リスクコントロールマトリクスのコントロール欄は、後の評価の作業をそのまま決めます。書き方が曖昧だと、何を集めればよいかが分からず、現場に聞き直すことになります。
書くべきは6つの要素です。誰が、いつ、何を使って、何に対して、何をして、何が残るか。この6つがそろえば評価の方法が自動的に決まります。
この記事では、抽象的な表現の避け方、証跡の確かめ方、リスクとの対応関係、統制の分類と評価の方法を整理します。
- コントロール欄に書く6つの要素と、悪い例と良い例
- 役職まで特定し頻度を明確にする理由
- 証跡が残るかを先に確かめるべき理由
- 記録が残らない統制をどう扱うか
- リスクと統制の対応表で漏れを点検する方法
- 統制の分類が評価の方法をどう決めるか
図 コントロールの記載に必要な要素の確認
📌 結論 6つの要素がそろえば評価できる
リスクコントロールマトリクスのコントロール欄は、後の評価の作業をそのまま決めます。書き方が曖昧だと、評価の段階で何を集めればよいかが分からず、結局現場に聞き直すことになります。
書くべきは6つの要素です。誰が、いつ、何を使って、何に対して、何をして、何が残るか。この6つがそろえば、評価するときに何を証憑として集め、何件確かめればよいかが自動的に決まります。
6つがそろえば、評価するときに何を集めればよいかが決まる
🧭 抽象的な表現を避ける
実務でよく見るのが、担当者が随時確認するという記載です。この記載からは、誰が、いつ、何を確認しているのかが読み取れません。評価しようにも、どの資料を求めればよいかが決まりません。
役職まで特定します。購買課の課長、経理課の担当者といった形です。担当者という言葉だけでは、複数いる場合にどの人の作業を見るのかが分かりません。
頻度も明確にします。随時ではなく、発注の都度、毎月末、四半期ごとといった形です。この記載が、評価のサンプル件数を決める根拠になります。毎月行われる統制と、都度行われる統制では、確かめるべき件数がまったく違います。
行為の中身も具体的に書きます。確認するではなく、見積書の金額と発注内容の金額を照合する、と書けば、何を確かめているのかが分かります。この記述があれば、評価の際に同じ照合を再実施することもできます。
分類を書いておくと、評価の方法と件数が自動的に決まる
📊 証跡を必ず確かめる
コントロールを書いたら、その統制が行われたことを示す記録が残るかを確かめます。ここを後回しにすると、評価の段階で行き詰まります。担当者は毎回確認していると言うが、確認したことを示すものが何もないという状態です。
証跡の確認を後回しにすると、評価の段階で行き詰まる
証跡としてよく使われるのは、承認印、システム上の承認履歴、チェックリストへの記入、メールでのやりとり、照合した資料への印です。どれでも構いませんが、後から確かめられる形になっていることが条件です。
証跡が残らない統制については、記録の方法を決めます。チェックリストに日付と確認者の欄を設ける、システムの承認機能を使うといった変更です。ここで変更した内容も、業務記述書に反映しておきます。
どうしても記録を残せない統制については、別の統制に置き換えるか、その統制には依拠しないという判断をします。証跡のない統制を並べても、評価の段階で有効と結論づけられません。
コントロール欄の書き方から証跡の設計まで、手戻りのない形に整えます。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の導入、内部監査対応を行っている公認会計士・税理士が直接対応します。初回のご相談は無料です。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら
🗂 リスクとの対応関係
コントロールを書いたら、どのリスクに対応するものかを番号で紐づけます。1つの統制が複数のリスクに効くこともあれば、1つのリスクに複数の統制が対応することもあります。
紐づけたら、対応表で漏れを点検します。リスクの一覧を縦に、統制の一覧を横に並べ、対応する箇所に印を付けます。印のない行があれば、そのリスクには統制がないということです。
統制のないリスクが見つかったら、それは重要な発見です。統制を新たに設けるか、そのリスクは受け入れるという判断をします。受け入れる場合は理由を記録します。この作業を飛ばすと、統制のないリスクが存在すること自体に気づけません。
⚖️ 統制の種類と評価の方法
統制を分類しておくと、評価の方法が自動的に決まります。自動化された統制であれば、設定が変わっていないことを確かめれば件数を絞れます。手作業の統制であれば、頻度に応じた件数を確かめます。
予防的な統制か発見的な統制かという区分も書いておきます。予防的な統制は誤りが起きる前に止めるもの、発見的な統制は起きた誤りを後から見つけるものです。発見的な統制ばかりが並んでいる領域は、誤りが一度は業務の流れに乗るということであり、検出が遅れると財務諸表に影響します。
この分類は、統制の設計を見直すときにも使えます。予防的な統制がない工程に予防の仕組みを入れられないかを検討すると、業務の効率も上がります。誤りを後から直す手間より、起こさない仕組みのほうが安く済むためです。
❓ よくある質問
A. 誰が、いつ、何を使って、何に対して、何をして、何が残るかの6つです。これがそろえば評価で何を集めるかが決まります。
A. 役職まで特定します。担当者が複数いる場合に、どの人の作業を見るのかが分からなくなります。
A. 評価のサンプル件数を決める根拠になるためです。毎月行われる統制と都度行われる統制では、確かめるべき件数がまったく違います。
A. コントロールを書いた直後です。後回しにすると、評価の段階で確認したことを示すものが何もないという事態になります。
A. 記録の方法を決めます。チェックリストに日付と確認者の欄を設ける、システムの承認機能を使うといった変更を行い、業務記述書にも反映します。
A. 別の統制に置き換えるか、その統制には依拠しないという判断をします。証跡のない統制では有効と結論づけられません。
A. リスクを縦、統制を横に並べた表を作り、対応する箇所に印を付けます。印のない行があれば、そのリスクには統制がありません。
A. 評価の方法だけでなく、設計の見直しにも使えます。発見的な統制ばかりの領域は、誤りが一度は業務の流れに乗るということです。
📄 まとめ
コントロール欄は6つの要素で書きます。誰が、いつ、何を使って、何に対して、何をして、何が残るかです。
抽象的な表現を避け、役職と頻度と行為の中身を具体的に書きます。これが評価の件数と手続を決めます。
証跡が残るかは書いた直後に確かめます。残らない統制は記録の方法を決めるか、依拠しない判断をします。
リスクと統制の対応表で漏れを点検します。統制のないリスクが見つかることが、この作業の最大の成果です。
統制を分類しておくと評価の方法が決まります。予防と発見の区分は、設計の見直しにも使えます。
公認会計士・税理士 鈴木佑也（鈴木佑也公認会計士税理士事務所／東京都台東区入谷）。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンス、企業価値評価、IFRS影響度調査、不正調査、フォレンジックに携わりました。現在は上場申請書類（Ⅰの部・Ⅱの部）の作成支援、内部統制の導入と内部監査対応、新収益認識基準やIFRSの導入支援、社内諸規程の整備を行っています。
本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。実際の制度設計や運用にあたっては、監査法人および主幹事証券会社にご確認ください。
制度の全体像
評価範囲の決定
文書化
- 業務記述書の作り方
- フローチャートの作り方
- 財務報告リスクの識別
- コントロールの記載（この記事）
評価の実施
IT統制
不備と改善
整備と設計
報告と立て直し
