Control Objectives

　こんにちは、丸山満彦です。
「日本のシステム管理基準に無くて、Cobitに、情報セキュリティ管理基準あるものはな～んだ？」

　
　答えは、「Control Objectivesです。」

　もちろん、これ以外にも答えはあるんですけど・・・。
　日本語では統制目標とか統制目的と言われることがあります。日本版サーベンスオクスリー法（JSOXとか言われていますが）の導入コンサルがはやっていますが、その際にはControl Objectivesの概念が重要です。でも日本ではあまり重要視されていないので心配です。（とシステム管理基準の作成の際に思いました・・・）

　財務報告に係る内部統制の監査では、会計士は、財務報告に係る内部統制の有効性を評価します。準拠性ではなく有効性の評価です。つまり、内部統制が存在するかではなく、有効な内部統制が存在するか？が立証命題です。この違いは大きいです。有効という概念には、目標を達成していると言う意味を含んでいますので、Control Objectivesが明確になっていないと有効性の評価はできません。

　内部統制の有効性の評価は、整備状況（design）の有効性と、運用状況（operating）の有効性の評価をしますが、整備状況の有効性の評価は次のように行うとPCAOB2号の第88項には書かれています。

・Control Objectivesの識別
・Control Objectivesを満たすControlの識別
・Controlが適切に運用されているならば、財務諸表の重要な記載誤りとなる恐れのある誤謬又は不正を有効に防止したり発見することができることの判断

＝＝＝＝＝
・Identifying the company's control objectives in each area;
・Identifying the controls that satisfy each objective; and
・Determining whether the controls, if operating properly, can effectively prevent or detect errors or fraud that could result in material misstatements in the financial statements.
＝＝＝＝＝

つまり、Control Objectivesを識別し、それを満たすControlsを識別する必要があるわけです。

　システム管理基準では統制行為（controls）そのものが羅列されているだけですから、内部統制の有効性の評価にシステム管理基準を使うのは難しいですね。

　情報セキュリティ管理基準には目的が書かれていますので、そのControl Objectivesが達成できていることを評価する情報セキュリティ監査の実施が可能となります。すべてのリスクアセスメントの結果必要と判断したすべてのcontrol objectivesがリスクに応じて有効に機能していれば、その組織の情報セキュリティに係る内部統制は有効と評価されることになりますね。

　control objectivesの概念は重要ですね・・・

政府の情報セキュリティ統一基準にもcontrol objectivesは書いていません。なので、政府の情報セキュリティ統一基準の監査は実施状況の準拠性監査を中心に行うことになりますね。

---

このブログの中の意見は私見であり、所属・関係する組織の意見ではないことをご了承ください。