日経ITプロ 「IT監査は恐るるに足らず」という意見もあるようです。

　こんにちは、丸山満彦です。日経ITproの記事からです。ベリングポイントが「日本版SOX法」の実施基準案に関する記者説明会を開き、表題のような意見を述べたようですね（私は聞いていませんが・・・）

　
■日経ITPro
・2006.11.24 「IT監査は恐るるに足らず」とベリングポイント、内部統制の実施基準案で

理由は、
＝＝＝＝＝
「IT統制に対する監査は、現在の財務諸表監査で行われているレベルと変わらない。理屈の上では、現状の延長で対応できるはず」。
＝＝＝＝＝
ということのようです。具体的には、
＝＝＝＝＝
IT統制に関して実施基準案が求めることは、既に上場企業に導入されている基準と同じである。具体的には、日本公認会計士協会のIT委員会が2005年7月に公表した「IT委員会報告3号」だ（正式名称は、「財務諸表監査における情報技術（IT）を利用した情報システムに関する重要な虚偽表示リスクの評価及び評価したリスクに対応する監査人の手続について」）。IT統制について両者を比較すると、「今回の基準案はIT委員会報告3号をベースにしており、範囲や監査レベルも同報告の範囲にとどまっている」（山本浩二ディレクター）という。つまり、現状の財務諸表監査で監査人のお墨付きを得た上場企業は、理屈の上ではIT統制に関して大きな手間は生じない。
＝＝＝＝＝
ということのようです。
　直接聞いていないので、どういう文脈の中での発言かはわからないのですが、記事によるとそういうことのようです。

　ちょっと気になる点は、
（１）財務諸表監査で適正意見を出している会社のIT全般統制が、かならずしも有効と監査人が意見表明をしているわけではない
（２）今までは、経営者自らがIT統制が適切であると意見表明をしているわけではないので、その分は会社側の作業が増える。（例えば、整備状況の評価のための文書化や、運用テストの実施とその結果の記録、有効性の判断など・・・）

　もちろん、山本さんが指摘しているように
＝＝＝＝＝
内部統制の評価・監査範囲がそもそも財務諸表より広い「財務報告」になっている点には注意を促した。IT統制に関しても、この違いが従来の範囲からの差分になりうるからだ。例えば、上場企業が提出する有価証券報告書では財務諸表のほかに、「生産、受注及び販売の状況」や「設備投資などの概要」「株式などの状況」などが公表されている。もしそれらの報告に影響を及ぼすITアプリケーションがあれば、それも評価・監査の対象になる。
＝＝＝＝＝
とか、
＝＝＝＝＝
米国とは異なり、子会社のほかに関連会社も内部統制の評価対象になる点
＝＝＝＝＝
という点も重要なポイントかもしれませんね。。。

そのほか、関連記事として、
・2006.11.24 「J-SOX実施基準案は正式版でも大きくは変わらない」，ベリング山本氏が見解
というのもあります。