JP2009151614A - 統制処理システム及び統制処理プログラム - Google Patents
統制処理システム及び統制処理プログラム Download PDFInfo
- Publication number
- JP2009151614A JP2009151614A JP2007329809A JP2007329809A JP2009151614A JP 2009151614 A JP2009151614 A JP 2009151614A JP 2007329809 A JP2007329809 A JP 2007329809A JP 2007329809 A JP2007329809 A JP 2007329809A JP 2009151614 A JP2009151614 A JP 2009151614A
- Authority
- JP
- Japan
- Prior art keywords
- control
- business
- risk
- processing system
- index
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
【課題】情報処理システムに対する統制の運用テストの結果を業務統制の運用テストに用いる場合に、業務統制の運用テストにおける負担を軽減させる前記情報処理システムの統制の優先順位を決定する統制処理システムを提供する。
【解決手段】統制処理システムのコントロール・リスク取得手段は、統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得し、評価手段は、前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価し、集計手段は、前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う。
【選択図】図２
【解決手段】統制処理システムのコントロール・リスク取得手段は、統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得し、評価手段は、前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価し、集計手段は、前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う。
【選択図】図２
Description
本発明は、統制処理システム及び統制処理プログラムに関する。
近年、財務内部統制が求められている。その財務内部統制とは、１９９２年にＣＯＳＯ（トレッドウェイ委員会組織委員会）が発表した「内部統制−統合的枠組み」が、事実上の標準となっており、「（１）業務の有効性・効率性、（２）財務諸表の信頼性、（３）関連法規の遵守の３つの目的を達成するために、合理的な保証を提供することを意図した、取締役会、経営者及びその他の職員によって遂行される一つのプロセス」と定義されている。
財務内部統制において、活動／システム／資源／知識情報などの関係を整理して業務プロセスを文書化する必要がある。財務内部統制の文書としては、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表の４文書がある。
財務内部統制において、活動／システム／資源／知識情報などの関係を整理して業務プロセスを文書化する必要がある。財務内部統制の文書としては、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表の４文書がある。
これらに関する技術として、例えば、特許文献１には、それぞれの業務フローにおける再利用化と品質の均一化の向上を図ることを課題とし、業務条件を取得した業務フロー作成処理機能を有する制御装置に、取得した業務条件に対応する業務階層を、その業務条件と業務階層の対応関係を表す業務条件管理テーブルから取得させ、取得した業務階層に対応する業務フロー図を特定するＩＤを、その業務階層と業務フロー図ＩＤとの対応関係を表す業務フロー階層テーブルから取得させ、そして、取得した業務フロー図ＩＤにより特定される業務フロー図を予め設けてある種々の業務フロー図の中から収集させて、前記取得した業務条件に該当する業務フロー図の業務フローを作成させることが開示されている。
また、例えば、特許文献２には、業務支援システムにかかる業務フローデータの意味論的正しさを検証するのに好適な検証方法及び検証システムを提供することを課題とし、業務フローデータ検証方法は、支援対象の業務を構成する複数の業務項目と、各業務項目の実施要因となる事象と、事象の組合せによって規定される実施条件からなる業務フローデータの記述内容を表示画面に表示し、当該記述内容の正当性について例えば業務の流れについて熟知しているユーザの承認を求めることにより、業務フローデータの意味論的正しさを検証できることが開示されている。
また、例えば、特許文献３には、ＲＣＭ帳票のフォーマットが記載されている。つまり、企業に関係する品質、環境、労働安全衛生、ＣＳＲの各リスクを一元的に統合し、リスクによる損害から企業活動を守り、さらに企業の社会的責任を高め持続的成長を志向するマネジメントに供する統合アセスメント・コントロール表を提供することを課題とし、リスクとしてコントロールすべき事象を列挙する共通項目の欄と、リスク評価対象となる複数のリスクアセスメント項目の欄と、管理すべき対象のリスク低減活動の結果を記入するリスクコントロール項目の欄とを備え、複数のリスクアセスメント項目が、少なくとも、品質リスクアセスメント、労働安全衛生リスクアセスメント、環境リスクアセスメント、情報セキュリティリスクアセスメント、ＣＳＲアセスメントからなり、企業がこれを活用することにより、企業活動におけるリスクをより高度にコントロールでき、企業の存在と存続を守ることができる。
また、Ｊ−ＳＯＸ（日本版企業改革法）では、業務統制を下支えする統制として、ＩＴ（情報処理システム）全般統制の整備を求めている。つまり、ＩＴシステムが不適切な動作をしていないことを確認するための統制である。そして、ＩＴ全般統制が有効であれば、ＩＴシステムによって自動化された統制の運用テストを簡略化することが認められており、負担軽減による統制実施者（例えば、企業側）のメリットも大きい。
一方、ＩＴ全般統制の整備自体にも作業コストが発生するため、全てのＩＴシステムのＩＴ全般統制を整備するのではなく、業務統制の運用テストにおける負担を軽減するのに効果的なＩＴシステムから優先的に全般統制の整備を行うことが望ましい。
特開２００３−１９６４３５号公報
特開２００３−２５６６３３号公報
特開２００６−１１０９７８号公報
一方、ＩＴ全般統制の整備自体にも作業コストが発生するため、全てのＩＴシステムのＩＴ全般統制を整備するのではなく、業務統制の運用テストにおける負担を軽減するのに効果的なＩＴシステムから優先的に全般統制の整備を行うことが望ましい。
本発明は、情報処理システムに対する統制の運用テストの結果を業務統制の運用テストに用いる場合に、業務統制の運用テストにおける負担を軽減させる前記情報処理システムの統制の優先順位を決定する統制処理システム及び統制処理プログラムを提供することを目的としている。
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
［１］ 統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得するコントロール・リスク取得手段と、
前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価する評価手段と、
前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う集計手段
を具備することを特徴とする統制処理システム。
［１］ 統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得するコントロール・リスク取得手段と、
前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価する評価手段と、
前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う集計手段
を具備することを特徴とする統制処理システム。
［２］ 前記業務統制における承認が行われたか否かを判断する判断手段
をさらに具備し、
前記評価手段は、前記判断手段によって承認が行われたと判断された場合は、前記コントロール・リスク取得手段によって取得されたコントロール内のキーコントロールに基づいて、前記業務統制の承認後における指標を評価する
ことを特徴とする［１］に記載の統制処理システム。
をさらに具備し、
前記評価手段は、前記判断手段によって承認が行われたと判断された場合は、前記コントロール・リスク取得手段によって取得されたコントロール内のキーコントロールに基づいて、前記業務統制の承認後における指標を評価する
ことを特徴とする［１］に記載の統制処理システム。
［３］ 前記評価手段が評価する指標として、コントロール及びリスクに関する指標を含む
ことを特徴とする［１］に記載の統制処理システム。
ことを特徴とする［１］に記載の統制処理システム。
［４］ 前記評価手段が評価するコントロールに関する指標として、統制頻度、統制の性質、証跡の数のいずれか一つ以上を含み、リスクに関する指標として、リスク評価、リスク分類、重要勘定科目、アサーションのいずれか一つ以上を含む
ことを特徴とする［３］に記載の統制処理システム。
ことを特徴とする［３］に記載の統制処理システム。
［５］ コンピュータを、
統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得するコントロール・リスク取得手段と、
前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価する評価手段と、
前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う集計手段
として機能させることを特徴とする統制処理プログラム。
統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得するコントロール・リスク取得手段と、
前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価する評価手段と、
前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う集計手段
として機能させることを特徴とする統制処理プログラム。
請求項１に記載の統制処理システムによれば、情報処理システムに対する統制の運用テストの結果を業務統制の運用テストに用いる場合に、業務統制の運用テストにおける負担を軽減させる前記情報処理システムの統制の優先順位を決定することができるようになる。
請求項２に記載の統制処理システムによれば、業務統制の承認後であれば、その業務統制に関するキーコントロールを用いて、前記情報処理システムの統制の優先順位を決定することができるようになる。
請求項３に記載の統制処理システムによれば、コントロール及びリスクに関する指標に基づいて優先順位を決定することができるようになる。
請求項４に記載の統制処理システムによれば、承認前におけるコントロール、リスクに関する指標として、承認後にも反映される可能性の高い指標を含めて優先順位を決定することができるようになる。
請求項５に記載の統制処理プログラムによれば、情報処理システムに対する統制の運用テストの結果を業務統制の運用テストに用いる場合に、業務統制の運用テストにおける負担を軽減させる前記情報処理システムの統制の優先順位を決定することができるようになる。
まず、内部統制の「基本４文書」について説明する。
基本４文書とは、財務内部統制の対象となる業務プロセス毎に作成される基本文書のことをいい、具体的には、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表がある。
業務記述書とは、ナラティブとも呼ばれる。取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを文書化したものである。人事規定、経理業務規定などの規定書類は、業務記述書の上位文書であり、その改訂は、業務記述書に影響を与える。また、業務マニュアルは、業務記述書の下位文書であり、その改訂に影響を受ける。
業務フロー図とは、取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを視覚的にフローチャート化したものである。リスクとコントロールもこのフロー上に配置される。
ＲＣＭ（リスク・コントロール・マトリックス）とは、業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。
職務分離表とは、業務プロセスの流れの中で、財務統制上問題となるような、同一の担当者による処理の重複が発生していないかをチェックするためのものである。
なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の６項目が一般には使用されるが、各社また監査法人により一部変更があるため、カスタマイズできることが望ましい。また、財務リスクに対して、アサーションの観点でリスクが網羅されていることが必要で、これら６つのアサーションのいずれかに該当するリスクは重要性が高いといえる。
リスクとは、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。
コントロールとは、リスクに対する内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。
また、財務内部統制において、財務に関連した業務を分析しその結果をまとめた文書に対して、その文書の正当性と正確性をチェックする整備評価（以下ウォークスルーともいい、ＷＴとも略す）と文書通りに運用されているかをテストする運用評価の２種類の評価がある。
基本４文書とは、財務内部統制の対象となる業務プロセス毎に作成される基本文書のことをいい、具体的には、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表がある。
業務記述書とは、ナラティブとも呼ばれる。取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを文書化したものである。人事規定、経理業務規定などの規定書類は、業務記述書の上位文書であり、その改訂は、業務記述書に影響を与える。また、業務マニュアルは、業務記述書の下位文書であり、その改訂に影響を受ける。
業務フロー図とは、取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを視覚的にフローチャート化したものである。リスクとコントロールもこのフロー上に配置される。
ＲＣＭ（リスク・コントロール・マトリックス）とは、業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。
職務分離表とは、業務プロセスの流れの中で、財務統制上問題となるような、同一の担当者による処理の重複が発生していないかをチェックするためのものである。
なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の６項目が一般には使用されるが、各社また監査法人により一部変更があるため、カスタマイズできることが望ましい。また、財務リスクに対して、アサーションの観点でリスクが網羅されていることが必要で、これら６つのアサーションのいずれかに該当するリスクは重要性が高いといえる。
リスクとは、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。
コントロールとは、リスクに対する内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。
また、財務内部統制において、財務に関連した業務を分析しその結果をまとめた文書に対して、その文書の正当性と正確性をチェックする整備評価（以下ウォークスルーともいい、ＷＴとも略す）と文書通りに運用されているかをテストする運用評価の２種類の評価がある。
業務統制の運用テスト負担軽減とＩＴ全般統制の整備コスト負担増加を効果的にバランスさせるには、以下に示す３つの手順で実施する必要がある。
（１）業務統制におけるＩＴシステムを用いた（自動化された）統制の洗い出し。
（２）前記（１）の統制から、重要な統制を選別する。
（３）前記（２）の統制が依存するＩＴシステムの洗い出し。つまり、ＩＴ全般統制の対象を決定する。
しかし、業務統制とＩＴ全般統制はそれぞれ実施担当者が異なり、また統制整備の時期も異なるため、ＩＴ全般統制におけるＩＴシステムの対象選択時に前述のフィードバック（前記（３）を行うには前記（１）が必要である）を行うには困難なケースが多く、主観的な選択とならざるを得なかった。本実施の形態は、このような状況の場合に利用するものである。
（１）業務統制におけるＩＴシステムを用いた（自動化された）統制の洗い出し。
（２）前記（１）の統制から、重要な統制を選別する。
（３）前記（２）の統制が依存するＩＴシステムの洗い出し。つまり、ＩＴ全般統制の対象を決定する。
しかし、業務統制とＩＴ全般統制はそれぞれ実施担当者が異なり、また統制整備の時期も異なるため、ＩＴ全般統制におけるＩＴシステムの対象選択時に前述のフィードバック（前記（３）を行うには前記（１）が必要である）を行うには困難なケースが多く、主観的な選択とならざるを得なかった。本実施の形態は、このような状況の場合に利用するものである。
以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態を実現するにあたってのシステム全体の構成例を示す構成図である。
本システム全体では、業務統制支援サーバー１０１、ＩＴ全般統制支援サーバー１０２、業務統制管理者端末１０３、ＩＴ全般統制管理者端末１０４、業務統制文書化作業者端末１０５、ＩＴ全般統制文書化作業者端末１０６を有しており、それぞれ通信回線であるＬＡＮ／ＷＡＮ１９９を介して接続されている。
業務統制支援サーバー１０１は、ＩＴ全般統制支援サーバー１０２と連携して、業務統制管理者端末１０３又は業務統制文書化作業者端末１０５の操作者の操作に基づく指示によって、業務統制に関する処理を行う。より具体的には、図２、図４等を用いて後述する。
ＩＴ全般統制支援サーバー１０２は、業務統制支援サーバー１０１と連携して、ＩＴ全般統制管理者端末１０４又はＩＴ全般統制文書化作業者端末１０６の操作者の操作に基づく指示によって、業務に用いられているＩＴシステムに関する処理を行う。より具体的には、図２、図４等を用いて後述する。
図１は、本実施の形態を実現するにあたってのシステム全体の構成例を示す構成図である。
本システム全体では、業務統制支援サーバー１０１、ＩＴ全般統制支援サーバー１０２、業務統制管理者端末１０３、ＩＴ全般統制管理者端末１０４、業務統制文書化作業者端末１０５、ＩＴ全般統制文書化作業者端末１０６を有しており、それぞれ通信回線であるＬＡＮ／ＷＡＮ１９９を介して接続されている。
業務統制支援サーバー１０１は、ＩＴ全般統制支援サーバー１０２と連携して、業務統制管理者端末１０３又は業務統制文書化作業者端末１０５の操作者の操作に基づく指示によって、業務統制に関する処理を行う。より具体的には、図２、図４等を用いて後述する。
ＩＴ全般統制支援サーバー１０２は、業務統制支援サーバー１０１と連携して、ＩＴ全般統制管理者端末１０４又はＩＴ全般統制文書化作業者端末１０６の操作者の操作に基づく指示によって、業務に用いられているＩＴシステムに関する処理を行う。より具体的には、図２、図４等を用いて後述する。
業務統制管理者端末１０３は、業務統制管理者によって用いられ、業務統制支援サーバー１０１又は業務統制文書化作業者端末１０５に対して、業務統制に関する処理を行うように指示する。
ＩＴ全般統制管理者端末１０４は、ＩＴ全般統制管理者によって用いられ、ＩＴ全般統制支援サーバー１０２又はＩＴ全般統制文書化作業者端末１０６に対して、ＩＴ全般統制に関する処理を行うように指示する。
業務統制文書化作業者端末１０５は、業務統制文書化作業者によって用いられ、業務統制支援サーバー１０１又は業務統制管理者端末１０３からの指示に基づいて、業務統制用の文書を作成する。そして、その文書を業務統制支援サーバー１０１に格納する。
ＩＴ全般統制文書化作業者端末１０６は、ＩＴ全般統制文書化作業者によって用いられ、ＩＴ全般統制支援サーバー１０２又はＩＴ全般統制管理者端末１０４からの指示に基づいて、ＩＴ全般統制用の文書を作成する。そして、その文書をＩＴ全般統制支援サーバー１０２に格納する。
ＩＴ全般統制管理者端末１０４は、ＩＴ全般統制管理者によって用いられ、ＩＴ全般統制支援サーバー１０２又はＩＴ全般統制文書化作業者端末１０６に対して、ＩＴ全般統制に関する処理を行うように指示する。
業務統制文書化作業者端末１０５は、業務統制文書化作業者によって用いられ、業務統制支援サーバー１０１又は業務統制管理者端末１０３からの指示に基づいて、業務統制用の文書を作成する。そして、その文書を業務統制支援サーバー１０１に格納する。
ＩＴ全般統制文書化作業者端末１０６は、ＩＴ全般統制文書化作業者によって用いられ、ＩＴ全般統制支援サーバー１０２又はＩＴ全般統制管理者端末１０４からの指示に基づいて、ＩＴ全般統制用の文書を作成する。そして、その文書をＩＴ全般統制支援サーバー１０２に格納する。
図２は、本実施の形態の構成例についての概念的なブロック構成図を示している。
なお、各構成部は、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態における構成部はコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、コンピュータ・プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、各構成部は機能にほぼ一対一に対応しているが、実装においては、１構成部を１プログラムで構成してもよいし、複数構成部を１プログラムで構成してもよく、逆に１構成部を複数プログラムで構成してもよい。また、複数構成部は１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１構成部が複数コンピュータで実行されてもよい。なお、一つの構成部に他の構成部が含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）を含む。例えば、データとデータが接続されているとは、データの一部が同一のデータであること、ポインタ又はリンク等で一方が他方を指していること等を表す。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、一つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。
なお、操作者をその文脈に応じて、作成者、検証者、ユーザ等ともいう。
入力という用語は、業務統制管理者端末１０３、ＩＴ全般統制管理者端末１０４、業務統制文書化作業者端末１０５、ＩＴ全般統制文書化作業者端末１０６に対する操作者の操作によってデータを受け付けること、各構成部が他の構成部からデータを受け付けること等に用いる。
なお、各構成部は、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態における構成部はコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、コンピュータ・プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、各構成部は機能にほぼ一対一に対応しているが、実装においては、１構成部を１プログラムで構成してもよいし、複数構成部を１プログラムで構成してもよく、逆に１構成部を複数プログラムで構成してもよい。また、複数構成部は１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１構成部が複数コンピュータで実行されてもよい。なお、一つの構成部に他の構成部が含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）を含む。例えば、データとデータが接続されているとは、データの一部が同一のデータであること、ポインタ又はリンク等で一方が他方を指していること等を表す。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、一つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。
なお、操作者をその文脈に応じて、作成者、検証者、ユーザ等ともいう。
入力という用語は、業務統制管理者端末１０３、ＩＴ全般統制管理者端末１０４、業務統制文書化作業者端末１０５、ＩＴ全般統制文書化作業者端末１０６に対する操作者の操作によってデータを受け付けること、各構成部が他の構成部からデータを受け付けること等に用いる。
図２に示す本実施の形態の構成例は、ＩＴ全般統制支援システム２１０、業務統制支援システム２６０を有している。
ＩＴ全般統制支援システム２１０は、優先順位評価部２２０、評価条件保存部２３０、評価条件入力部２４０、優先順位表示部２５０を有しており、ＩＴ全般統制支援サーバー１０２の一部を構成している。ＩＴシステムの統制を支援するシステムであり、統制の対象となっているＩＴシステムの一部又は全部は、業務統制支援システム２６０が支援する業務統制における統制の対象ともなっている。そして、ＩＴ全般統制支援システム２１０は、統制の文書化過程で蓄積された情報をパラメータにＩＴシステムの重要度を計算し、ＩＴ全般統制の対象候補システムの優先順位付け（ランキング）を行う。また、ランキング計算に用いるパラメータの種類はフェーズ（承認前か否か）に応じて適切なものを選択し、業務統制の整備途中でもランキングを提示する。
ＩＴ全般統制支援システム２１０は、優先順位評価部２２０、評価条件保存部２３０、評価条件入力部２４０、優先順位表示部２５０を有しており、ＩＴ全般統制支援サーバー１０２の一部を構成している。ＩＴシステムの統制を支援するシステムであり、統制の対象となっているＩＴシステムの一部又は全部は、業務統制支援システム２６０が支援する業務統制における統制の対象ともなっている。そして、ＩＴ全般統制支援システム２１０は、統制の文書化過程で蓄積された情報をパラメータにＩＴシステムの重要度を計算し、ＩＴ全般統制の対象候補システムの優先順位付け（ランキング）を行う。また、ランキング計算に用いるパラメータの種類はフェーズ（承認前か否か）に応じて適切なものを選択し、業務統制の整備途中でもランキングを提示する。
業務統制支援システム２６０は、ＩＴシステムデータ２６１、業務統制進捗データ２６２、業務統制文書データ２６３を有しており、業務統制支援サーバー１０１の一部を構成している。業務統制を支援するシステムであり、統制の対象となっているものの一部にＩＴシステムが含まれており、そのＩＴシステムはＩＴ全般統制支援システム２１０による統制の対象ともなっている。つまり、ＩＴ全般統制支援システム２１０、業務統制支援システム２６０の統制の対象（又は統制の対象の一部）となっているＩＴシステムには共通するものが含まれている。
ＩＴシステムデータ２６１、業務統制進捗データ２６２、業務統制文書データ２６３は、それぞれ優先順位評価部２２０の業務統制情報取得部２２１から参照される。ＩＴシステムデータ２６１は、統制の対象であるＩＴシステムに関する情報を記憶する。業務統制進捗データ２６２は、業務統制の進捗データを記憶する。業務統制文書データ２６３は、業務統制における基本４文書を記憶する。
ＩＴシステムデータ２６１、業務統制進捗データ２６２、業務統制文書データ２６３は、それぞれ優先順位評価部２２０の業務統制情報取得部２２１から参照される。ＩＴシステムデータ２６１は、統制の対象であるＩＴシステムに関する情報を記憶する。業務統制進捗データ２６２は、業務統制の進捗データを記憶する。業務統制文書データ２６３は、業務統制における基本４文書を記憶する。
評価条件入力部２４０は、評価条件保存部２３０と接続されており、評価条件を評価条件保存部２３０に記憶させる。ＩＴ全般統制管理者端末１０４の操作者であるＩＴ全般統制管理者からの指示（ＩＴシステムの統制の運用テストを実行するにあたっての優先順位を決定するための評価条件）を受け付け、受け付けた評価条件を評価条件保存部２３０に記憶させる。
評価条件保存部２３０は、優先順位評価部２２０から参照され、また、評価条件入力部２４０と接続されている。評価条件入力部２４０が受け付けた評価条件を記憶する。そして、その評価条件は優先順位評価部２２０によって参照される。
評価条件保存部２３０は、優先順位評価部２２０から参照され、また、評価条件入力部２４０と接続されている。評価条件入力部２４０が受け付けた評価条件を記憶する。そして、その評価条件は優先順位評価部２２０によって参照される。
優先順位評価部２２０は、業務統制情報取得部２２１、統制評価部２２２、ＩＴシステム順位集計部２２３を有しており、業務統制支援システム２６０に記憶されているデータ及び評価条件保存部２３０を参照する。優先順位評価部２２０は、業務統制支援システム２６０が支援する業務統制の運用テストにおける負担を軽減するのに効果的なＩＴシステムから優先的に全般統制の整備を行うようにするために、ＩＴシステムの統制における評価を行い、優先順位を算出するものである。
業務統制情報取得部２２１は、統制評価部２２２と接続されており、また、業務統制支援システム２６０のＩＴシステムデータ２６１、業務統制進捗データ２６２、業務統制文書データ２６３を参照する。業務統制情報取得部２２１は、統制の対象であるＩＴシステムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得する。より具体的には、業務統制情報取得部２２１は、ＩＴシステムデータ２６１を参照して、統制の対象であるＩＴシステムに関する情報を取得し、また、業務統制進捗データ２６２を参照して、そのＩＴシステムを統制の対象として含む業務統制の進捗データを取得し、さらに、業務統制文書データ２６３内のそのＩＴシステムが関与する基本４文書（少なくともＲＣＭを含んでいるものであればよい）を参照して、コントロールとそのコントロールに対応するリスクを取得する。そして、取得したデータを統制評価部２２２へ渡す。
なお、コントロールには、キーコントロールを含む。キーコントロールとは、主要なコントロールであり、これは業務統制の運用テストの際には行われなければならないものである。
なお、コントロールには、キーコントロールを含む。キーコントロールとは、主要なコントロールであり、これは業務統制の運用テストの際には行われなければならないものである。
統制評価部２２２は、業務統制情報取得部２２１、ＩＴシステム順位集計部２２３と接続されている。統制評価部２２２は、業務統制情報取得部２２１によって取得されたコントロール及びリスクに基づいて、業務統制の承認前における指標を評価する。より具体的には、統制評価部２２２は、業務統制情報取得部２２１によって取得された業務統制の進捗データを用いて、その業務統制整備における統制文書化の承認が行われているか否かを判断する。承認が行われた後であると判断された場合は、業務統制情報取得部２２１によって取得されたコントロール内のキーコントロールに基づいて、業務統制の承認後におけるそのＩＴシステムの指標を評価する。また、未だ承認が行われていないと判断された場合は、業務統制情報取得部２２１によって取得されたコントロール及びリスクに基づいて、業務統制の承認前におけるそのＩＴシステムの指標を評価する。そして、評価結果をＩＴシステム順位集計部２２３へ渡す。
なお、統制評価部２２２が評価するコントロールに関する指標には、統制頻度、統制の性質、証跡の数のいずれか一つ以上を含み、リスクに関する指標として、リスク評価、リスク分類、重要勘定科目、アサーションのいずれか一つ以上を含む。
なお、統制評価部２２２が評価するコントロールに関する指標には、統制頻度、統制の性質、証跡の数のいずれか一つ以上を含み、リスクに関する指標として、リスク評価、リスク分類、重要勘定科目、アサーションのいずれか一つ以上を含む。
ＩＴシステム順位集計部２２３は、統制評価部２２２、優先順位表示部２５０と接続されている。統制評価部２２２によって評価された指標に重み付けを行って、ＩＴシステムの統制を実行するにあたっての優先順位を決定するための集計を行う。そして、その集計結果を優先順位表示部２５０へ渡す。
優先順位表示部２５０は、優先順位評価部２２０のＩＴシステム順位集計部２２３と接続されている。ＩＴシステム順位集計部２２３による集計結果をＩＴ全般統制管理者端末１０４に送信する。そして、ＩＴ全般統制管理者端末１０４は集計結果を受け取り、ＩＴ全般統制管理者端末１０４の出力部（例えば、液晶ディスプレイ）に表示し、操作者に提示する。
優先順位表示部２５０は、優先順位評価部２２０のＩＴシステム順位集計部２２３と接続されている。ＩＴシステム順位集計部２２３による集計結果をＩＴ全般統制管理者端末１０４に送信する。そして、ＩＴ全般統制管理者端末１０４は集計結果を受け取り、ＩＴ全般統制管理者端末１０４の出力部（例えば、液晶ディスプレイ）に表示し、操作者に提示する。
図３は、本実施の形態による処理例を示すフローチャートである。
ステップＳ３０２では、評価条件入力部２４０が、ＩＴ全般統制管理者端末１０４の操作者によって選択されたＩＴシステム及びそのＩＴシステムの統制における評価条件を取得する。
ステップＳ３０４では、業務統制情報取得部２２１が、業務統制進捗データ２６２より業務統制整備におけるプロセスの進捗データを取得する。
ステップＳ３０６では、優先順位評価部２２０が、ステップＳ３０４で取得した進捗データが文書化プロセス承認済であるか否かを判断する。文書化プロセス承認済である場合はステップＳ３１８へ進み、文書化プロセス未承認である場合はステップＳ３０８へ進む。
ステップＳ３０２では、評価条件入力部２４０が、ＩＴ全般統制管理者端末１０４の操作者によって選択されたＩＴシステム及びそのＩＴシステムの統制における評価条件を取得する。
ステップＳ３０４では、業務統制情報取得部２２１が、業務統制進捗データ２６２より業務統制整備におけるプロセスの進捗データを取得する。
ステップＳ３０６では、優先順位評価部２２０が、ステップＳ３０４で取得した進捗データが文書化プロセス承認済であるか否かを判断する。文書化プロセス承認済である場合はステップＳ３１８へ進み、文書化プロセス未承認である場合はステップＳ３０８へ進む。
ステップＳ３０８では、業務統制情報取得部２２１が、業務統制文書データ２６３より対象としている業務統制のＩＴシステムが関与しているコントロールを取得する。
ステップＳ３１０では、業務統制情報取得部２２１が、業務統制文書データ２６３よりステップＳ３０８で取得したコントロールに対応するリスクを取得する。コントロールと対応しているリスクを取得するために、ＲＣＭを参照して決定する。
ステップＳ３１２では、統制評価部２２２が、承認前における指標の評価を行う。
ステップＳ３１０では、業務統制情報取得部２２１が、業務統制文書データ２６３よりステップＳ３０８で取得したコントロールに対応するリスクを取得する。コントロールと対応しているリスクを取得するために、ＲＣＭを参照して決定する。
ステップＳ３１２では、統制評価部２２２が、承認前における指標の評価を行う。
ステップＳ３１４では、統制評価部２２２が、ステップＳ３１２での評価結果に基づいて各ＩＴシステムのポイント（評価点）を計算する。
ステップＳ３１８では、業務統制情報取得部２２１が、業務統制文書データ２６３より対象としている業務統制のＩＴシステムが関与しているコントロール内のキーコントロールを取得する。
ステップＳ３２０では、統制評価部２２２が、ステップＳ３１８で取得したキーコントロールに基づいて各ＩＴシステムのポイントを計算する。
ステップＳ３１８では、業務統制情報取得部２２１が、業務統制文書データ２６３より対象としている業務統制のＩＴシステムが関与しているコントロール内のキーコントロールを取得する。
ステップＳ３２０では、統制評価部２２２が、ステップＳ３１８で取得したキーコントロールに基づいて各ＩＴシステムのポイントを計算する。
ステップＳ３１６では、ＩＴシステム順位集計部２２３が、ステップＳ３１４又はステップＳ３２０で計算されたポイントに基づいて、ＩＴシステム別にポイントの集計（合算（重み付けの合算を含む））を行う。
ステップＳ３２２では、優先順位評価部２２０が、全てのプロセスの評価が済んだか否かを判断する。未だ評価が済んでいないプロセスがある場合はステップＳ３０４へ戻り、全てのプロセスの評価が済んでいる場合はステップＳ３２４へ進む。
ステップＳ３２４では、ＩＴシステム順位集計部２２３が、ＩＴシステムのポイントでソートし、優先順位表示部２５０が、そのソート結果に基づいて、対象とすべきＩＴシステムの優先順位を表示する。
ステップＳ３２２では、優先順位評価部２２０が、全てのプロセスの評価が済んだか否かを判断する。未だ評価が済んでいないプロセスがある場合はステップＳ３０４へ戻り、全てのプロセスの評価が済んでいる場合はステップＳ３２４へ進む。
ステップＳ３２４では、ＩＴシステム順位集計部２２３が、ＩＴシステムのポイントでソートし、優先順位表示部２５０が、そのソート結果に基づいて、対象とすべきＩＴシステムの優先順位を表示する。
図４は、ＩＴ全般統制支援システム４１０と業務統制支援システム４２０の関係例を示す説明図である。
ＩＴ全般統制支援システム４１０は、ＩＴ基盤４１１、ＩＴシステム４１２を有しており、ＩＴ基盤４１１とＩＴシステム４１２は接続されている。ＩＴシステム４１２は複数あってもよく、各ＩＴシステム４１２はＩＴ基盤４１１に接続されている。ＩＴ基盤４１１はＩＴシステム４１２からなっており、ＩＴ全般統制の対象である。
ＩＴ全般統制支援システム４１０は、ＩＴ基盤４１１、ＩＴシステム４１２を有しており、ＩＴ基盤４１１とＩＴシステム４１２は接続されている。ＩＴシステム４１２は複数あってもよく、各ＩＴシステム４１２はＩＴ基盤４１１に接続されている。ＩＴ基盤４１１はＩＴシステム４１２からなっており、ＩＴ全般統制の対象である。
業務統制支援システム４２０は、ＩＴシステム４２１、コントロール制御部４２２、リスク制御部４２３、リスクコントロールマトリックス制御部４２４を有している。
ＩＴシステム４２１は、コントロール制御部４２２と接続されている。ＩＴシステム４２１はＩＴシステム４１２と同一のものであり、ＩＴ全般統制支援システム４１０においてはＩＴ基盤４１１を構成するものであり、業務統制支援システム４２０においてはコントロール制御部４２２によってコントロールの制御の対象とされるものである。つまり、ＩＴシステム４１２（４２１）は、業務統制のコントロールが依存するシステムであり、かつ、ＩＴ全般統制の整備対象のシステムでもある。
コントロール制御部４２２はＩＴシステム４２１、リスクコントロールマトリックス制御部４２４と接続されており、リスク制御部４２３はリスクコントロールマトリックス制御部４２４と接続されており、リスクコントロールマトリックス制御部４２４はコントロール制御部４２２、リスク制御部４２３と接続されている。
リスクコントロールマトリックス制御部４２４は、ＲＣＭに基づいて、リスク制御部４２３によって制御されているリスクに対応するコントロールを特定し、そのコントロールに対するコントロール制御部４２２による制御を管理する。
ＩＴシステム４２１は、コントロール制御部４２２と接続されている。ＩＴシステム４２１はＩＴシステム４１２と同一のものであり、ＩＴ全般統制支援システム４１０においてはＩＴ基盤４１１を構成するものであり、業務統制支援システム４２０においてはコントロール制御部４２２によってコントロールの制御の対象とされるものである。つまり、ＩＴシステム４１２（４２１）は、業務統制のコントロールが依存するシステムであり、かつ、ＩＴ全般統制の整備対象のシステムでもある。
コントロール制御部４２２はＩＴシステム４２１、リスクコントロールマトリックス制御部４２４と接続されており、リスク制御部４２３はリスクコントロールマトリックス制御部４２４と接続されており、リスクコントロールマトリックス制御部４２４はコントロール制御部４２２、リスク制御部４２３と接続されている。
リスクコントロールマトリックス制御部４２４は、ＲＣＭに基づいて、リスク制御部４２３によって制御されているリスクに対応するコントロールを特定し、そのコントロールに対するコントロール制御部４２２による制御を管理する。
図５は、指標例を示す説明図である。つまり、ここでの指標とは、業務統制の運用テストにおける負担を軽減するのに効果的なＩＴシステムを優先的に選択するために用いるものであり、コントロール５１０に関する指標とリスク５５０に関する指標がある。
コントロール５１０に関する指標として、統制の種類（自動）５２０、統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３、キーコントロール５４０がある。
統制の種類（自動）５２０は、本実施の形態においては必須の指標である。つまり、そのコントロールが、統制の種類（自動）５２０でなければ指標として採用しない。統制の種類としては、（１）マニュアル（人手のみでコントロールのチェックが行われるもの）、（２）ＩＴ依存マニュアル（ＩＴシステムによってコントロールのチェックが行われるが、最終的には人手によりチェックされるもの）、（３）ＩＴシステム（そのＩＴシステムのみで自動的にコントロールのチェックを行うもの）、の３種類がある。図５では、指標として統制の種類（自動）５２０だけであるが、「統制の種類（ＩＴ依存マニュアル）」を含めるようにしてもよい。
コントロール５１０に関する指標として、統制の種類（自動）５２０、統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３、キーコントロール５４０がある。
統制の種類（自動）５２０は、本実施の形態においては必須の指標である。つまり、そのコントロールが、統制の種類（自動）５２０でなければ指標として採用しない。統制の種類としては、（１）マニュアル（人手のみでコントロールのチェックが行われるもの）、（２）ＩＴ依存マニュアル（ＩＴシステムによってコントロールのチェックが行われるが、最終的には人手によりチェックされるもの）、（３）ＩＴシステム（そのＩＴシステムのみで自動的にコントロールのチェックを行うもの）、の３種類がある。図５では、指標として統制の種類（自動）５２０だけであるが、「統制の種類（ＩＴ依存マニュアル）」を含めるようにしてもよい。
キーコントロール５４０は、文書化プロセス承認後における指標である。なお、業務統制管理者がキーコントロールか否かを定める。また、統制評価部２２２が、統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３を全体的に評価して（例えば、コントロール毎に統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３のポイントを集計する）、定めるようにしてもよい。
統制頻度５３１は、そのコントロールがどのような頻度で統制が実施されるかを示す指標である。例えば、随時、週次、月次、年次、などがある。頻度が高いほど重要度が高いコントロールであると判断される。
統制の性質（予防・発見）５３２は、そのコントロールの性質、つまり、そのコントロールが予防的なものであるか、発見的なものであるかを示す指標である。
証跡の数５３３は、そのコントロールにおいて、チェックすべき証跡（例えば請求書等の書類等）の数を示す指標である。多いほど重要度が高いコントロールであると判断される。
統制の性質（予防・発見）５３２は、そのコントロールの性質、つまり、そのコントロールが予防的なものであるか、発見的なものであるかを示す指標である。
証跡の数５３３は、そのコントロールにおいて、チェックすべき証跡（例えば請求書等の書類等）の数を示す指標である。多いほど重要度が高いコントロールであると判断される。
リスク５５０に関する指標として、リスク評価５３４、リスク分類（財務・その他）５３５、重要勘定科目５３６、アサーション５３７がある。
リスク評価５３４は、そのリスクの重要性を示す指標である。例えば、（そのリスクの頻度）×（そのリスクの影響度）等である。
リスク分類（財務・その他）５３５は、どの分野にかかわるリスクであるかを示す指標である。例えば、Ｊ−ＳＯＸでは財務にかかわるリスクであることが必要である。
重要勘定科目５３６は、統制を受けている者（会社を含む）における業務（商売）で重要視している勘定科目である。
アサーション５３７は、前述のように具体的には、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の６項目の観点で、財務リスクを網羅しているかを示す指標である。
また、承認前指標５３０としては、統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３、リスク評価５３４、リスク分類（財務・その他）５３５、重要勘定科目５３６、アサーション５３７がある。
リスク評価５３４は、そのリスクの重要性を示す指標である。例えば、（そのリスクの頻度）×（そのリスクの影響度）等である。
リスク分類（財務・その他）５３５は、どの分野にかかわるリスクであるかを示す指標である。例えば、Ｊ−ＳＯＸでは財務にかかわるリスクであることが必要である。
重要勘定科目５３６は、統制を受けている者（会社を含む）における業務（商売）で重要視している勘定科目である。
アサーション５３７は、前述のように具体的には、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の６項目の観点で、財務リスクを網羅しているかを示す指標である。
また、承認前指標５３０としては、統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３、リスク評価５３４、リスク分類（財務・その他）５３５、重要勘定科目５３６、アサーション５３７がある。
図６は、承認前におけるランキング例を示す説明図である。
図６（Ａ）に示すように、各システム（Ｓｙｓ１、Ｓｙｓ２、Ｓｙｓ３）にはコントロールが２つずつあり（Ｓｙｓ１にはＣ１とＣ２、Ｓｙｓ２にはＣ３とＣ４、Ｓｙｓ３にはＣ５とＣ６）、コントロールＣ１、Ｃ３、Ｃ４、Ｃ６は１ポイント、コントロールＣ２、Ｃ５は０ポイントであるので、これをシステム別に集計すると、Ｓｙｓ１は１ポイント、Ｓｙｓ２は２ポイント、Ｓｙｓ３は１ポイントとなる。業務統制における承認が行われる前（つまり、キーコントロール確定前）は、指標の評価、つまり統制の種類（自動）５２０、承認前指標５３０から、各コントロールのポイントを確定する。なお、各システムは、コントロールに依存するＩＴシステムである。また、ここで１ポイントとなっているコントロールは、そのコントロールに対応するリスクの指標が高く、かつ予防的統制であるものである。
これをランキング表示すると、図６（Ｂ）に示すように、統制の運用テストの対象とすべきＩＴシステムの１位がＳｙｓ２、２位がＳｙｓ１、Ｓｙｓ３という結果になる。これは、優先順位表示部２５０によって、業務統制管理者端末１０３に表示される。
図６（Ａ）に示すように、各システム（Ｓｙｓ１、Ｓｙｓ２、Ｓｙｓ３）にはコントロールが２つずつあり（Ｓｙｓ１にはＣ１とＣ２、Ｓｙｓ２にはＣ３とＣ４、Ｓｙｓ３にはＣ５とＣ６）、コントロールＣ１、Ｃ３、Ｃ４、Ｃ６は１ポイント、コントロールＣ２、Ｃ５は０ポイントであるので、これをシステム別に集計すると、Ｓｙｓ１は１ポイント、Ｓｙｓ２は２ポイント、Ｓｙｓ３は１ポイントとなる。業務統制における承認が行われる前（つまり、キーコントロール確定前）は、指標の評価、つまり統制の種類（自動）５２０、承認前指標５３０から、各コントロールのポイントを確定する。なお、各システムは、コントロールに依存するＩＴシステムである。また、ここで１ポイントとなっているコントロールは、そのコントロールに対応するリスクの指標が高く、かつ予防的統制であるものである。
これをランキング表示すると、図６（Ｂ）に示すように、統制の運用テストの対象とすべきＩＴシステムの１位がＳｙｓ２、２位がＳｙｓ１、Ｓｙｓ３という結果になる。これは、優先順位表示部２５０によって、業務統制管理者端末１０３に表示される。
図７は、承認済におけるランキング例を示す説明図である。
図７（Ａ）に示すように、各システム（Ｓｙｓ１、Ｓｙｓ２、Ｓｙｓ３）にはコントロールが２つずつあり（Ｓｙｓ１にはＣ１とＣ２、Ｓｙｓ２にはＣ３とＣ４、Ｓｙｓ３にはＣ５とＣ６）、コントロールＣ１、Ｃ３、Ｃ４、Ｃ５、Ｃ６は１ポイント、コントロールＣ２は０ポイントであるので、これをシステム別に集計すると、Ｓｙｓ１は１ポイント、Ｓｙｓ２は２ポイント、Ｓｙｓ３は２ポイントとなる。ここで１ポイントとなっているコントロールは、キーコントロールであるものである。つまり、承認後はキーコントロールであるか否かだけでポイントの集計を行っている。
これをランキング表示すると、図７（Ｂ）に示すように、統制の運用テストの対象とすべきＩＴシステムの１位がＳｙｓ２、Ｓｙｓ３、２位がＳｙｓ１という結果になる。これは、優先順位表示部２５０によって、業務統制管理者端末１０３に表示される。
なお、図６は承認前でのランキングであるが、図７は同様のシステムに対する承認後のランキングである。つまり、承認後であれば、キーコントロールをいくつ含んでいるかによってランキングを決定できるが、承認前はキーコントロールが不明であるので、それに代替できる指標（統制の種類（自動）５２０、承認前指標５３０等）を用いている。つまり、承認前であっても承認後のランキングに近づけるような指標となっている。
図７（Ａ）に示すように、各システム（Ｓｙｓ１、Ｓｙｓ２、Ｓｙｓ３）にはコントロールが２つずつあり（Ｓｙｓ１にはＣ１とＣ２、Ｓｙｓ２にはＣ３とＣ４、Ｓｙｓ３にはＣ５とＣ６）、コントロールＣ１、Ｃ３、Ｃ４、Ｃ５、Ｃ６は１ポイント、コントロールＣ２は０ポイントであるので、これをシステム別に集計すると、Ｓｙｓ１は１ポイント、Ｓｙｓ２は２ポイント、Ｓｙｓ３は２ポイントとなる。ここで１ポイントとなっているコントロールは、キーコントロールであるものである。つまり、承認後はキーコントロールであるか否かだけでポイントの集計を行っている。
これをランキング表示すると、図７（Ｂ）に示すように、統制の運用テストの対象とすべきＩＴシステムの１位がＳｙｓ２、Ｓｙｓ３、２位がＳｙｓ１という結果になる。これは、優先順位表示部２５０によって、業務統制管理者端末１０３に表示される。
なお、図６は承認前でのランキングであるが、図７は同様のシステムに対する承認後のランキングである。つまり、承認後であれば、キーコントロールをいくつ含んでいるかによってランキングを決定できるが、承認前はキーコントロールが不明であるので、それに代替できる指標（統制の種類（自動）５２０、承認前指標５３０等）を用いている。つまり、承認前であっても承認後のランキングに近づけるような指標となっている。
次に、コントロールのポイントの計算例を示す。例えば、指標としてリスク評価５３４、統制の性質（予防・発見）５３２の２つを評価の対象に選んだ場合の例を説明する。なお、指標の選択は、評価条件入力部２４０によって受け付けられたものである。
まず、１番目の計算例を説明する。対象とするコントロールの指標である統制の性質（予防・発見）５３２が予防的であって、かつリスク評価５３４の重要性が高い場合に１ポイントとし、それ以外であれば０ポイントとする。
また、２番目の計算例を説明する。リスク評価５３４の重要性として「高」、「中」、「低」の３段階、統制の性質（予防・発見）５３２として「予防的」、「発見的」の２種類があるので、これらからポイントを決定するポイント決定表８００（図８参照）を予め作成しておく。そして、統制評価部２２２は、ポイント決定表８００を用いて、コントロールの該当するポイントを抽出する。
まず、１番目の計算例を説明する。対象とするコントロールの指標である統制の性質（予防・発見）５３２が予防的であって、かつリスク評価５３４の重要性が高い場合に１ポイントとし、それ以外であれば０ポイントとする。
また、２番目の計算例を説明する。リスク評価５３４の重要性として「高」、「中」、「低」の３段階、統制の性質（予防・発見）５３２として「予防的」、「発見的」の２種類があるので、これらからポイントを決定するポイント決定表８００（図８参照）を予め作成しておく。そして、統制評価部２２２は、ポイント決定表８００を用いて、コントロールの該当するポイントを抽出する。
図９、図１５を用いて、ランキングのタイミング例を説明する。
図１５は、従来技術での統制のタイミング例を示す説明図である。なお、会計年度末１５９９までに、業務統制運用テスト１５０２を終了させる必要がある。
業務統制整備１５０１を業務統制整備開始時期１５９１に開始し、業務統制整備終了時期１５９３に終了する。同様に、業務統制運用テスト１５０２を業務統制運用テスト開始時期１５９６に開始し、業務統制運用テスト終了時期１５９７に終了する。そして、これらと平行して、別の担当者（ＩＴ全般統制管理者）によって、ＡシステムのＩＴ全般統制１５２０をＩＴ全般統制整備開始時期１５９４に開始し、ＩＴ全般統制運用テスト終了時期１５９８に終了する。また、ＢシステムのＩＴ全般統制１５１０をＩＴ全般統制整備開始時期１５９２に開始し、ＩＴ全般統制運用テスト終了時期１５９５に終了する。なお、ＡシステムのＩＴ全般統制１５２０は、ＩＴ全般統制整備１５２１とＩＴ全般統運用テスト１５２２からなり、ＢシステムのＩＴ全般統制１５１０はＩＴ全般統制整備１５１１とＩＴ全般統運用テスト１５１２からなる。
図１５は、従来技術での統制のタイミング例を示す説明図である。なお、会計年度末１５９９までに、業務統制運用テスト１５０２を終了させる必要がある。
業務統制整備１５０１を業務統制整備開始時期１５９１に開始し、業務統制整備終了時期１５９３に終了する。同様に、業務統制運用テスト１５０２を業務統制運用テスト開始時期１５９６に開始し、業務統制運用テスト終了時期１５９７に終了する。そして、これらと平行して、別の担当者（ＩＴ全般統制管理者）によって、ＡシステムのＩＴ全般統制１５２０をＩＴ全般統制整備開始時期１５９４に開始し、ＩＴ全般統制運用テスト終了時期１５９８に終了する。また、ＢシステムのＩＴ全般統制１５１０をＩＴ全般統制整備開始時期１５９２に開始し、ＩＴ全般統制運用テスト終了時期１５９５に終了する。なお、ＡシステムのＩＴ全般統制１５２０は、ＩＴ全般統制整備１５２１とＩＴ全般統運用テスト１５２２からなり、ＢシステムのＩＴ全般統制１５１０はＩＴ全般統制整備１５１１とＩＴ全般統運用テスト１５１２からなる。
このような場合、ＢシステムのＩＴ全般統制１５１０のＩＴ全般統制整備開始時期１５９２は、業務統制整備１５０１の最中（すなわち、業務統制整備終了時期１５９３である統制文書化承認の前の状態）であり、ＩＴ全般統制整備１５１１を行わなければならないので、業務統制整備１５０１からのフィードバックを受けずに、ＢシステムのＩＴ全般統制１５１０のＩＴ全般統制管理者が主観的にシステムを選択しなければならない（図１５ではＢシステムが選択された）。また、ＩＴ全般統制運用テスト終了時期１５９５は業務統制運用テスト開始時期１５９６の前であるので、業務統制運用テスト１５０２の負荷軽減には貢献できる（すなわち、ＢシステムのＩＴ全般統制１５１０の結果を業務統制運用テスト１５０２に適用できる）が、ＢシステムのＩＴ全般統制１５１０に無駄が生じる可能性が高い。つまり、ＩＴ全般統制整備開始時期１５９２の時点で、ランキングが低いシステム（図７の例ではＳｙｓ１）を選択する可能性がある。
また、ＡシステムのＩＴ全般統制１５２０のＩＴ全般統制整備開始時期１５９４は業務統制整備終了時期１５９３の後であるので、統制文書化が完了してから、確定したキーコントロールを基にして対象とするシステムを選択することができる（図１５ではＡシステムが選択された）。つまり、システム選択の無駄は少なくなる。
しかし、ＩＴ全般統制整備１５２１の終了が業務統制運用テスト１５０２の業務統制運用テスト開始時期１５９６に間に合わないことになる。すなわち、ランキングの低いシステムを選択することは無いが、業務統制運用テスト１５０２の負荷を軽減することはできない。
しかし、ＩＴ全般統制整備１５２１の終了が業務統制運用テスト１５０２の業務統制運用テスト開始時期１５９６に間に合わないことになる。すなわち、ランキングの低いシステムを選択することは無いが、業務統制運用テスト１５０２の負荷を軽減することはできない。
図９は、本実施の形態を用いた場合のランキングのタイミング例を示す説明図である。なお、会計年度末９９９までに、業務統制運用テスト９０２を終了させる必要がある。
業務統制整備９０１を業務統制整備開始時期９９１に開始し、業務統制整備終了時期９９４に終了する。同様に、業務統制運用テスト９０２を業務統制運用テスト開始時期９９７に開始し、業務統制運用テスト終了時期９９８に終了する。そして、これらと平行して、別の担当者（ＩＴ全般統制管理者）によって、システムのＩＴ全般統制９１０をＩＴ全般統制整備開始時期９９２に開始し、ＩＴ全般統制運用テスト終了時期９９６に終了する。なお、システムのＩＴ全般統制９１０は、ＩＴ全般統制整備９１１とＩＴ全般統制運用テスト９１２からなる。
業務統制整備９０１を業務統制整備開始時期９９１に開始し、業務統制整備終了時期９９４に終了する。同様に、業務統制運用テスト９０２を業務統制運用テスト開始時期９９７に開始し、業務統制運用テスト終了時期９９８に終了する。そして、これらと平行して、別の担当者（ＩＴ全般統制管理者）によって、システムのＩＴ全般統制９１０をＩＴ全般統制整備開始時期９９２に開始し、ＩＴ全般統制運用テスト終了時期９９６に終了する。なお、システムのＩＴ全般統制９１０は、ＩＴ全般統制整備９１１とＩＴ全般統制運用テスト９１２からなる。
このような場合、ＩＴ全般統制整備９１１の初期段階のＩＴシステム選択時期９９３で本実施の形態によるＩＴシステムの選択が行われる。本実施の形態は、図６（Ｂ）に示したように、ランキングは１位にＳｙｓ２ ９２１、２位にＳｙｓ１ ９２２、Ｓｙｓ３ ９２３を表示する。ここで、ＩＴ全般統制管理者は１位のＳｙｓ２ ９２１を選択してシステムのＩＴ全般統制９１０を行うように指示する。
そして、業務統制整備９０１が終了した後（つまり、キーコントロールが確定した後）の期中見直し時期９９５に、本実施の形態による期中見直し９３０を行う。この時点では、図７（Ｂ）に示したように、ランキングは１位にＳｙｓ２ ９３１、Ｓｙｓ３ ９３２、２位にＳｙｓ１ ９３３となっている。この時点で、ＩＴ全般統制管理者は１位のＳｙｓ３ ９３２を、ＩＴ全般統制整備９１１の対象として追加するようにしてもよい。
そして、業務統制整備９０１が終了した後（つまり、キーコントロールが確定した後）の期中見直し時期９９５に、本実施の形態による期中見直し９３０を行う。この時点では、図７（Ｂ）に示したように、ランキングは１位にＳｙｓ２ ９３１、Ｓｙｓ３ ９３２、２位にＳｙｓ１ ９３３となっている。この時点で、ＩＴ全般統制管理者は１位のＳｙｓ３ ９３２を、ＩＴ全般統制整備９１１の対象として追加するようにしてもよい。
そして、システムのＩＴ全般統制９１０のＩＴ全般統制運用テスト終了時期９９６は、業務統制運用テスト９０２の業務統制運用テスト開始時期９９７よりも前であるので、業務統制運用テスト９０２においては、ＩＴ全般統制運用テスト９１２の結果を用いることができる。つまり、ＩＴシステム選択時９２０での１位であるＳｙｓ２ ９２１だけを選択した場合は、図１０に示すようにコントロールＣ３とＣ４の簡略化が可能である。また、期中見直し９３０によってＳｙｓ３ ９３２を追加した場合は、図１０に示すようにコントロールＣ３、Ｃ４、Ｃ５、Ｃ６の簡略化が可能である。つまり、ＩＴシステム選択時に上位２システム、つまり、Ｓｙｓ２とＳｙｓ１の組み合わせ、又はＳｙｓ２とＳｙｓ３の組み合わせのいずれか一方を選択し、期中見直し９３０を行わなかった場合は、コントロールＣ１、Ｃ３、Ｃ４、又はＣ１、Ｃ５、Ｃ６のいずれか一方が簡略化できるだけであるが、ランキングに応じた期中見直しを行えば、それ以上の簡略化が可能となる。
図１１は、ランキング画面１１００の表示例を示す説明図である。優先順位表示部２５０が、ＩＴ全般統制管理者端末１０４の出力部に表示するものである。ＩＴ全般統制管理者端末１０４の操作者であるＩＴ全般統制管理者は、統制の対象として順位の高いものを選択する。
ランキング画面１１００は、ランキング表１１１０、未承認プロセスを除外チェック欄１１２０、更新ボタン１１３０、ダウンロードボタン１１４０を有している。そして、ランキング表１１１０は、順位欄１１１１、システム名欄１１１２、承認／プロセス欄１１１３、Ｋｅｙ／Ｃｔｒｌ数欄１１１４、ＩＴ全般統制対象欄１１１５を有している。
順位欄１１１１とシステム名欄１１１２は、ＩＴシステム順位集計部２２３によって集計されたポイントにしたがって対応するＩＴシステムの優先順位を表示するものである。
ランキング画面１１００は、ランキング表１１１０、未承認プロセスを除外チェック欄１１２０、更新ボタン１１３０、ダウンロードボタン１１４０を有している。そして、ランキング表１１１０は、順位欄１１１１、システム名欄１１１２、承認／プロセス欄１１１３、Ｋｅｙ／Ｃｔｒｌ数欄１１１４、ＩＴ全般統制対象欄１１１５を有している。
順位欄１１１１とシステム名欄１１１２は、ＩＴシステム順位集計部２２３によって集計されたポイントにしたがって対応するＩＴシステムの優先順位を表示するものである。
承認／プロセス欄１１１３は、承認済みの数とそのＩＴシステムが関与している全てのプロセスの数の比を表示するものである。
Ｋｅｙ／Ｃｔｒｌ数欄１１１４は、そのＩＴシステムが関与している統制におけるキーコントロールとコントロールの比を表示するものである。
ＩＴ全般統制対象欄１１１５は、操作者によってＩＴ全般統制の対象とすべきものが選択される欄である。
未承認プロセスを除外チェック欄１１２０が操作者の操作によって選択された場合に、未承認プロセスを除外して承認／プロセス欄１１１３、Ｋｅｙ／Ｃｔｒｌ数欄１１１４、ＩＴ全般統制対象欄１１１５を表示する。
更新ボタン１１３０が操作者の操作によって選択された場合に、現時点での順位を表示し直す。
ダウンロードボタン１１４０が操作者の操作によって選択された場合に、ランキング表１１１０の内容を帳票の形式（図１２参照）でＩＴ全般統制管理者端末１０４にダウンロードする。
承認／プロセス欄１１１３、Ｋｅｙ／Ｃｔｒｌ数欄１１１４、ＩＴ全般統制対象欄１１１５に表示するデータは、優先順位表示部２５０が業務統制情報取得部２２１、統制評価部２２２、ＩＴシステム順位集計部２２３から受け取る。
Ｋｅｙ／Ｃｔｒｌ数欄１１１４は、そのＩＴシステムが関与している統制におけるキーコントロールとコントロールの比を表示するものである。
ＩＴ全般統制対象欄１１１５は、操作者によってＩＴ全般統制の対象とすべきものが選択される欄である。
未承認プロセスを除外チェック欄１１２０が操作者の操作によって選択された場合に、未承認プロセスを除外して承認／プロセス欄１１１３、Ｋｅｙ／Ｃｔｒｌ数欄１１１４、ＩＴ全般統制対象欄１１１５を表示する。
更新ボタン１１３０が操作者の操作によって選択された場合に、現時点での順位を表示し直す。
ダウンロードボタン１１４０が操作者の操作によって選択された場合に、ランキング表１１１０の内容を帳票の形式（図１２参照）でＩＴ全般統制管理者端末１０４にダウンロードする。
承認／プロセス欄１１１３、Ｋｅｙ／Ｃｔｒｌ数欄１１１４、ＩＴ全般統制対象欄１１１５に表示するデータは、優先順位表示部２５０が業務統制情報取得部２２１、統制評価部２２２、ＩＴシステム順位集計部２２３から受け取る。
図１２は、帳票１２００の例を示す説明図である。図１２は、図１１に示したダウンロードボタン１１４０が選択された場合に、ダウンロードされる帳票１２００の内容を示している。
帳票１２００は、順位欄１２０１、システム名欄１２０２、承認欄１２０３、プロセス名欄１２０４、Ｋｅｙ欄１２０５、コントロール１２０６を有している。
順位欄１２０１、システム名欄１２０２は、図１１に示したランキング表１１１０の順位欄１１１１、システム名欄１１１２と同様である。
承認欄１２０３は、プロセス名欄１２０４に表示しているプロセス毎に承認されているか否かを表示する。
プロセス名欄１２０４は、そのＩＴシステム内のプロセスを表示する。
Ｋｅｙ欄１２０５は、コントロール１２０６に表示しているコントロール毎にそのコントロールがキーコントロールであるか否かを表示する。
コントロール１２０６は、コントロールの内容を表示する。
帳票１２００は、順位欄１２０１、システム名欄１２０２、承認欄１２０３、プロセス名欄１２０４、Ｋｅｙ欄１２０５、コントロール１２０６を有している。
順位欄１２０１、システム名欄１２０２は、図１１に示したランキング表１１１０の順位欄１１１１、システム名欄１１１２と同様である。
承認欄１２０３は、プロセス名欄１２０４に表示しているプロセス毎に承認されているか否かを表示する。
プロセス名欄１２０４は、そのＩＴシステム内のプロセスを表示する。
Ｋｅｙ欄１２０５は、コントロール１２０６に表示しているコントロール毎にそのコントロールがキーコントロールであるか否かを表示する。
コントロール１２０６は、コントロールの内容を表示する。
図１３は、設定画面１３００の表示例を示す説明図である。評価条件入力部２４０が、ＩＴ全般統制管理者端末１０４の出力部に表示するものである。ＩＴ全般統制管理者端末１０４の操作者であるＩＴ全般統制管理者は、統制の対象を選択するための評価条件として指標を入力する。
設定画面１３００は、設定項目表１３１０、ＯＫボタン１３２０、キャンセルボタン１３３０を有している。
設定項目表１３１０は、項目欄１３１１、設定値欄１３１２を有している。
設定画面１３００は、設定項目表１３１０、ＯＫボタン１３２０、キャンセルボタン１３３０を有している。
設定項目表１３１０は、項目欄１３１１、設定値欄１３１２を有している。
項目欄１３１１は、指標を表示する。設定値欄１３１２は、その指標に対応する設定値を表示する。
図１３に示した例では、項目欄１３１１に表示するものは、「統制の種類（ＩＴ依存マニュアル）」、「プロセス承認前コントロール指標」、「プロセス承認前リスク指標」、「承認前キーコントロール」の４つがある。「統制の種類（ＩＴ依存マニュアル）」の他に前述したように「統制の種類（ＩＴシステム）」（図５の統制の種類（自動）５２０参照）を含めてもよい。また、「プロセス承認前コントロール指標」は、設定値欄１３１２に図５で示した統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３を表示し、操作者によって選択される。「プロセス承認前リスク指標」は、設定値欄１３１２に図５で示したリスク評価５３４、リスク分類（財務・その他）５３５、重要勘定科目５３６、アサーション５３７を表示し、操作者によって選択される。「承認前キーコントロール」は、設定値欄１３１２に「含む」、「含まない」を表示し、操作者によって選択される。
図１３に示した例では、項目欄１３１１に表示するものは、「統制の種類（ＩＴ依存マニュアル）」、「プロセス承認前コントロール指標」、「プロセス承認前リスク指標」、「承認前キーコントロール」の４つがある。「統制の種類（ＩＴ依存マニュアル）」の他に前述したように「統制の種類（ＩＴシステム）」（図５の統制の種類（自動）５２０参照）を含めてもよい。また、「プロセス承認前コントロール指標」は、設定値欄１３１２に図５で示した統制頻度５３１、統制の性質（予防・発見）５３２、証跡の数５３３を表示し、操作者によって選択される。「プロセス承認前リスク指標」は、設定値欄１３１２に図５で示したリスク評価５３４、リスク分類（財務・その他）５３５、重要勘定科目５３６、アサーション５３７を表示し、操作者によって選択される。「承認前キーコントロール」は、設定値欄１３１２に「含む」、「含まない」を表示し、操作者によって選択される。
ＯＫボタン１３２０が操作者によって選択されると、評価条件入力部２４０は設定項目表１３１０の状態を評価条件保存部２３０に記憶させる。また、キャンセルボタン１３３０が同様に選択されると、設定項目表１３１０の状態を初期化する。
なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図１４に例示するように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバーとなり得るコンピュータ等である。業務統制情報取得部２２１、統制評価部２２２、ＩＴシステム順位集計部２２３等のプログラムを実行するＣＰＵ１４０１と、そのプログラムやデータを記憶するＲＡＭ１４０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ１４０３と、補助記憶装置であるＨＤ１４０４（例えばハードディスクを用いることができる）と、キーボード、マウス等のデータを入力する入力装置１４０６と、ＣＲＴや液晶ディスプレイ等の出力装置１４０５と、通信ネットワークと接続するための通信回線インタフェース１４０７（例えばネットワークインタフェースカードを用いることができる）、そして、それらをつないでデータのやりとりをするためのバス１４０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図１４に示すハードウェア構成は、一つの構成例を示すものであり、本実施の形態は、図１４に示す構成に限らず、本実施の形態において説明した構成部を実行可能な構成であればよい。例えば、一部の構成部を専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部の構成部は外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図１４に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
なお、図１４に示すハードウェア構成は、一つの構成例を示すものであり、本実施の形態は、図１４に示す構成に限らず、本実施の形態において説明した構成部を実行可能な構成であればよい。例えば、一部の構成部を専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部の構成部は外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図１４に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
前記実施の形態においては、本実施の形態の利用時期として、ＩＴシステムの統制における初期選択時期、期中見直し時期を示したが、翌年の整備計画時期等としてもよい。また、業務統制情報取得部２２１が、業務統制支援システム２６０の業務統制進捗データ２６２から業務統制の進捗状況に関する情報を取得し、取得した進捗状況及び本実施の形態の実施時期に応じて、統制評価部２２２が指標を異ならせて評価するようにしてもよい。つまり、全般統制の進捗状況及びＩＴシステムの統制の実施時期に応じて、統制を行うべきＩＴシステムの優先順位を決定するようにしてもよい。
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組合せ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して
記録されていてもよい。また、圧縮や暗号化など、復元可能であればどのような態様で記録されていてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組合せ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して
記録されていてもよい。また、圧縮や暗号化など、復元可能であればどのような態様で記録されていてもよい。
１０１…業務統制支援サーバー
１０２…ＩＴ全般統制支援サーバー
１０３…業務統制管理者端末
１０４…ＩＴ全般統制管理者端末
１０５…業務統制文書化作業者端末
１０６…ＩＴ全般統制文書化作業者端末
１９９…ＬＡＮ／ＷＡＮ
２１０…ＩＴ全般統制支援システム
２２０…優先順位評価部
２２１…業務統制情報取得部
２２２…統制評価部
２２３…ＩＴシステム順位集計部
２３０…評価条件保存部
２４０…評価条件入力部
２５０…優先順位表示部
２６０…業務統制支援システム
２６１…ＩＴシステムデータ
２６２…業務統制進捗データ
２６３…業務統制文書データ
４１０…ＩＴ全般統制支援システム
４１１…ＩＴ基盤
４１２…ＩＴシステム
４２０…業務統制支援システム
４２１…ＩＴシステム
４２２…コントロール制御部
４２３…リスク制御部
４２４…リスクコントロールマトリックス制御部
１０２…ＩＴ全般統制支援サーバー
１０３…業務統制管理者端末
１０４…ＩＴ全般統制管理者端末
１０５…業務統制文書化作業者端末
１０６…ＩＴ全般統制文書化作業者端末
１９９…ＬＡＮ／ＷＡＮ
２１０…ＩＴ全般統制支援システム
２２０…優先順位評価部
２２１…業務統制情報取得部
２２２…統制評価部
２２３…ＩＴシステム順位集計部
２３０…評価条件保存部
２４０…評価条件入力部
２５０…優先順位表示部
２６０…業務統制支援システム
２６１…ＩＴシステムデータ
２６２…業務統制進捗データ
２６３…業務統制文書データ
４１０…ＩＴ全般統制支援システム
４１１…ＩＴ基盤
４１２…ＩＴシステム
４２０…業務統制支援システム
４２１…ＩＴシステム
４２２…コントロール制御部
４２３…リスク制御部
４２４…リスクコントロールマトリックス制御部
Claims (5)
- 統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得するコントロール・リスク取得手段と、
前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価する評価手段と、
前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う集計手段
を具備することを特徴とする統制処理システム。 - 前記業務統制における承認が行われたか否かを判断する判断手段
をさらに具備し、
前記評価手段は、前記判断手段によって承認が行われたと判断された場合は、前記コントロール・リスク取得手段によって取得されたコントロール内のキーコントロールに基づいて、前記業務統制の承認後における指標を評価する
ことを特徴とする請求項１に記載の統制処理システム。 - 前記評価手段が評価する指標として、コントロール及びリスクに関する指標を含む
ことを特徴とする請求項１に記載の統制処理システム。 - 前記評価手段が評価するコントロールに関する指標として、統制頻度、統制の性質、証跡の数のいずれか一つ以上を含み、リスクに関する指標として、リスク評価、リスク分類、重要勘定科目、アサーションのいずれか一つ以上を含む
ことを特徴とする請求項３に記載の統制処理システム。 - コンピュータを、
統制の対象である情報処理システムに関連する業務統制に対するコントロール及び該コントロールに対応するリスクを取得するコントロール・リスク取得手段と、
前記コントロール・リスク取得手段によって取得されたコントロール及びリスクに基づいて、前記業務統制の承認前における指標を評価する評価手段と、
前記評価手段によって評価された指標に重み付けを行って、前記情報処理システムの統制を実行するにあたっての優先順位を決定するための集計を行う集計手段
として機能させることを特徴とする統制処理プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007329809A JP5088125B2 (ja) | 2007-12-21 | 2007-12-21 | 統制処理システム及び統制処理プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007329809A JP5088125B2 (ja) | 2007-12-21 | 2007-12-21 | 統制処理システム及び統制処理プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2009151614A true JP2009151614A (ja) | 2009-07-09 |
| JP5088125B2 JP5088125B2 (ja) | 2012-12-05 |
Family
ID=40920691
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007329809A Expired - Fee Related JP5088125B2 (ja) | 2007-12-21 | 2007-12-21 | 統制処理システム及び統制処理プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5088125B2 (ja) |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001250023A (ja) * | 1999-12-30 | 2001-09-14 | Ge Financial Assurance Holdings Inc | コンプライアンス管理システム及びその方法 |
| JP2003196435A (ja) * | 2001-12-25 | 2003-07-11 | Hitachi Information Systems Ltd | 業務フロー作成支援方法及びそのシステム |
| JP2003256633A (ja) * | 2002-03-05 | 2003-09-12 | Hitachi Ltd | 業務フローデータ検証方法、検証プログラム及び検証システム |
| JP2006110978A (ja) * | 2004-12-21 | 2006-04-27 | Dainippon Printing Co Ltd | 統合アセスメント・コントロール表 |
| JP2007183807A (ja) * | 2006-01-06 | 2007-07-19 | Hitachi Ltd | 業務プロセス評価システム |
| JP2007287132A (ja) * | 2006-04-19 | 2007-11-01 | Metarisk Inc | 情報技術危険管理システム及びその方法 |
-
2007
- 2007-12-21 JP JP2007329809A patent/JP5088125B2/ja not_active Expired - Fee Related
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001250023A (ja) * | 1999-12-30 | 2001-09-14 | Ge Financial Assurance Holdings Inc | コンプライアンス管理システム及びその方法 |
| JP2003196435A (ja) * | 2001-12-25 | 2003-07-11 | Hitachi Information Systems Ltd | 業務フロー作成支援方法及びそのシステム |
| JP2003256633A (ja) * | 2002-03-05 | 2003-09-12 | Hitachi Ltd | 業務フローデータ検証方法、検証プログラム及び検証システム |
| JP2006110978A (ja) * | 2004-12-21 | 2006-04-27 | Dainippon Printing Co Ltd | 統合アセスメント・コントロール表 |
| JP2007183807A (ja) * | 2006-01-06 | 2007-07-19 | Hitachi Ltd | 業務プロセス評価システム |
| JP2007287132A (ja) * | 2006-04-19 | 2007-11-01 | Metarisk Inc | 情報技術危険管理システム及びその方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP5088125B2 (ja) | 2012-12-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5218068B2 (ja) | 情報処理装置及び情報処理プログラム | |
| KR101560259B1 (ko) | 정보보호 관리체계의 범용 법규/규칙 수용이 가능한 통제항목 및 준수 관리시스템 | |
| Mc Caffery et al. | Risk management capability model for the development of medical device software | |
| Maxim et al. | An introduction to modern software quality assurance | |
| JP2006235872A (ja) | プロジェクト管理装置 | |
| JP4983028B2 (ja) | 財務統制支援プログラムおよび財務統制支援システム | |
| JP5195108B2 (ja) | 情報処理装置及び情報処理プログラム | |
| JP5088125B2 (ja) | 統制処理システム及び統制処理プログラム | |
| JP2011232874A (ja) | 情報セキュリティ管理支援方法及び装置 | |
| JP5751376B1 (ja) | 情報処理装置及び情報処理プログラム | |
| JP5157309B2 (ja) | 情報処理システム及び情報処理プログラム | |
| Nichols et al. | DoD developer’s guidebook for software assurance | |
| JP2011028350A (ja) | 情報処理装置及び情報処理プログラム | |
| JP2008052347A (ja) | 文書処理装置および文書処理プログラム | |
| JP5787017B1 (ja) | 情報処理装置及び情報処理プログラム | |
| JP2010287009A (ja) | 情報処理装置及び情報処理プログラム | |
| Marchetti | Sarbanes-Oxley ongoing compliance guide: Key processes and summary checklists | |
| JP2008234503A (ja) | 情報処理システム及び情報処理プログラム | |
| JP2010113389A (ja) | 情報処理装置及び情報処理プログラム | |
| JP2009169641A (ja) | 情報処理装置及び情報処理プログラム | |
| JP5664816B1 (ja) | 情報処理装置及び情報処理プログラム | |
| JP2009042865A (ja) | 情報処理装置、情報処理プログラム及び情報処理システム | |
| JP5397111B2 (ja) | 情報処理システム | |
| JP2010044705A (ja) | 情報処理装置及び情報処理プログラム | |
| JP2008234504A (ja) | 情報処理システム及び情報処理プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20101124 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20120517 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20120703 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120726 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120814 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120827 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150921 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |