつ、なぜ」でした。承認者が休みで、経理担当が代理で登録したのか。他のシステムから自動で連携された仕訳が、承認を通らない経路で入っていたのか。それとも、月末だけ承認を省く運用になっていたのか。どれだったかで、意味はまったく違います。内基報1も、担当者がルールを知っていて不注意で逸脱した場合は、ルールがまったく認識されていなかった場合より、不備が影響を及ぼす可能性は低いと判断されると書いています。

追補版のRCMの記入例にも、受入テストの承認25件のうち1件に記録が無かった例があります。押印漏れで実際は承認済みと説明を受け、追加テストで同じ漏れが出なかったので、例外的なエラーと判断しています。ただ、追加テストの件数は書かれていません。

件数の話は、そのあとです。内基報1によれば、統計的サンプリングで逸脱を見つけた場合や、信頼度を上げる必要がある場合は、サンプルの件数が増えます。参照先の付録3は、米国公認会計士協会の表を一部修正した例示です。許容逸脱率9%・信頼度90%の列では、予想逸脱が0件なら25件、1件と見込めば42件、2件なら58件です。

一方で、実務で耳にする「逸脱が出たら40件に増やす」「60件まで取る」という件数は、この記事で確かめた一次資料には出てきません。付録3も、すでに見た25件に何件足すのか、取り直すのかといった手順は書いていません。足し方は、評価を始める前に監査法人と決めておく論点です。

原因を調べた結果、統制が守られていない期間や経路が見つかることもあります。その場合、銭形さんは、件数を足すより先に不備として整理するよう勧めています。逸脱の件数、原因、補う別の統制の有無を並べて影響の大きさを検討する流れは、内基報1が示しています。不備の重さの見積もり方は、ITGCの不備の影響の考え方の記事で扱いました。

内部監査のサンプルは、監査法人も使える？

使える場合があります。ただし条件があるので、取り方を先に監査法人と合わせておきます。

会社側が取ったサンプルは、監査法人が妥当性を確かめたうえで、自分のサンプルの全部または一部として選ぶことができます。定型的な取引で経営者が無作為にサンプルを抽出しているなら、監査人が同じ方法で別のサンプルを選ぶのは効率的でない、というのが実施基準の考え方です。そのため銭形さんは、担当者がCFOや管理部長と先に3つを決めておくよう勧めています。自社の評価を監査法人に使ってもらう前提で動くか、評価の時期、評価する人の3つです。

とはいえ、監査法人が内部監査の作業を、自分の検証の代わりにすることはできません。内基報1は、内部監査人等の作業を利用するときは監基報610「内部監査人の作業の利用」を適用し、その作業を自己の検証そのものに代えて利用してはならないと定めています。そのため、自社の評価が期末ぎりぎりに終わると、監査法人が検証する時間が無くなります。

もう1つの条件は、評価する人が、評価対象の業務から離れていることです。実施基準は、評価を行う部署と要員に、評価対象の業務から独立して客観性を保つことと、評価に必要な能力を持つことを求めています。

ここで世戸田さんは、自分の立場に気づきました。日次の仕訳を起票しているのは、世戸田さん自身だったのです。管理部が小さい会社では、担当者が自分の作業を評価することになる統制が残ります。その場合も、自己点検の結果に独立したモニタリングを適切に行えば、評価の判断の基礎に自己点検を使える、と実施基準は書いています。そこで銭形さんがよく勧めるのは、自己点検の結果を別の人が確かめ、抽出結果と評価結果を本人が差し替えられない仕組みにすることです。C社では、経理の統制は内田さんが評価し、世戸田さんは母集団の一覧を出す役に回りました。

業務記述書・フローチャート・RCMの3点セットの作り方は3点セットの最初の1本の書き方の記事で、評価の時期を含めた上場までの段取りはIPO準備のJ-SOXロードマップの記事で説明しています。

相談を終えて、世戸田さんは統制の一覧に「頻度」「母集団の出し方」「件数」「抽出の方法」の4列を足しました。逸脱が出たときの手順として、原因の質問、共通の特徴の確認、監査法人へ連絡する時期も書き添えました。内田さんはこの一覧を評価の前に監査法人へ見せ、件数と取り方の考え方を確かめました。

「月に1回の統制も25件取るのか」。世戸田さんが出した答えは、「件数を決めた基準は無く、監査法人と統制ごとに決めます。追補版の例なら月次は2件で、25件は日次以上の統制に示された例です」というものでした。そして、本当に詰めておくべきだったのは件数より、取り方と、逸脱が出たときの決めごとのほうでした。

ITGCの全体像はSaaSで経理を回す会社に残るITGCの記事にまとめています。