監査現場のシンクライアント化

監査現場こそThin Clientの導入が必要だろうなあと，再び思うのでした。

三優監査法人、22社分の財務情報を置き引き被害 – 個人情報最大3万5000件も：Security NEXT:

三優監査法人は、監査企業の財務関連情報を保存した保存したパソコンを盗まれたことを明らかにした。
6月24日夜に同社職員が、JR東海道線の東京－横浜間でバッグの置き引き被害に遭ったもので、バッグともに盗まれたノートパソコンには、22社分の財務関連情報が記録されていた。
監査先従業員や帳簿に記載されていた監査先の顧客など、パソコン内に保存されていた個人情報は最大3万4460件に上る。パソコンに対して暗号化対策を実施していたとして、同社では情報漏洩の可能性は低いと説明している。

22社分って。
3万5000件て。

監査現場のIT化は，ぼくが会計士になった10年前からほとんど進歩がない。
あいかわらずエクセルにデータを打ち込み，プリントアウトし，チェックする。

ともすれば中途半端にIT化をすすめたばっかりに，逆に効率が低下しているケースもある。

あるいはやたらめったらデータが蓄積できるばっかりに，データの取捨選択をしないまま，全てをPCに保存していたりするので，ワークのされていないデータが堆積してたりする。

なので，そのPCが紛失したり盗まれたりすると，こんなふうに大変なことになる。

暗号化したり，外部記憶装置（USBメモリとか）を受け付けない設定をしていたりするけれど，いっそのことThin Client化して，もっと効率的な監査現場を構築できたらいいのに。

たとえば，監査現場のThin Client(s)からインターネットを介して事務所のサーバに蓄積されている監査データにアクセスしつつ監査をする。
情報の共有も適時にできるし，事務所から監査現場の進捗を見ることもできる。
情報を特定の個人が握っているっていうのが，監査に限らずコラボレーションの最大の阻害要因だもの。

どうせアプリケーションだってエクセルとワードを少しと電子メールくらいしか使わないんだから，OpenOfficeにすればいいし，電子メールをどうするかは，とおるさんに相談したらいい。

代替案のある生活 > 【日経産業】「中堅・中小企業　シンクラ導入意欲低下」の記事に思う : ITmedia オルタナティブ・ブログ:

シンクライアントの セキュリティレベルはPCより高く、単純だ。PC はディスクを持ち、データを格納する。ノートブック PC なら簡単に盗まれる。デスクトップだって泥棒さんならなんとか盗めるでしょう。シンクライアントにはディスクは付いていいない。メモリーも揮発性だけ。 CPUも最小限の物。だから、シンクライアントを盗んでも、中身は何もないのだ。すべては物理的に隔離されてサーバルームに入っている。

Filed under: Accounting

ベンフォードの法則

読んでみると，いきなりFRM（たぶんFraud Risk Managementの略）という新しい語が出てきて面食らうし，
KPMG Japan | ニューズレター | リスクマネジメント関連 | 財務会計データから不正の兆候を発見するデータ分析 Page2:

データ解析の最初のステップは、自社または調査対象会社のIT統制の理解です。この理解が不足していると、しばしば調査対象範囲とすべき母集団の範囲を誤るというミスに繋がります。システムの管理者等を含めて事前に討議することが重要です。

という辺りですでに敷居が高いなあという印象を受けましたが（だって高いでしょう？），紹介されている分析例は興味深いです。

１．仕訳データに着目した分析
（１）ユーザーIDが入力権限者かどうかをユーザーIDで判定
（２）データ入力者の仕訳金額が権限内かどうかを判定（例示では月別の仕訳金額合計が示されているけれども，日別データもとれると思う）
（３）仕訳金額の月次推移による異常の判定（金額基準だけれど仕訳数基準でも分析できると思う）

２．決算仕訳のデータ入力日に着目した分析
決算仕訳が決算末日以降のどのタイミングで（バックデートで）入力されたかによる異常の判定

３．ベンフォードの法則を利用した分析
数字の出現確率に着目した異常の判定

「ベンフォードの法則」というものを浅学ゆえに知りませんでしたが，
KPMG Japan | ニューズレター | リスクマネジメント関連 | 財務会計データから不正の兆候を発見するデータ分析 Page3:

ベンフォードの法則では、数字の最初の一桁を発生回数で並べた場合、1の出る確率は2が出る確率より高く、また2の出る確率は3より高い、といったように、数字の高いものほど、発生確率は低いというルールを確立しています。また、この法則は最初の一桁だけではなく、最初の二桁、三桁においても同じ法則が成り立つことを実証しています。

ということらしいです。

ググってみつけたサイトによると，結論：
ベンフォードの法則:

最高位の数がｎになる確率P（ｎ）
＝(Log10（n+1)-Log10n)／(Log1010-Log101)
＝(Log10（n+1)-Log10n)
＝Log10(（n+1)／n)
＝Log10（1+1/n)
これをベンフォードの法則という。（１９３８年発見）

対数Logの割り算は引き算に直せるから，
P(n) = Log10(n+1) – Log10(n)
となって逓減していくのがなんとなく分かる感じです。

で，このベンフォードの法則を使って，発生期待値から外れて入力されている仕訳金額に異常を見つけることができるかもしれない（ただし精査はもちろん必要）という内容です。

CAAT（Computer Assisted Audit Techniques）という監査手法があります。
Googleで「CAAT」を検索すると資料がありました。
会計監査におけるCAATの現状と今後の課題（PDF）

不正を見つけるという観点からのこのKPMGのレポートにあるようなデータ分析はしたことがなかったですが，なるほど面白いですねえ。

- – - – -

dancing-ufoさんも早速，書いてらっしゃいました。

ベンフォードの法則による財務分析に思う – ■財務アナリストの雑感■ 　シーズン２:

ＫＭＰＧのニューズレター「財務会計データから不正の兆候を発見するデータ分析」に面白い記述がありましたのでご紹介。

Filed under: Accounting

内部統制Q&A（第2版）

金融庁が「内部統制報告制度に関するＱ＆Ａ」を公表しました。
平成19年10月の第1版（20項目）に続き，追補版となるもので47項目が追加されています。

そこから気になったものを。（以下，強調は引用者）

（問25）【取引先企業（委託業務の委託先を除く）の対応】
内部統制報告書提出会社は、取引を行っている仕入先や得意先などの取引先企業（重要な業務プロセスを構成している委託業務の委託先を除く。）に対して、内部統制報告制度への対応として、新たに当該取引に関連する内部統制の整備や評価を依頼しなければならないのか。
（答）
２．内部統制報告書提出会社の企業集団外の取引先企業は、（重要な業務プロセスを構成している委託業務の委託先に該当する場合を除き、）内部統制の評価の範囲に含まれない。
３．実施基準等においては、内部統制報告書提出会社が、取引先企業（重要な業務プロセスを構成している委託業務の委託先を除く。）に対し、これまでの納品書、請求書等の証憑類の提出・保存等に加えて、取引に関連する内部統制の整備及び評価を依頼するなど、本制度の導入に伴う新たな対応をとることは求めていない。

「内部統制報告制度の導入によって，上場企業の取引先も同等の内部統制の構築・運用が求められる」という言説が一部においてまことしやかに語られていました。

（問32）【３点セットの作成】
経営者は、業務プロセスの評価のために、実施基準に例示されている「業務の流れ図」、「業務記述書」及び「リスクと統制の対応」の３つの資料（いわゆる３点セット）を必ず作成しなければならないのか。例えば、既存の業務マニュアルや諸規程類などを活用して「リスクと統制の対応」のみ作成する予定だが、３点セットのすべてを作成しないと重要な欠陥に該当するのか。
（答）
３．経営者は、実施基準に参考例として掲載されている参考資料と同様のものをいわゆる３点セットとして作成しなければならないということではなく、３点セットを作成しない場合であっても、直ちに重要な欠陥に該当するものではないと考えられる。

目的と手段が混同された例です。
プロセスマップや業務処理記述書は，業務プロセスを理解し，リスクの在処を明らかにするという目的のために，その手段として作成するものです。
リスクコントロールマトリクス（RCM）はリスクへの対応方法とその効果を明らかにするという目的のために，その手段として作成するものです。
３点セットを作成しなければダメだとか，３点セットを作りさえすれば (ry というものではありませんね。

（問43）【重要な欠陥の判断（監査人に対する照会・相談）】
監査人に対して、会計処理についての照会・相談を多く行っている企業は、信頼性のある財務報告の作成に必要な能力が不足していると判断され、重要な欠陥に該当するのか。
（答）
企業が監査人に対して会計処理についての照会・相談を行うことは、これまでの財務諸表監査の実務でも行われてきたことと承知しており、財務諸表等の作成はあくまで企業・経営者によって行われるとの前提の下に、複雑な取引が発生した場合の会計処理について監査人に対して照会・相談を行うことは必ずしも重要な欠陥に該当するものではない。

金融庁はこう言っていますが，最近の監査実務においては「監査人が会社に仕訳を示すのはNG」ということになっているという話をよく耳にしますが。。。どうなんでしょう。

（問46）【電子メール等のデータの保存】
内部統制報告制度の導入に伴い電子メール等のデータはすべて保存しなければならないのか。
（答）
２．経営者は、財務報告に係る内部統制の有効性の評価手続及びその評価結果並びに発見した不備及び是正措置に関して作成した記録を保存することが求められており（実施基準Ⅱ３（７））、電子メール等のデータについても財務報告に係る内部統制の有効性の評価手続等に関して作成した記録のみを保存することで足りる。

電子メール全件保存とか，全ログ管理とかいった極端な管理が「IT統制では必要です」とまことしやかに語られていますが，内部統制報告制度の目的から演繹すれば，明らかにバランスを逸しています。
ところで，上記回答にある「財務報告に係る内部統制の有効性の評価手続等に関して作成した」電子メールというのは，どういうことか，ぼくにはよくわかりません。

（問50）以降は，監査人からの疑問に対する回答のような内容です。たとえば，

（問55）【中小規模企業における内部統制の記録】
事業規模が小規模で、比較的簡素な組織構造を有している企業等の場合には、構成員が少数であり、業務プロセスが簡素であるため、規程やフローチャート等の内部統制に関する記録が充実していなくても、内部統制が有効に運用できていると確認できる場合があると考えられるが、この場合、監査人はどのように検証を行うことになるのか。
（答）
２．監査人は、内部統制の整備状況については、記録の閲覧や質問等では理解することが困難である場合には、必要に応じ、業務プロセスの現場に赴いて観察することにより、当該業務プロセスにおいて実施されている手続の適否等を確認することが考えられる（実施基準Ⅲ４（２）①イa）。

というか，必要なら監査人がフローチャートを作ればいいと思います。

こんな具合に，いくつか「それは監査人が判断すればいいじゃない。監査の専門家なんだから」というQ&Aも見受けられますが，内部統制報告制度導入初年度だからということなんでしょう。

Filed under: Accounting , 内部統制

若手会計士クタクタ

孫引きで失礼します。

会計ニュース・コレクター（小石川経理研究所） – 若手が現場を去る理由は？会計士協近畿会が実態調査2008.05.12:

記事によれば「監査業務」を行う中での不満足要因として、以下のものが高い比率で割合で挙げられています（複数回答可）。

形式的な（調書）書類作成が多すぎる。７８％
間接業務が多い。　６３％
時間に余裕がない。５６％
こなす業務が多く、考える時間がない。４７％

ぼくが監査法人を退所した頃（2004年）でも，インチャージは法人内部に対する審査書類などを作るのに負われていましたが，昨今は内部統制監査制度への対応や，どんどん厳しくなる協会・金融庁の検査に備えるために作成する書類も膨大なんでしょうね。

「会計士クタクタ」という見出しの記事が新聞に出ていたそうですが，
貴重な人材が監査現場から離れていくというのは，（たとえ，毎年たくさんの合格者が入ってくるとはいえ）公認会計士制度にとって決して喜ばしいことではないなあと思います。

そういった人材が事業会社へ再就職して，企業内会計士が定着すれば，それはそれで雨降って地固まる的に良いことなのかもしれないけれど，一番クタクタな若手会計士というのは，事業会社へ就職した場合，ほぼ確実に監査法人時代の給与水準を割ってしまうと思うので，ある人に言わせると「みんな保守的」な会計士がそういう選択をするのも難しいというのが実際かもしれません。

まあ，それでも身命を削るよりもずっといいや，とテキトーなぼくなどは思いますが。。。

先日，公認会計士協会（近畿会）のエライ方と食事をしたときに，「会計士クタクタ」は，もはや個々の監査法人の問題ではないので，それを解消するのも会計士業界全体が考えないといけない，ということを仰っていました。
実際問題として，大手監査法人の大先生方はインチャージの仕事がどれだけキツくなっているかの想像はつかない（自分たちの時と同じように考える）し，中小監査法人では人材が不足して仕事を分担しあえる状況にないのではないかと思います。

一番問題は，プロフェッショナルとして必要な知識を身につけたりアップ・デートしたりする時間や，深く物事を考える時間がないということでしょう。

Filed under: Accounting , 内部統制

健康会計２｜Health Accounting #2

2月に日経の記事を受けて「健康会計｜Health Accounting」というエントリーを書きましたが，「健康会計」というキーワードで検索してこのブログに辿り着かれる方がたくさんいらっしゃいます。
（Google先生で「健康会計」を検索すると，このエントリーが2番目でした）

それだけ「健康会計」に対して関心を持たれている方が多いということでしょうか。

一昨日ですが，経済産業研究所（RIETI）の方が「健康会計・健康経営の実現・普及に向けて」というコラムを書いておられました。
その中で，「健康会計（仮称）」導入の効果を書かれています。

続きはこちら

Filed under: Accounting