PR

日本版SOX法(J-SOX)に対応する際,企業がまず直面するのは「文書化」の作業だ。ときには1万枚以上の監査用文書を作成・維持する必要がある。いま,この作業を効率化する「文書化ツール」が相次ぎ登場している。同製品について,選択のポイントを探る。(島田 優子=日経コンピュータ

 米SOX法(2002年サーベインズ・オクスリー法)404条は,財務報告の適正性を確保するために,上場企業に内部統制の整備を求めている。対象企業はこれに対応すべく,該当する業務プロセスごとに,最低でも3種類の文書を作成する必要がある。

 (1)業務の流れを図で示した「業務フロー図」,(2)財務報告に影響を与えるリスクとその予防・低減方法(コントロール=統制)を記述した「リスク・コントロール・マトリックス(RCM)」,(3)業務の内容を詳細に説明した「業務記述書」---である。

 作成後に業務や組織が変わった場合,その内容を反映して,常に文書を最新の状態に維持管理しなければならない。

 これら一連の作業を「文書化」と呼ぶ。米国では,その手間が非常にかかることが問題視されている。上場企業とその関連会社に対して適用される日本版SOX法でも,同様の問題が浮上してきた。

 そこで注目を集めているのが,文書化作業を支援する「文書化ツール」だ。海外製品に加え,ここに来て国産製品が急増している。

 一言で文書化ツールといっても,「文書作成」を中心に支援する,「文書管理」に重きを置くなど,それぞれ特徴が異なる。短期間で効率よく日本版SOX法に対応するには,自社の要望に合ったツールを正しく見極めることが欠かせない。

文書化は1年では終わらない

 まず留意すべきなのは,文書化ツールが対象とする文書化作業の範囲が,非常に広いことだ。業務フロー図やRCMといった文書の作成は,ごく一部にすぎない(図1)。

図1●「文書化プロジェクト」の例
図1●「文書化プロジェクト」の例
文書の作成・訂正作業は,2年目以降も発生する [画像のクリックで拡大表示]

 例えば,文書作成後に実施するテストは,重要な文書化作業の一つである。まず,文書に書かれた通りに内部統制が「整備」されているかを,証拠などを見ながら確認する。テストの結果,文書と異なる部分が見つかった場合,文書の修正が必要になるケースが少なくない。

 続いて,整備に関するテストから数カ月をおいて,内部統制が実際に確立できているかどうかに関する「運用」状況をテストする。問題が見つかると,ここでも文書の変更が必要になる。

 加えて,業務や組織に変更があれば,文書を随時修正しなければならない。文書化というと,対応初年度に発生する文書作成に目が行きがちだが,実際には2年目以降も文書化は続くことを念頭に置くべきである。

 こうした作業を支援する文書化ツールは大きく,「デスクトップ版」と「サーバー版」に分かれる。デスクトップ版は,主に業務フロー図やRCM,業務記述書といった文書の作成を支援する機能を提供する。一方のサーバー版は,作成中あるいは作成済み文書の管理,整備・運用状況のテスト,その後の評価・監査といった作業の支援が中心になる(図2)。

図2●「文書化ツール」が提供する機能は主に3種類ある
図2●「文書化ツール」が提供する機能は主に3種類ある