Oracle Internal Controls Managerインプリメンテーション・ガイド リリース11i B25733-01

目次

戻る

次へ

Oracle Internal Controls Managerの概要

概要

Oracle Internal Controls Managerは、役員、管理部長、内部監査部門および公認会計事務所が社内統制を文書化およびテストし、継続的な遵守をモニタリングするための包括的ツールであり、COSO（トレッドウェイ委員会組織委員会）標準に基づいています。

多くの国では、企業の内部統制のテストとレポートに政府規制が適用されます。たとえば米国では、2002年の企業改革法により、経営者と社外監査人の両方に対して会社の社内統制のレポートが義務づけられています。

この章では、コーポレート・ガバナンスとOracle Internal Controls Managerの概要を説明します。

コーポレート・ガバナンス

次のダイアグラムに、一般的なコーポレート・ガバナンスのビジネス・フローの概要を示します。

この図のように、通常、コーポレート・ガバナンスにはあらゆる組織で実行する必要のある一連のタスクが含まれています。

プログラム・オフィスの設定

通常、プログラム・オフィスは、社内の最上級役員の承認を受けます。プログラム・オフィスは内部と外部の管理職責を設定し、他のオフィスの業務の基礎となるパラメータを設定します。このパラメータには、社内統制の発効期限とマイルストン、遵守する上で関与が不可欠な組織内の担当が含まれます。特定の監査関与を計画済アクティビティまたはトリガー・イベントの結果として実行できます。

プログラム・オフィスの重要なタスクは、エンティティのリスクおよびそのリスクを軽減する統制のアセスメントと管理に使用するフレームワークを確立することです。COSOフレームワークは、組織の社内統制の有効性を査定するための最も一般的なフレームワークです。

企業体系の確立

職務を分掌し、可能性のある侵害を経営者に警告できるように組織体系を確立します。この作業により、遵守しているかどうかの分析を必要とする特定部門も識別できます。

ビジネス・プロセスの文書化

社内の特定のエンティティに固有のビジネス・プロセスをすべて識別して分析します。エンティティの手順マニュアルを検討し、面接を行い、既存の手順を複製することで、通常は必要なビジネス・プロセスが明らかになります。これらのプロセスは、財務諸表の信頼性に関して妥当な保証を提供するために、主要な財務会計担当にマップする必要があります。

リスクおよび統制ライブラリの設定

エンティティ内のビジネス・プロセスがさらされる定期リスクすべてのライブラリを作成します。このリスク・ライブラリを作成するために、監査人はビジネス体系や統制環境などのファクタを考慮する必要があります。財務、業務および開示上の一部のリスクはエンティティに固有ですが、通常、ビジネス・プロセスは次のタイプのリスクを伴います。

• 記録された取引が有効かどうか。たとえば、売上は実在の顧客に対する出荷によるものかどうか。

• 取引が承認済かどうか。たとえば、承認済発注に関する支払かどうか。

• 取引の金額が正しいかどうか。たとえば、出荷商品の正しい金額について売上が記録されるかどうか。

• 取引の仕訳が適切かどうか。たとえば、営業取引が正しい勘定に含まれ、適切に集計されるかどうか。

• 取引が適正な時期に記録されるかどうか。たとえば、売上がタイムリに記録されるかどうか。

• 取引に欠落や誤りがないかどうか。たとえば、発生した売上がすべて記録されるかどうか。

また、ライブラリはプロセス・リスクを軽減するように設定された内部統制で構成されます。現在有効なエンティティの内部統制を分析し、それを統制ライブラリに追加します。

通常、統制手順は次の5つのカテゴリに分類されます。

• 十分な職務分掌

• 十分な文書とレコードによる監査証跡の保守

• 承認手順

• 資産と記録の管理

• 独立したパフォーマンス・チェック

通常、監査人はエンティティの財務、業務および開示上のリスクを現在有効な内部統制にリンクするマトリクスを作成します。必要に応じて新規の内部統制を提案したり、リスクを軽減するために既存の統制を変更します。

アセスメントの実施

監査人が（プロセス、リスクおよび統制の調査を通じて）内部統制体系の設計と運用の概要を把握した後、統制リスクのアセスメントを実施する必要があります。このアセスメントにより、内部統制をテストするために実行する必要のある監査作業の範囲が決定されます。

通常、統制リスクのアセスメントは、主要な各取引タイプについて詳細な統制目的別に実施されます。これには、次のような主要プロセスに関するデータの収集が含まれます。

• 取得と支払

• 売上と回収

• 生産と在庫

• 従業員関連のプロセス

• 資本の取得、減価償却および返済

• 負債および投資ポートフォリオ関連のプロセス

アセスメントの実施中に、告発者から提示される懸案をモニタリングすることも重要です。告発者は仕入先、顧客、従業員などです。利害関係者に対して定期的に調査を実施して、内部統制の妥当性に関する所見を収集できます。

最後に、アセスメントの評価結果を文書化します。

監査関与の範囲設定

監査プロジェクトの性質、テストの範囲および必要なリソースを識別します。

内部統制のテスト

テストの前提条件として、内部統制の評価に使用する主要メトリクスを定義する必要があります。これにより、内部統制が有効で設計どおりに機能しているかどうかをテストするための監査手順を設計できます。ターゲットを表す代表的なサンプルを使用して、内部統制が確実にテストされるようにします。

結果の文書化と監査所見およびレポートの提供

すべての監査手順とその結果を文書化します。監査人は、文書化された結果に基づいて所見とレポートを発行します。この作業は、結果とアラートを開示およびレポート・サイクルに統合する上で役立ちます。

次のような懸案に関する評価と結果を、監査委員会と独立監査人に伝達する必要があります。

• 統制不足

• 欺瞞

• 重大な弱点

変更の実装

監査結果に基づいて、新規の内部統制を提案したり既存の統制を変更し、リスク軽減における有効性を改善できます。

Oracle Internal Controls Managerの概要

Oracle Internal Controls Managerは、Oracle Internal Control Applicationsの主要モジュールであり、Webベースのリスクおよび監査管理機能を提供する包括的な監査ツールです。役員、管理部長、内部監査部門および公認会計事務所は、このモジュールを使用して内部統制を文書化およびテストして継続的な遵守をモニタリングできます。

Oracle Internal Controls Managerを使用すると、企業は内部統制のテスト回数を効率的に増加させ、リスク・アセスメントの信頼性を高め、外部での監査検証コストを削減できます。このアプリケーションの直感的なワークベンチを使用して、次のような監査アクティビティを編成、実行および管理します。

• 標準的なビジネス・プロセスの定義

• プロセスに伴うリスクの設定

• プロセス・リスクを軽減できる統制の設定

• 組織体系（監査可能単位）の設定と体系へのプロセスのマッピング

• 設定された統制と規約を組織が遵守しているかどうかのアセスメントの記録

• 統制を検証するための監査手順の作成

• ビジネス・プロセスとシステムが準拠しているかどうかの検討および監査結果の記録

Oracle Internal Controls Managerの設定

次の項では、Oracle Internal Controls Managerアプリケーションを使用して監査を設定し実行するための必須タスクの概要を説明します。

標準的なビジネス・プロセスの定義

Oracle Internal Controls Managerを使用して、自社のビジネス・フローを正確に反映したプロセスを作成します。プロセスは、Oracle Tutor（推奨）またはOracle Workflowを使用して作成できます。どちらも、Oracle Internal Controls Managerと統合されています。

注意: 詳細は、「Oracle Internal Controls Managerのプロセスと組織」および「Oracle Internal Controls Managerのプロセス承認」を参照してください。

リスクおよび統制ライブラリの設定

リスク・ライブラリは、プロセスとリスク、組織によるリスクへの対処を可能にするポリシー、手順およびアクティビティで構成されます。

リスク: Oracle Internal Controls Managerを使用して、再利用可能なリスクのライブラリを作成し、保守します。これにより、各リスクを組織内のビジネス・プロセスに関連付けることができます。

統制: プロセス・リスクを軽減できる統制を設定します。

リスク・ライブラリは、外部ソースからの内容で構成できます。パートナのライブラリを実装するように決定した場合は、Oracle Internal Controls Managerに組み込まれているスプレッドシート・インタフェースを使用して、サード・パーティによる内容をインポートできます。

リスク・ライブラリ内の情報の整合性を維持するため、Oracle Internal Controls Managerにおけるライブラリ項目の作成または変更は承認プロセスにより管理されます。

注意: 詳細は、次を参照してください。

リスクと統制

監査手順

リスク・ライブラリの変更統制

組織体系（監査可能単位）の設定と体系へのプロセスのマッピング

Oracle Internal Controls Managerの設定全体を、監査可能単位のコンテキストで行います。監査可能単位は、Oracle組織の特殊カテゴリです。

注意: 詳細は、「Oracle Internal Controls Managerのプロセスと組織」を参照してください。

設定された統制と規約を組織が遵守しているかどうかのアセスメントの記録

統制のテスト、および残高詳細のテストなどの他のテストの場合、監査中に実行される作業手順の量は、組織の内部統制体系と設定された統制および規約への遵守に関して、監査人が行うアセスメントの範囲によって大きく異なります。

Oracle Internal Controls Managerでは、内部統制の体系と遵守に関する組織のアセスメントを組み込むことができます。次の事項がアセスメントの対象となります。

• 組織の監査環境に影響する事前定義済のコンポーネント

• 特定の組織のコンテキスト

  注意: 詳細は、「Oracle Internal Controls Managerでのアセスメント」を参照してください。

統制を検証するための監査手順の作成

監査手順は、監査作業中に実行する詳細手順を提供します。これらの手順は、設計と運用に関して統制の有効性を検証することで、特定の監査目的を達成するように設計されています。Oracle Internal Controls Managerでは、監査手順を作成し、その手順で検証する統制と手順を関連付けることができます。

注意: 詳細は、「Oracle Internal Controls Managerにおける監査手順」を参照してください。

監査割当てを管理するための監査関与の設定

通常、組織での内部監査はプロジェクトとして管理され、監査手順はこれらのプロジェクト内のタスクに変換されるのが一般的です。遵守しているかどうかを検討し、監査を完了した後、Oracle Internal Controls Managerで評価と監査所見を記録できます。

注意: 詳細は、Oracle Internal Controls Managerにおける「監査関与」を参照してください。

職務分掌違反のテスト

Oracle Internal Controls Managerでは、社内タスクの任意の組合せを非互換として識別できます。この種のタスク・セットから複数のタスクにアクセスすると、ユーザーの不正行為を招くおそれがあります。したがって、この種の複数のタスクへのアクセス権を持つ社内のユーザーは、職務分掌標準に対する違反となります。

このアプリケーションでは、非互換タスクを事前にモニタリングし、1人のユーザーがアクセスした場合にレポートできます。

注意: 詳細は、「職務分掌の制約」を参照してください。

ビジネス・プロセス認証の設定

プロセス認証では、プロセス・オーナーは自組織のプロセスが自社の管理システムの基礎として利用されている標準を遵守していることを保証する必要があります。これには、組織のプロセスが適切で有効であることを保証するための、一連の堅実な監査およびその他のアクティビティが含まれます。

監査および必要な関連フォローアップ・アクティビティを正常に完了すると、プロセスは認証済になります。認証は、プロセスが適用可能な標準の要件を満たしていることを証明します。外部監査人は、財務諸表の発行前に、システムが確立され有効に実装されているなどの客観的な証拠を求めます。

Oracle Internal Controls Managerは、ビジネス・プロセスを認証するための精巧なメカニズムを提供します。アプリケーションで実行された監査関与の結果を、認証の基礎として使用できます。

注意: 詳細は、「プロセス認証」を参照してください。

財務諸表認証の設定

財務監査は、企業の財務諸表が特定の基準（通常は一般に容認されている会計原則）を遵守しているかどうかを判断するために実施されます。Oracle Internal Controls Managerでは、監査評価とプロセス認証を使用して財務諸表を認証できます。

注意: 詳細は、「財務諸表認証」を参照してください。

調査結果の記録、追跡および解決

監査プロセス中には、確立された標準に対する非遵守が組織でしばしば検出され、この種の非遵守は調査結果として識別されます。通常、これらは会計慣行やアカウンタビリティなどに違反する重大な懸案項目です。

調査結果がすべて有効に対処されて解消されるまで、認証を発行できません。Oracle Internal Controls Managerでは、監査関与の実行中に判明した調査結果結果を記録して追跡できます。

注意: 詳細は、「Oracle Internal Controls Managerにおける調査結果」を参照してください。

統制レポートの実行

アプリケーションには7つの事前定義済リスク・ライブラリ・レポートが用意されており、リスク・ライブラリに存在するプロセスとオブジェクトの正確さと整合性を定期的に検証できます。

注意: Oracle Internal Controls Managerのレポートの詳細は、「統制レポート」を参照してください。

次の項は、アプリケーション全体に適用されます。

拡張可能属性の設定

ユーザーは、Oracle Internal Controls Managerを使用して継続的な遵守をモニタリングする際に、各種のリスク・ライブラリ・オブジェクトと相互作用します。これらのオブジェクトに関連付けられた追加データおよび一意のデータを取得して追跡することは、必要であり、有用でもあります。このアプリケーションは、拡張可能属性という形でこの機能を提供します。

拡張可能属性は、リスク・ライブラリ・オブジェクトに関連付けられた追加情報の取得に使用できるユーザー定義属性です。これらの属性のエントリは、事前定義済値セットに対して検証されます。

注意: 詳細は、Oracle Internal Controls Managerにおける「拡張可能属性」を参照してください。

ロールと権限の設定

このアプリケーションにおけるセキュリティは、次の双方のセキュリティによって実装されます。

• 機能セキュリティ（次の項で説明）

• データ・セキュリティ

データ・セキュリティは、同じ機能へのアクセス権を持つユーザーが表示できるデータ・セットが、そのユーザーのデータ・アクセス権によって異なるという点で、機能セキュリティより下位レベルに位置します。この概念は、ユーザーまたはユーザー・グループに固有のオブジェクト・インスタンス（プロセスなど）に対するアクセス権の付与に基づいています。

権限は、割当て済のロール内にグループ化できます。Oracle Internal Controls Managerでは、オブジェクトに対応する様々なロールがシードされています。

注意: 詳細は、「Oracle Internal Controls Managerのロールと権限」を参照してください。

機能セキュリティの設定

Oracle E-Business Suiteのアーキテクチャには、アプリケーション論理の各部を機能として識別する機能が用意されています。アプリケーション・システム管理者は、特定の機能を含めたり除外して職責を作成することで機能セキュリティを管理します。

Oracle Internal Controls Managerでは、アプリケーションの選択ウィンドウで機能セキュリティが提供されます。

注意: 詳細は、「Oracle Internal Controls Managerの機能セキュリティ」を参照してください。

次の項では、Oracle Internal Controls Managerにおけるアプリケーション統制モニタリング機能を説明します。

アプリケーション統制モニタリング

アプリケーション統制モニタリングおよびガバナンスの概要

会社のビジネス・プロセスおよび財務レポートの正確さと信頼性は、そのITシステムおよび統制環境の信頼性と機能に大いに依存します。IT部門は、IT統制環境のアセスメントを行うという継続的な需要を満たし、遵守のコストを最小限に抑えるという継続的な需要を満たすために、IT統制をモニタリングおよびテストする自動化された手法を必要としています。

アプリケーション統制モニタリング機能では、Oracle E-Business Suite内でIT統制をモニタリングすることで、会社がIT環境を効果的かつ効率的に管理できます。このアプリケーションは、アプリケーション・ソフトウェアの保守、変更の管理、システム・セキュリティの確保、構成の管理など、CobiTフレームワーク内の高レベルな統制目的をサポートします。

注意: 「アプリケーション統制モニタリングおよびガバナンスの概要」の章も参照してください。

アプリケーション統制管理機能の設定

アプリケーション統制モニタリングを使用してアプリケーション統制の変更をレポートするには、アプリケーション統制モニタリングを適切に実装する必要があります。

注意: 詳細は、「アプリケーション統制管理の設定」を参照してください。

アプリケーション統制管理の管理

アプリケーション統制モニタリングの定義が完了したら、このアプリケーションを使用してデータの設定変更を問い合せることができます。アプリケーション統制モニタリングでは、主に次の4つの基準を使用して、アプリケーション統制値およびそれらの値の変更を検索できます。

• レポート・グループ

• アプリケーション

• ユーザー

• インスタンス

注意: 詳細は、「アプリケーション統制管理の管理」を参照してください。

アプリケーション統制モニタリングの実装チェックリスト

Oracle Internal Controls Managerをインストールすると、インストール・プロセスによってIT監査人職責が自動的に作成されます。この職責には、このアプリケーションを設定および実装するために必要な機能が含まれています。したがって、前提条件ステップとして、実装のためこの職責を適切なユーザーに割り当ててユーザーを設定します。

注意: アプリケーション統制モニタリング機能の実装を完了するために実行する必要があるタスクのチェックリストは、「アプリケーション統制モニタリングのチェックリスト」を参照してください。

シード済設定グループおよびパラメータ

アプリケーション統制管理機能では、ITマネージャおよび監査人が、Oracle E-Business Suite内のいくつかのモジュールで設定パラメータの変更を追跡できます。

この章では、変更の有無を監査できる特定の設定グループ、アプリケーションおよび設定パラメータの詳細を説明します。

注意: 詳細は、「シード済設定グループおよびパラメータ」を参照してください。

E-Business Suiteアプリケーションとの統合

Oracle Internal Controls Managerは、テストおよび検証対象のアプリケーションから独立しており、どのような環境（OracleまたはOracle以外）にも正常に配置できます。ただし、次のように、Oracle E-Business Suiteの他のモジュールと統合されていることによるメリットもあります。

Oracle Tutor: Oracle Tutorは、ビジネス・プロセスとワークフローのマッピングと文書化に使用する強力なアプリケーションです。手順作成、自動フローチャート作成およびロール・ベース発行の各機能が用意されています。また、事前定義済のビジネス・モデルとビジネス・フローも含まれています。

チュータで作成されたビジネス・プロセスをOracle Internal Controls Managerにアップロードできます。インポートすると自動的に、同じプロセスがプロセス・フローのビジュアル・ダイアグラムとともにOracle Internal Controls Managerに作成されます。Oracle Tutorは、手順の作成と文書化のための推奨ツールです。

Oracle Workflow: Oracle Workflowでは、E-Business Suiteを介してプロセス・チャートが作成され、ビジネスに対して機能するフローが制御および規定されます。Oracle Workflowはアクティブな作業管理ツールであり、ビジネス・プロセスおよびプロセス・アクティビティのデータベースとして機能します。

Oracle Workflow Builderで定義されたビジネス・ワークフローを、Oracle Internal Controls Managerでプロセスとして使用可能にすることができます。したがって、プロセスは確実に設定どおりの方法で実行されます。

Oracle Files: Oracle Filesは文書管理ツールです。Oracle Tutorまたは他のツールを使用して開発されたヘルプ・ファイルとプロセス文書を、手順および該当プロセスに関連付けることができます。通常、プロセス文書は監査人が実行する遵守チェックの基礎となります。

Oracle Filesは、Oracleデータベースでの文書のバージョン管理、チェックイン、チェックアウトおよび格納機能を提供します。

Oracle Scripting: Oracle Scriptingは、質問表を迅速に作成し、調査参加者を容易に識別し、Eメールを介して調査を配布し、応答者がインターネット経由で質問表に記入できるようにする強力なツールです。

Oracle Scriptingでは、従業員と利害関係者からプロセスと内部統制に関するフィードバックを取得することで、有効な統制環境が提供され、高レベルのリスク・アセスメントを実行できます。調査結果は、監査作業の実施範囲を査定する上で役立ちます。

シード済の調査スクリプトを配布し、最小限の変更を加えて使用できます。シード済の調査を検討し、組織固有の変更を加えて再配布し、調査参加者から情報を収集できます。

Oracle Corporate Performance Management: 企業のパフォーマンス管理には、次のようなアクティビティが含まれます。

• 戦略目標の設定と整列

• 計画、予算編成、予測およびモデル化

• 業務分析およびレポート

Corporate Performance Managementフレームワークは複数のOracle製品で構成されています。これには、Oracle Financial Analyzer、Sales AnalyzerとPerformance Analyzer、Oracle Activity Based Management、Oracle Balanced ScorecardおよびOracle Daily Business Intelligenceなどのアプリケーションが含まれます。

これらのアプリケーションでプロセス統制制限を設定することで、パフォーマンス管理フレームワークではビジネス・プロセスを継続的にモニタリングし、監査作業を保証する例外を通知できます。

Oracle Project Applications: 監査手順をOracle Projectsで設定されたプロジェクトとして作成すると、Oracle Projectsアプリケーション・ファミリのメリットがすべて得られます。次のアプリケーションが含まれます。

• Oracle Project Management

• Oracle Project Costing

• Oracle Project Resource Management

• Oracle Project Collaboration

• Oracle Project Intelligence

Oracle Approvals Management: Oracle Approvals Managementとの統合により、リスク、統制および監査手順を正式に承認できます。これらのリスク・ライブラリ・オブジェクトの作成と変更には、承認が必要です。アプリケーション・コードをカスタマイズするための要件はありません。

これらのルールはOracle Approvals Managementで設定され、リスク・ライブラリ・オブジェクトを使用する前に承認する必要のある担当を決定します。承認者には、階層内の1人以上のユーザーを割り当てることができます。

その他のOracle E-Business Suiteモジュール: Oracle Payables、Oracle ReceivablesのようなOracle E-Business Suiteアプリケーションが組み込まれている環境では、これらのモジュールでの複数の内部統制が、Oracleの開発によりOracle Internal Controls Managerで使用可能になります。

注意: 詳細は、「自動タイプ、アプリケーションおよび統制ソース」を参照してください。

財務諸表の認証を有効にするために、Financial Statement Generator（FSG）レポート内の勘定科目が自動的にOracle Internal Controls Managerで使用可能になります。Financial Statement Generatorは強力なアドホック・レポート・ツールであり、Oracle General Ledgerモジュールのコンポーネントです。

Oracle Internal Controls Managerにおける職責

Oracle Internal Controls Managerでは、このアプリケーションへのアクセスに使用する複数の職責が事前にシード済です。次の表に、これらの職責の詳細を示します。

次の表は、Oracle Internal Controls Managerでの職責とコンテキスト詳細および関連する章を示しています。

注意: Oracle Internal Controls Managerでのセキュリティの詳細は、「Oracle Internal Controls Managerのロールと権限」および「Oracle Internal Controls Managerの機能セキュリティ」を参照してください。

次の表に、Oracle Internal Controls Managerでの職責とメニュー項目のマトリクスを示します。

Copyright © 2003, 2005, Oracle. All rights reserved.