JP5751376B1 - 情報処理装置及び情報処理プログラム - Google Patents

Abstract

【課題】第１の組織におけるコントロールの実施によって第１の組織の不備が発見された場合に、そのコントロールに対応するリスクと同等のリスクを有する第２の組織に、第１の組織のコントロールを、第２の組織において実施させるようにした情報処理装置を提供する。【解決手段】情報処理装置の指示手段は、第１の組織におけるコントロールの実施によって前記第１の組織の不備が発見された場合に、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２の組織に前記第１の組織におけるコントロールを実施させるように指示する。【選択図】図１

Description

本発明は、情報処理装置及び情報処理プログラムに関する。

特許文献１には、法人などの組織内部で行われる内部監査に使用されるチェックリストにおけるチェック項目やその内容を再検討し、より適切な内部監査に役立つチェック項目・内容にチェックリストを成熟させていくシステムを提供することを課題とし、演算処理部、情報取得部、情報出力部、データベース等から構成され、複数の各被監査箇所から取得した回答情報における複数のチェック項目からなるチェックリスト中の各チェック項目についてコメントが記載されている数に対する、監査担当者から取得した各チェック項目に対する有効評価の数の割合を有効割合として算出し、有効割合が各チェック項目について予め定められている最低チェック項目有効割合に達していないチェック項目をチェックリストのチェック項目から削除し、当該削除されたチェック項目以外の複数のチェック項目からなる新たなチェックリストを作成することが開示されている。

特許文献２には、複数の企業間で、各企業個別の情報は漏洩することなく、各企業個別の情報から得られる基準となる情報は共有することを課題とし、情報処理システムは、共通記憶領域と、各企業に対して割り当てられる、アクセスが各企業のユーザ端末に制限された個別記憶領域と、を提供する複数のデータベースサーバを有し、情報処理システムは、各企業の個別記憶領域内に格納され、各部門のポイントを保持する部門ポイント記憶手段と、各個別記憶領域を保持するデータベースサーバを検索する検索手段と、各企業について、各個別記憶領域内の部門ポイント記憶手段に保持される各部門のポイントから企業ポイントを算出し、各企業の個別記憶領域に格納する企業ポイント算出手段と、各企業の企業ポイントから情報処理システムにおける基準ポイントを算出し、基準ポイントを共通記憶領域に格納する基準ポイント算出手段と、を備えることが開示されている。

特開２００６−２８５３６０号公報 特開２０１３−０８０２９９号公報

先行技術においては、組織ごとに内部監査のチェックリストを作成して、そのチェックリストを使用することが行われている。一方で、複数の組織間で、各組織個別の情報から得られる基準となる情報を共有可能としている。
しかし、ある組織におけるコントロールの実施によって組織の不備が発見された場合に、そのコントロールに対応するリスクと同等のリスクを有する他の組織で、コントロールを実施させることはできなかった。
そこで、本発明は、第１の組織におけるコントロールの実施によって第１の組織の不備が発見された場合に、そのコントロールに対応するリスクと同等のリスクを有する第２の組織に、第１の組織のコントロールを、第２の組織において実施させるようにした情報処理装置及び情報処理プログラムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、第１組織のコントロールに合致する前記第１組織の業務を検知する検知手段と、前記検知手段が前記業務を検知した場合、リスクとコントロールを対応させて記憶している記憶手段を用いて、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２組織を抽出する抽出手段と、前記第２組織のコントロールを前記第１組織のコントロールに変更する変更手段を具備することを特徴とする情報処理装置である。

請求項２の発明は、前記変更手段は、前記第１組織におけるコントロールが前記第２組織で採用しているコントロールよりも厳格だった場合、前記第２組織のコントロールを前記第１組織におけるコントロールに変更することを特徴とする請求項１に記載の情報処理装置である。

請求項３の発明は、前記第１組織におけるコントロールを前記第２組織で実施できない場合、前記コントロールの内容を通知する通知手段をさらに具備することを特徴とする請求項１または２に記載の情報処理装置である。

請求項４の発明は、前記第１組織におけるコントロールを少なくとも前記第１組織以外の組織に公開する公開手段をさらに具備することを特徴とする請求項１から３のいずれか一項に記載の情報処理装置である。

請求項５の発明は、前記第２組織に前記第１組織におけるコントロールを実施させた場合と前記第２組織に前記第２組織における従来のコントロールを実施させた場合との比較結果を報告する報告手段をさらに具備することを特徴とする請求項１から４のいずれか一項に記載の情報処理装置である。

請求項６の発明は、コンピュータを、第１組織のコントロールに合致する前記第１組織の業務を検知する検知手段と、前記検知手段が前記業務を検知した場合、リスクとコントロールを対応させて記憶している記憶手段を用いて、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２組織を抽出する抽出手段と、前記第２組織のコントロールを前記第１組織のコントロールに変更する変更手段として機能させるための情報処理プログラムである。

請求項１の情報処理装置によれば、前記検知手段が前記業務を検知した場合、リスクとコントロールを対応させて記憶している記憶手段を用いて、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２組織を抽出することができる。

請求項２の情報処理装置によれば、第１組織におけるコントロールが第２組織で採用しているコントロールよりも厳格だった場合、第２組織のコントロールを前記第１組織におけるコントロールに変更することができる。

請求項３の情報処理装置によれば、第１組織におけるコントロールを第２組織で実施できない場合、そのコントロールの内容を通知することができる。

請求項４の情報処理装置によれば、不備が発見されたコントロールを少なくとも第１組織以外の組織に公開することができる。

請求項５の情報処理装置によれば、第２組織に第１組織におけるコントロールを実施させた場合と第２組織に第２組織における従来のコントロールを実施させた場合との比較結果を報告することができる。

請求項６の情報処理プログラムによれば、前記検知手段が前記業務を検知した場合、リスクとコントロールを対応させて記憶している記憶手段を用いて、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２組織を抽出することができる。

本実施の形態の構成例についての概念的なモジュール構成図である。 本実施の形態を実現する場合のシステム構成例を示す説明図である。 本実施の形態を実現する場合のシステム構成例を示す説明図である。 本実施の形態による処理例を示すフローチャートである。 本実施の形態による処理例を示すフローチャートである。 対象コントロール・代替コントロール対応テーブルのデータ構造例を示す説明図である。 本実施の形態による処理例を示すフローチャートである。 コントロール・厳しさ度対応テーブルのデータ構造例を示す説明図である。 本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。

以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、それらのモジュールとして機能させるためのコンピュータ・プログラム（コンピュータにそれぞれの手順を実行させるためのプログラム、コンピュータをそれぞれの手段として機能させるためのプログラム、コンピュータにそれぞれの機能を実現させるためのプログラム）、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、モジュールは機能に一対一に対応していてもよいが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）の場合にも用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態に応じて、又はそれまでの状況・状態に応じて定まることの意を含めて用いる。「予め定められた値」が複数ある場合は、それぞれ異なった値であってもよいし、２以上の値（もちろんのことながら、全ての値も含む）が同じであってもよい。また、「Ａである場合、Ｂをする」という意味を有する記載は、「Ａであるか否かを判断し、Ａであると判断した場合はＢをする」の意味で用いる。ただし、Ａであるか否かの判断が不要である場合を除く。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。もちろんのことながら、「システム」には、人為的な取り決めである社会的な「仕組み」（社会システム）にすぎないものは含まない。
また、各モジュールによる処理毎に又はモジュール内で複数の処理を行う場合はその処理毎に、対象となる情報を記憶装置から読み込み、その処理を行った後に、処理結果を記憶装置に書き出すものである。したがって、処理前の記憶装置からの読み込み、処理後の記憶装置への書き出しについては、説明を省略する場合がある。なお、ここでの記憶装置としては、ハードディスク、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、外部記憶媒体、通信回線を介した記憶装置、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）内のレジスタ等を含んでいてもよい。

本実施の形態は、ＩＳＯ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ、国際標準化機構、具体的には、ＩＳＯ２７００１等）、ＩＳＭＳ（Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ、情報セキュリティマネジメントシステム）等で定められた評価において、組織で発生し得るリスクに適したコントロールを割り与えるものである。
内部統制を行うためには、基本文書として、ＲＣＭ（リスク・コントロール・マトリックス）等を作成する必要がある。ＲＣＭとは、組織における業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、評価、権利と義務、期間／配分、表示の６項目が一般的には使用されるが、各社また監査法人により一部変更があるため、カスタマイズされ得る。リスクとは、組織目標の達成を阻害する要因のことをいい、具体的には、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。コントロールとは、リスクを軽減するための内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。組織とは、内部統制を適用する対象であって、例えば、企業、会社、部門等があり、以下、会社を例示して説明する。また、サンプリング（数）とは、コントロールの評価（運用テスト、以下、単にテストともいう）で用いられる用語で、一部の項目に対する検証から得た結果をもって全体の特性を評価する手続きをいう。母集団とは、サンプリングのテスト対象を無作為抽出法で抽出する元となる全体のことを指す。証跡とは、証拠となるような痕跡をいう。

本実施の形態である監査システム１００は、内部統制としての監査を実施するものであって、図１の例に示すように、監査システム管理者端末１０５、情報処理装置１１０を有している。情報処理装置１１０は、臨時監査対象判定モジュール１１５、監査実施モジュール１２０、監査結果報告モジュール１２５、監査方法管理モジュール１３０、監査スケジュール管理モジュール１３５、監査結果ＤＢ１４０を有している。
監査システム１００は、通信回線を介して接続されているＡ社業務システム１７０Ａ、Ｂ社業務システム１７０Ｂから使用されるものである。監査システム１００は、例えば、不備発見を契機とする臨時監査機能を持つ監査サービスを行う。つまり、ある組織でコントロールの実施によって組織の不備を発見した場合、その組織で実施していたコントロールを他の会社に適用するという臨時監査を実施するものである。
対象とする組織として、Ａ社、Ｂ社等の例を用いて説明するが、監査が行われる主体であればよく、会社以外の組織であってもよい。例えば、会社内の部門等であってもよい。また、Ａ社、Ｂ社は、関連会社等の関係を有していてもよいし、独立した組織であって、互いに関係がないものであってもよい。

Ａ社業務システム１７０Ａは、Ａ社業務プロセス管理者端末１７５Ａ、Ａ社統制責任者端末１８０Ａ、Ａ社証跡登録者端末１８５Ａ、Ａ社業務プロセスＤＢ１９０Ａ、Ａ社証跡ＤＢ１９５Ａを有している。Ｂ社業務システム１７０Ｂは、Ｂ社業務プロセス管理者端末１７５Ｂ、Ｂ社統制責任者端末１８０Ｂ、Ｂ社証跡登録者端末１８５Ｂ、Ｂ社業務プロセスＤＢ１９０Ｂ、Ｂ社証跡ＤＢ１９５Ｂを有している。Ａ社業務システム１７０ＡとＢ社業務システム１７０Ｂは、同等のシステム構成であるが、完全同一である必要はなく、監査システム１００との関係において同等の機能を有していればよい。
業務プロセスＤＢ１９０は、業務プロセス管理者端末１７５、統制責任者端末１８０、証跡ＤＢ１９５、監査システム管理者端末１０５、情報処理装置１１０の臨時監査対象判定モジュール１１５、監査実施モジュール１２０、監査方法管理モジュール１３０と接続されている。業務プロセスＤＢ１９０には、業務を実行するプロセス、そのプロセスに生じるリスク、リスクの顕在化を防ぐためのコントロールの情報が保持されている。また、そのプロセスの実行者や承認者、コントロールの実行者や承認者の情報も保持されていてもよい。
業務プロセス管理者端末１７５は、業務プロセスＤＢ１９０と接続されている。業務プロセス管理者端末１７５は、業務プロセスＤＢ１９０中のデータの登録、編集、削除の権限を持つ業務プロセス管理者が、これらの操作を行うための端末である。

証跡ＤＢ１９５は、統制責任者端末１８０、証跡登録者端末１８５、業務プロセスＤＢ１９０、情報処理装置１１０の監査実施モジュール１２０と接続されている。証跡ＤＢ１９５には、コントロールを実行した証跡が保持されている。
証跡登録者端末１８５は、証跡ＤＢ１９５と接続されている。証跡登録者端末１８５は、証跡ＤＢ１９５に証跡を登録する権限を持つ証跡登録者が、登録操作を行うための端末である。
統制責任者端末１８０は、業務プロセスＤＢ１９０、証跡ＤＢ１９５、情報処理装置１１０の監査結果報告モジュール１２５と接続されている。統制責任者端末１８０は、業務プロセスの統制責任者の端末である。業務プロセスＤＢ１９０と証跡ＤＢ１９５が保持する情報を表示することで、統制の状況を確認できる。また、後述する監査システム１００から送られてくる報告を表示することができる。

監査スケジュール管理モジュール１３５は、監査システム管理者端末１０５、臨時監査対象判定モジュール１１５、監査実施モジュール１２０と接続されている。監査スケジュール管理モジュール１３５は、各社の監査スケジュールを保持し、これに応じて、後述する監査実施モジュール１２０に監査を実施させる機能を持つ。
通常監査のスケジュールは、後述する監査システム管理者端末１０５を介して、監査システム管理者の操作に応じて、登録、編集、削除等が行われる。また、臨時監査のスケジュールは、後述する臨時監査対象判定モジュール１１５によって登録される。
本機能では、１件の監査スケジュールは次の属性を１組として表現される。
・スケジュールＩＤは、監査システム１００内で監査スケジュールを一意に区別するためのデータである。
・対象会社は、監査対象とする会社を示すデータである。
・開始日時は、監査を開始する日時データである。
・終了日時は、監査が終了した日時データである。
・実施状態は、監査の実施の状態を示す。「開始前」、「実施中」、「実施済」のいずれかを示す値である。
・監査種別は、監査の種別を示す。「通常」、「臨時」のいずれかを示す値である。
・対象コントロールは、監査の対象となるコントロールを示すデータである。本実施の形態では、単値（つまり、１つの監査スケジュールで監査するコントロールは１つ）である。
・代替コントロールは、監査種別が「臨時」のときに設定される。対象コントロールを入れ替えるコントロールを示すデータである。本実施の形態では、単値（つまり、１つの監査スケジュールで監査するコントロールは１つ）である。
・監査方法は、コントロールに対する監査方法を示すデータである。後述する監査方法管理モジュール１３０が管理する監査方法ＩＤが属性値として設定される。

監査方法管理モジュール１３０は、監査システム管理者端末１０５、監査実施モジュール１２０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂと接続されている。監査方法管理モジュール１３０は、コントロールに対して、証跡を利用してどのように監査を行うかを管理する機能を持つ。監査方法の登録、編集、削除等は、後述する監査システム管理者端末１０５を介して、監査システム管理者の操作に応じて行う。

監査実施モジュール１２０は、監査システム管理者端末１０５、臨時監査対象判定モジュール１１５、監査結果報告モジュール１２５、監査方法管理モジュール１３０、監査スケジュール管理モジュール１３５、監査結果ＤＢ１４０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ａ社証跡ＤＢ１９５Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂ、Ｂ社証跡ＤＢ１９５Ｂと接続されている。監査実施モジュール１２０は、Ａ社業務システム１７０Ａからの送信されてきた情報から、Ａ社におけるコントロールの実施によってＡ社の不備を発見したことを検知する。そして、監査実施モジュール１２０は、不備の発見を検知した際、Ｂ社がＡ社のコントロールに対応するリスクと同等のリスクを有し、Ｂ社の該リスクに対応するコントロールが、Ａ社のコントロールと同等でない場合に、Ｂ社に、Ａ社のコントロールを、Ｂ社において実施させるように、Ｂ社業務システム１７０Ｂに対して指示する。Ｂ社において、別の観点から臨時の監査が実施され、Ｂ社では今まで気づいていなかった可能性がある問題点を見つけることとなる。
また、「同等のリスク」とは、もちろんのことながら完全同一のリスクを含み、類似するリスクを含む。類似するリスクか否かは、類似するリスク同士を定義したテーブルを予め用意しておき、それを利用して判断してもよい。「同等コントロール」とは、もちろんのことながら完全同一のコントロールを含み、類似するコントロールを含む。類似するコントロールか否かは、類似するコントロール同士を定義したテーブルを予め用意しておき、それを利用して判断してもよい。
また、監査実施モジュール１２０は、Ａ社におけるリスクに対応するコントロールがＢ社における前記リスクに対応するコントロールよりも厳格だった場合、Ａ社のコントロールをＢ社において実施させるように、Ｂ社業務システム１７０Ｂに対して指示するようにしてもよい。
具体的に説明する。
監査実施モジュール１２０は、監査スケジュール管理モジュール１３５中の１つの監査スケジュールに応じて、各社の業務プロセス情報と証跡情報と、監査方法管理モジュール１３０に保持された監査方法を用いて、各社の監査を実施する。監査結果は、後述する監査結果ＤＢ１４０に保持させる。なお、ここで「監査を実施」の方法として、コンピュータ・プログラム（スクリプト）を用いて実施してもよいし、コンピュータ・プログラムが用意されていない場合は、対象となる組織の統制責任者へ実施する旨の通知（電子メール等）を行うようにしてもよい。
Ａ．監査スケジュールの監査種別が「通常」の場合： 対象会社の業務プロセスに存在する対象コントロールに、監査方法を適用して監査を実施する。通常監査によってコントロールの実施により対象会社の不備が発見された場合は、後述する臨時監査対象判定モジュール１１５に、臨時監査の対象となる会社とコントロールを判定させる。
Ｂ．監査スケジュールの監査種別が「臨時」の場合： 対象会社の業務プロセスに存在する対象コントロールを代替コントロールに置き換えた統制を、対象会社の業務プロセス情報と証跡情報を使用して実行ないしシミュレーションし、得られた結果に監査方法を適用して監査を実施する。

臨時監査対象判定モジュール１１５は、監査システム管理者端末１０５、監査実施モジュール１２０、監査スケジュール管理モジュール１３５、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂと接続されている。
臨時監査対象判定モジュール１１５は、監査実施モジュール１２０によって、ある会社の通常監査でコントロールの実施によって会社の不備が発見されたときに、臨時監査を行うべき他社のコントロールを判定する機能を持つ。
本実施の形態では、ある会社Ｙで、
１．不備が発見された会社ＸのコントロールＣｘが対処しようとしたリスクと同じリスクが存在、かつ、
２．そのリスクの対応は、Ｃｘとは異なったコントロールＣｙで対処しようとしている場合を、臨時監査対象とする。
臨時監査対象が見つかった場合、前記監査スケジュール管理モジュール１３５に監査スケジュールを次のように登録する。
・対象会社：会社Ｙ
・開始日時：＜システムが監査を即時実行できる日時＞
・監査種別：「臨時」
・対象コントロール：Ｃｙ
・代替コントロール：Ｃｘ
この登録にしたがって監査実施モジュール１２０が監査を実施する。

監査結果ＤＢ１４０は、監査システム管理者端末１０５、監査実施モジュール１２０、監査結果報告モジュール１２５と接続されている。監査結果ＤＢ１４０は、監査実施モジュール１２０が実施した各社の監査の結果を保持する機能を持つ。監査結果は、スケジュールＩＤと紐付けて（関連付けて）保持される。新しい監査結果が登録されたならば、監査結果報告モジュール１２５にそれを通知する。
監査結果報告モジュール１２５は、監査システム管理者端末１０５、監査実施モジュール１２０、監査結果ＤＢ１４０、Ａ社業務システム１７０ＡのＡ社統制責任者端末１８０Ａ、Ｂ社業務システム１７０ＢのＢ社統制責任者端末１８０Ｂと接続されている。監査結果報告モジュール１２５は、臨時監査対象判定モジュール１１５がコントロールの実施によって組織の不備の発見を検知した場合に、不備を発見したコントロール（Ａ社において不備が発見されたコントロール）を少なくともＡ社以外の組織に（例えば、Ｂ社のＢ社業務システム１７０Ｂ等に対して）公開する。なお、「Ａ社以外の組織」は１つ以上あればよい。
具体的に説明する。
監査結果報告モジュール１２５は、監査対象となった会社の統制管理者へ、その会社の監査結果を報告する機能を持つ。監査結果には通常監査の結果と、臨時監査の結果がある。監査結果ＤＢ１４０からの通知を契機として結果報告を実施する。結果報告を受け取った各会社の統制責任者は、代替コントロールとその効果について検討し得る。
監査システム管理者端末１０５は、臨時監査対象判定モジュール１１５、監査実施モジュール１２０、監査結果報告モジュール１２５、監査方法管理モジュール１３０、監査スケジュール管理モジュール１３５、監査結果ＤＢ１４０、Ａ社業務システム１７０ＡのＡ社業務プロセスＤＢ１９０Ａ、Ｂ社業務システム１７０ＢのＢ社業務プロセスＤＢ１９０Ｂと接続されている。監査システム管理者端末１０５は、監査システムの管理者のための端末であり、前述した各機能に対する設定や処理状況確認ができる機能を持つ。

図２は、本実施の形態を実現する場合のシステム構成例を示す説明図である。
図２は、図１の例に示した監査システム１００を監査クラウドサービス２００として実現した場合の例を示すものである。監査クラウドサービス２００、Ａ社業務システム１７０Ａ、Ｂ社業務システム１７０Ｂ、Ｃ社業務システム１７０Ｃは、通信回線２９０を介して接続されている。通信回線２９０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのインターネット等であってもよい。
前提として、以下のようになっている。例えば、同じリスクに、各社（Ａ社業務システム１７０Ａ、Ｂ社業務システム１７０Ｂ、Ｃ社業務システム１７０Ｃ）で異なるコントロールを適用している場合がある。そして、監査クラウドサービス２００では、同じリスクへのコントロールを、臨時監査候補としている。例えば、同種のコントロールは候補から外すようにしてもよい。
ここで、図２では、不備を発見したＡ社のコントロールを、他の会社に適用させて臨時に監査する例を示している。
Ｓｔｅｐ１では、Ａ社業務システム１７０Ａにおいて、不備を発見する。
Ｓｔｅｐ２では、Ａ社業務システム１７０Ａが監査クラウドサービス２００に対して、不備の報告を行う。
Ｓｔｅｐ３では、監査クラウドサービス２００は、他の会社に臨時監査すべきかを判断する。
Ｓｔｅｐ４では、監査クラウドサービス２００は、対象と判断したＢ社業務システム１７０Ｂ、Ｃ社業務システム１７０Ｃに対して、臨時監査の指示を行う。
Ｓｔｅｐ５では、Ｂ社業務システム１７０Ｂ、Ｃ社業務システム１７０Ｃは、それぞれ指示にしたがい、臨時監査を実施する。

図３は、本実施の形態を実現する場合のシステム構成例を示す説明図である。図２に示すシステム構成例では、監査システム１００を監査クラウドサービス２００として実現したが、各社が情報処理装置１１０を有しており、各情報処理装置１１０が互いに通信を行って、他社の情報処理装置１１０（又は監査システム管理者端末１０５）に対して、臨時監査すべき指示を行うようにしてもよい。
各社において、監査システム管理者端末１０５、情報処理装置１１０、業務プロセス管理者端末１７５、統制責任者端末１８０、証跡登録者端末１８５、業務プロセスＤＢ１９０、証跡ＤＢ１９５は、社内用通信回線３８０を介してそれぞれ接続されている。社内用通信回線３８０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのイントラネット等であってもよい。
社内用通信回線３８０Ａ、社内用通信回線３８０Ｂ、社内用通信回線３８０Ｃは、通信回線３９０を介してそれぞれ接続されている。通信回線３９０は、無線、有線、これらの組み合わせであってもよく、例えば、通信インフラとしてのインターネット等であってもよい。

図４は、本実施の形態による処理例を示すフローチャートである。図４の例に示すフローチャートは、通常監査の監査スケジュールが監査開始日時になったときの処理を示す。図５、図７の例に示すフローチャートは、図４の例に示すフローチャートに含まれる臨時監査（ステップＳ４０８の処理）のサブフローを示している。
ステップＳ４００では、通常監査を開始する。
ステップＳ４０２では、起動された監査スケジュールに設定された会社（Ｘ社とする）と対象コントロール（Ｃｘとする）について、実施された監査の結果を受け付ける。
ステップＳ４０４では、Ｃｘの実施によって不備を発見したか否かを判断し、不備を発見した場合はステップＳ４０８へ進み、それ以外の場合はステップＳ４０６へ進む。
ステップＳ４０６では、監査結果としてＣｘの実施によって不備を発見しなかったことを記録する。
ステップＳ４０８では、Ｃｘを契機とする臨時監査を行う。
ステップＳ４１０では、監査結果としてＣｘの実施によって不備を発見したことを記録する。
ステップＳ４１２では、Ｘ社の統制責任者へ監査結果を報告する。
ステップＳ４９９では、通常監査を終了する。

図５は、本実施の形態による処理例（図４の例に示すフローチャートのステップＳ４０８の処理例）を示すフローチャートである。
ステップＳ５００では、Ｃｘを契機とする臨時監査を開始する。
ステップＳ５０２では、Ｃｘで顕在化を防ごうとしたリスクＲｘを、Ｘ社の業務プロセスＤＢから見つける。
ステップＳ５０４では、臨時監査の要否が未判定の会社が残っているか否かを判断し、残っている場合はステップＳ５０８へ進み、それ以外の場合はステップＳ５０６へ進む。
ステップＳ５０６では、Ｃｘを契機とする臨時監査を終了する。
ステップＳ５０８では、未判定の会社から１つを選ぶ。（Ｙ社とする）
ステップＳ５１０では、リスクＲｘと同じリスクがＹ社にあるか否かを判断し、ある場合はステップＳ５１２へ進み、それ以外の場合はステップＳ５１４へ進む。
ステップＳ５１２では、Ｙ社のリスクに対応するＹ社のコントロールＣｙは、Ｃｘと同じであるか否かを判断し、同じである場合はステップＳ５１４へ進み、それ以外の場合はステップＳ５１６へ進む。

ステップＳ５１４では、Ｙ社を判定済みとする。
ステップＳ５１６では、Ｙ社のＣｙをＣｘに入れ替えて、Ｙ社の業務プロセスと証跡に基づいてＹ社で実施された監査の結果を受け付ける。例えば、対象コントロール・代替コントロール対応テーブル６００を用いて、通常監査と臨時監査を使い分けるようにしてもよい。図６は、対象コントロール・代替コントロール対応テーブル６００のデータ構造例を示す説明図である。対象コントロール・代替コントロール対応テーブル６００は、列方向にＸ社欄６１０、Ｙ社欄６２０を、行方向に対象コントロール欄６３０（通常監査におけるコントロールであって、同じリスクを有しているコントロール）、代替コントロール欄６４０（臨時監査におけるコントロール）を有している。ここで、列方向のＸ社欄６１０は、Ｘ社（通常監査によって、不備を発見した会社）におけるコントロールを示している。したがって、代替コントロールは不要である。列方向のＹ社欄６２０は、Ｙ社（臨時監査を行う会社）におけるコントロールを示している。Ｙ社における通常監査におけるコントロールはＣｙであって、ＣｘとＣｙは同じリスクを有しているので、互いに対象コントロールの関係となる（対象コントロール欄６３０参照）。したがって、臨時監査を行うＹ社においては、Ｃｙの代替コントロールとしてＣｘを実施することとなる。
ステップＳ５１８では、監査でＣｙの実施によって問題が見つかったか否かを判断し、見つかった場合はステップＳ５２０へ進み、それ以外の場合はステップＳ５１４へ進む。
ステップＳ５２０では、Ｙ社の統制責任者へ臨時監査結果を報告する。
なお、ステップＳ５０２〜Ｓ５１４の処理は、臨時監査対象の判定部分である。そして、ステップＳ５１６〜Ｓ５２０の処理は、臨時監査の実施部分である。

図７は、本実施の形態による処理例（図４の例に示すフローチャートのステップＳ４０８の処理例）を示すフローチャートである。
ステップＳ７００では、Ｃｘを契機とする臨時監査を開始する。
ステップＳ７０２では、Ｃｘで顕在化を防ごうとしたリスクＲｘを、Ｘ社の業務プロセスＤＢから見つける。
ステップＳ７０４では、臨時監査の要否が未判定の会社が残っているか否かを判断し、残っている場合はステップＳ７０８へ進み、それ以外の場合はステップＳ７０６へ進む。
ステップＳ７０６では、Ｃｘを契機とする臨時監査を終了する。
ステップＳ７０８では、未判定の会社から１つを選ぶ。（Ｙ社とする）
ステップＳ７１０では、リスクＲｘと同じリスクがＹ社にあるか否かを判断し、ある場合はステップＳ７１２へ進み、それ以外の場合はステップＳ７１６へ進む。
ステップＳ７１２では、Ｙ社のリスクに対応するＹ社のコントロールＣｙは、Ｃｘと同じであるか否かを判断し、同じである場合はステップＳ７１６へ進み、それ以外の場合はステップＳ７１４へ進む。

ステップＳ７１４では、「Ｃｘの厳しさ度（厳格さ）＜Ｃｙの厳しさ度（厳格さ）」であるか否かを判断し、「Ｃｘの厳しさ度＜Ｃｙの厳しさ度」である場合はステップＳ７１６へ進み、それ以外の場合はステップＳ７１８へ進む。なお、コントロールの厳格さについては、コントロール・厳しさ度対応テーブル８００を用いるようにしてもよい。不備が発見された時点で、同種でより厳しいコントロールを実施している組織は、臨時監査が実施されず、監査のコストを無駄に増やすことがなくなる。図８は、コントロール・厳しさ度対応テーブル８００のデータ構造例を示す説明図である。コントロール・厳しさ度対応テーブル８００は、コントロール欄８１０、厳しさ度欄８２０を有している。コントロール欄８１０は、コントロールを記憶している。厳しさ度欄８２０は、そのコントロールの厳格さを記憶している。例えば、数値が大きいことは厳格さが上位であることを示している。もちろんのことながら、逆の関係（順位が上位である方（数値が小である方）が厳格さが上位である）であってもよい。図８に示した例では、Ｃｘの厳しさ度は３であり、Ｃｙの厳しさ度は２であるので、ＣｘはＣｙよりも厳格であることを示している。なお、コントロールの厳格さは、コントロール間の包含関係で規定してもよい。例えば、コントロールＡがコントロールＢを含む場合は、コントロールＢはコントロールＡよりも厳格であることを示している。
ステップＳ７１６では、Ｙ社を判定済みとする。
ステップＳ７１８では、Ｙ社のＣｙをＣｘに入れ替えて、Ｙ社の業務プロセスと証跡に基づいてＹ社で実施された監査の結果を受け付ける。
ステップＳ７２０では、監査でＣｙの実施によって問題が見つかったか否かを判断し、見つかった場合はステップＳ７２２へ進み、それ以外の場合はステップＳ７１６へ進む。
ステップＳ７２２では、Ｙ社の統制責任者へ臨時監査結果を報告する。
なお、ステップＳ７０２〜Ｓ７１６の処理は、臨時監査対象の判定部分である。そして、ステップＳ７１８〜Ｓ７２２の処理は、臨時監査の実施部分である。

なお、第１の組織におけるコントロールを第２の組織で実施できない場合、そのコントロールの内容を通知するようにしてもよい。具体的には、臨時監査を行わなければならないと判断された会社や組織にあって、監査実施モジュール１２０によるコントロールの適用が自動的に実施できない場合は、その対象となる会社や組織の統制責任者へコントロールの適用を勧告する通知を行うようにしてもよい。より具体的な例を、以下の（事例１の派生例）に示す。これによって、即時に臨時の監査が行えない場合でも、統制責任者へは問題点が周知され、コントロールを見直す契機が与えられることとなる。

以下に具体的な事例を示す。
（事例１）
不正取引発生のリスクに対するコントロールとして、以下のものを各社は採用している。
・Ａ社：取引伝票の回付日時と受領日時の履歴確認
このコントロールの実施は、日時記載欄に入力された時刻データの順序関係および「未来の日時」の有無を自動的にチェックするスクリプトによって行う。
・Ｂ社とＣ社：取引伝票の承認印の確認
このコントロールの実施は、伝票上の印影の画像を認識するスクリプトによって行う。
以下のような処理が行われる。
（１）Ａ社で履歴に問題がある伝票を発見する。
（２）監査クラウドサービス２００にＡ社の会社ＩＤと、問題を見つけたコントロールを通知する。
（３）Ｂ社とＣ社が同じリスクに異なるコントロールを用いているので、両社を臨時監査することに決定する
（４）Ａ社の監査方法を実行するためのスクリプトを生成し、Ｂ社とＣ社へ送付する。
（５）Ｂ社とＣ社において、（４）で送付されたスクリプトを実行し、実行結果をＢ社とＣ社の統制責任者へ通知する。

（事例１の派生例）
事例１で示した各社のコントロールは同じである。Ｂ社におけるコントロールの実施で問題が見つかったが、Ａ社のシステムには画像認識機能がない場合について、以下に説明する。例えば、画像認識機能にはスキャナが必要であるが、Ａ社にはそのスキャナがない場合等が該当する。
以下のような処理が行われる。
（１）Ｂ社で承認印がない伝票を発見する。
（２）監査クラウドサービス２００にＢ社の会社ＩＤと、問題を見つけたコントロールを通知する。
（３）Ａ社が同じリスクに異なるコントロールを用いているので、Ａ社を臨時監査することに決定する。
（４）Ｂ社の監査方法を実行するためのスクリプトを生成し、Ａ社へ送付する。
（５）Ａ社ではスクリプトを実行できないので、コントロール内容をＡ社の統制責任者へ通知して、コントロールの手動実行を勧告する通知を行う。

（事例２）
職場安全衛生に関し、災害Ｘが発生するリスクに対するコントロールとして、以下のものを各社は採用している。
・Ａ社とＢ社：職場メンバーへのチェックリストの定期的な配付と、回答データの確認
このコントロールの実施は、回答にＮＧ（不適格）があるか否かを自動でチェックするスクリプトによって行う。
・Ｃ社：災害Ｘにかかわるヒヤリ・ハット登録の増加件数の定期的な確認
このコントロールの実施は、一定件数を下回っているかを自動でチェックするスクリプトによって行う。
以下のような処理が行われる。
（１）Ａ社で回答にＮＧがつく。
（２）監査クラウドサービス２００にＡ社の会社ＩＤと、問題を見つけたコントロールを通知する。
（３）Ｃ社が同じリスクに異なるコントロールを用いているので、Ｃ社を臨時監査することに決定する。
（４）チェックリストの項目と配付対象メンバーの定義をＣ社に送付して、臨時監査を指示する。
（５）Ｃ社でチェックリストを配付し、回答結果をＣ社の統制責任者へ通知する。

（事例２の派生例）
事例２で示した各社のコントロールは同じである。同種のコントロールに対する臨時監査の判定を、コントロールの実施の厳しさに応じて判定するものである。
・Ａ社は回答がＮＧの項目には追加コメントを記載している。
・Ｂ社は回答がＯＫ／ＮＧに関わらず、回答担当者が証拠の写真を撮影して添付し、他の職場のメンバーが撮影箇所と日時を保証する署名を写真に付与している。
・コントロールの実施の厳しさ「Ａ社＜Ｂ社」という関連情報を監査クラウドサービス２００側で保持している。
このような場合、以下のような処理が行われる。
・Ａ社で回答にＮＧがついた場合は、Ｂ社で臨時監査は実施しない。
・Ｂ社で回答にＮＧがついた場合は、Ａ社で臨時監査を実施する。このとき、Ｂ社と同じ方法をＡ社で一定期間続ける。

なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図９に例示するように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバとなり得るコンピュータ等である。つまり、具体例として、処理部（演算部）としてＣＰＵ９０１を用い、記憶装置としてＲＡＭ９０２、ＲＯＭ９０３、ＨＤ９０４を用いている。ＨＤ９０４として、例えばハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）を用いてもよい。臨時監査対象判定モジュール１１５、監査実施モジュール１２０、監査結果報告モジュール１２５、監査方法管理モジュール１３０、監査スケジュール管理モジュール１３５等のプログラムを実行するＣＰＵ９０１と、そのプログラムやデータを記憶するＲＡＭ９０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ９０３と、補助記憶装置（フラッシュメモリ等であってもよい）であるＨＤ９０４と、キーボード、マウス、タッチパネル等に対する利用者の操作に基づいてデータを受け付ける受付装置９０６と、ＣＲＴ、液晶ディスプレイ等の出力装置９０５と、ネットワークインタフェースカード等の通信ネットワークと接続するための通信回線インタフェース９０７、そして、それらをつないでデータのやりとりをするためのバス９０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。

前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図９に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図９に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えば特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ：ＡＳＩＣ）等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図９に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。

なお、臨時の監査を実施するときに、臨時に適用するコントロールと、その組織で従来適用してきたコントロールとを、ある特定の期間に対して適用して監査するようにしてもよい。そして、それらの監査結果を比較して統制責任者（特に、第２の組織における統制責任者）へ報告する。比較により顕著な差が認められる場合は、臨時監査に用いたコントロールへの差し替え又は併用を勧告する内容を報告に含めるようにしてもよい。つまり、統制責任者に対して、今後適用すべきコントロールとしてどちらが適切であるかを判断し得るような情報を提供している。

なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通等のために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ）、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ（登録商標））、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリーカード等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、又は無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、又は別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して記録されていてもよい。また、圧縮や暗号化等、復元可能であればどのような態様で記録されていてもよい。

１００…監査システム
１０５…監査システム管理者端末
１１０…情報処理装置
１１５…臨時監査対象判定モジュール
１２０…監査実施モジュール
１２５…監査結果報告モジュール
１３０…監査方法管理モジュール
１３５…監査スケジュール管理モジュール
１４０…監査結果ＤＢ
１７０…業務システム
１７５…業務プロセス管理者端末
１８０…統制責任者端末
１８５…証跡登録者端末
１９０…業務プロセスＤＢ
１９５…証跡ＤＢ
２００…監査クラウドサービス
２９０…通信回線
３８０…社内用通信回線
３９０…通信回線

Claims (6)

1. 第１組織のコントロールに合致する前記第１組織の業務を検知する検知手段と、
   前記検知手段が前記業務を検知した場合、リスクとコントロールを対応させて記憶している記憶手段を用いて、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２組織を抽出する抽出手段と、
   前記第２組織のコントロールを前記第１組織のコントロールに変更する変更手段
   を具備することを特徴とする情報処理装置。
2. 前記変更手段は、前記第１組織におけるコントロールが前記第２組織で採用しているコントロールよりも厳格だった場合、前記第２組織のコントロールを前記第１組織におけるコントロールに変更する
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記第１組織におけるコントロールを前記第２組織で実施できない場合、前記コントロールの内容を通知する通知手段
   をさらに具備することを特徴とする請求項１または２に記載の情報処理装置。
4. 前記第１組織におけるコントロールを少なくとも前記第１組織以外の組織に公開する公開手段
   をさらに具備することを特徴とする請求項１から３のいずれか一項に記載の情報処理装置。
5. 前記第２組織に前記第１組織におけるコントロールを実施させた場合と前記第２組織に前記第２組織における従来のコントロールを実施させた場合との比較結果を報告する報告手段
   をさらに具備することを特徴とする請求項１から４のいずれか一項に記載の情報処理装置。
6. コンピュータを、
   第１組織のコントロールに合致する前記第１組織の業務を検知する検知手段と、
   前記検知手段が前記業務を検知した場合、リスクとコントロールを対応させて記憶している記憶手段を用いて、前記コントロールに対応するリスクと同等のリスクを有し、前記コントロールと同等でないコントロールを採用している第２組織を抽出する抽出手段と、
   前記第２組織のコントロールを前記第１組織のコントロールに変更する変更手段
   として機能させるための情報処理プログラム。

Images