ワークフローの監査対応。閲覧権限では答えられない質問

こんにちは。シンプルなのに多機能で圧倒的に使いやすい、クラウドワークフロー「kickflow」のメディア運営チームです。

「ワークフローの監査対応は、内部監査室に閲覧権限を付ければ済むのか」
評価の準備に入った情シスで、こうした声が出ることは珍しくありません。
監査担当者に閲覧の権限を付ければ、決裁済みの申請はすぐ一覧で見せられ、準備がそこで終わったように見えるためです。

一方で、抜かれた1件の決裁者が当時その金額を決裁できる立場だったかを問われると、システムの外の記録までたどることになります。
そこで今回は、1件を説明する記録の4つの出どころと、閲覧権限で答えが出ない質問への備え方を解説します。

この記事の要点

• 閲覧権限で答えが出るのは、1件の記録に残っていることと、管理者の操作ログの保存期間の中にあることまでです
• 決裁者がその後に異動している1件では、当時の役職の裏付けにいちばん時間がかかります。当時の役職を示す記録は、ワークフローの外にあることが少なくありません
• 1件を説明する記録の出どころは、システムの中にある今の設定、1件ごとの記録、設定変更の履歴と、システムの外にある当時の組織と役職の4つです
• 見せる範囲や出力の手間は、気づいた時点から対策できます。経路の版も管理者の操作ログも残っていない期間の設定変更は、遡って示せません
• 準備は、どの期間からサンプルを抜くかを社内の監査部門に聞くところから始まります

監査対応で閲覧権限が届く範囲

ワークフローの監査対応で閲覧権限が決めるのは見える範囲で、答えが出るかどうかは記録に残っているかで決まります。

承認証跡とは、誰がいつ何を承認したかを後からたどれる記録のことです。
電子化しても消えずに続くのは、記録された名前の人が当時どの立場にいたか、という問いです。

例えば、9月が期末の1,500名の企業で、10月に内部監査室がサンプルテストに入ったとします。
抜かれたのは、去年12月に下りた設備投資1,800万円の稟議1件です。
決裁権限規程では、設備投資の1,000万円超5,000万円以下が管理本部長の決裁です。
この稟議には、管理本部長の名前で決裁が下りています。
ところが今の経路を開くと、管理本部長のステップには別の名前が入っています。
4月の組織変更で前任者が関係会社に移り、後任が就いたためです。

相談の場で、年に一度の監査法人の監査で突っ込まれても問題にならない仕組みか、と聞かれたことがあります。
私は、閲覧だけを付けた管理者ロールを監査用に作れることと、操作のログが残ることから答えました。
決裁した人が当時その金額を決裁できる立場だったかには、そのとき触れていませんでした。

この1件をめぐる質問は、答えの出どころが質問ごとに違います。

閲覧専用のロール（閲覧だけを付けた管理者ロール）で答えが出るのは、記録の中に答えがある行だけです。
「当時の組織と役職」の行は記録の外にあり、「設定変更の履歴」の行は管理者の操作ログの保存期間を過ぎると届きません。
「今の設定」の行も、経路の設定に閲覧だけの権限を付けられない製品では、経路を管理する担当者が画面を一緒に開いて見せます。

整備状況と運用状況の2つの評価

内部統制の評価には整備状況の評価と運用状況の評価があり、見る時点が違います。
どちらも会社側が実施する評価です。

整備状況の評価では、書式の経路を画面で開き、規程の金額区分と突き合わせます。
期中に経路を変えた企業では、変更前の設定は今の画面に出ないため、設定変更の履歴で示します。

運用状況の評価は、全件ではなくサンプルを抜いて1件ずつ見ます。
会社側が何件をどの期間から抜くかは、評価計画で決まります。

1,800万円の稟議も、こうして抜かれた1件です。
見るのは、その決裁が規程で定めた権限者から下りているかどうかで、通常はチケットの承認履歴で済みます。

1件を説明する記録の4つの出どころ

1件を説明する記録の出どころは、システムの中にある今の設定、1件ごとの記録、設定変更の履歴の3つと、システムの外にある当時の組織と役職の4つです。
設定を変えていない年でも、決裁者が異動していれば4つ目が要ります。

今の設定は管理画面を開けば見えます。
1件ごとの記録はチケットを開けば出てきて、チケットごとの操作履歴を期限なく保存する製品もあります。
申請データそのものを何年残すかは、ワークフローの保存期間は規程の年数だけでは決まらないで扱っています。

設定変更の履歴は、前の2つのどちらにも含まれない場所にあります。
管理者の操作ログとして残す製品では、その保存期間がプランごとに決まっていることがあります。
保存期間が評価の期間より短ければ、管理者の操作ログがあっても去年12月の時点までは届きません。
経路の版を一覧で残す製品なら、管理者の操作ログが消えても、いつから今の形かの答えの一部は版の一覧にあります。

並べると矛盾して見える決裁者の名前と今の経路を、矛盾ではないと示せるのは、4月に経路を変えた記録があるときだけです。

当時の役職を裏付けるのは、人事部が管理している辞令の記録です。
組織図を版で切り替えている製品でも、切り替え前の版を開いて当時の役職を見られるかは製品によって違います。
決裁の時点で規程のどの版が有効だったかは、決裁権限規程の1行は、ワークフローの4か所に分かれるで扱っています。

対策で埋まる3つの弱点と埋まらない3つの弱点

準備で見つかる弱点には、気づいた時点から手を打てば間に合うものと、気づく前の期間に手が届かないものがあります。

経路の表示が変わらない製品でも、差し戻して再申請した1件は、再申請の時点で経路を組み直すことがあります。
その1件は、最初の申請ではなく再申請の時点の経路で説明します。

設定変更の履歴は、残っていなかった期間に遡って用意できません。
これから先の期間は、管理者の操作ログを保存期間より短い間隔で書き出して自社で保管すれば、製品の保存期間に縛られずに済みます。
経路の版ごとにメモを書ける製品なら、切り替えた日と理由、根拠になった組織変更の稟議を版のメモに書いておく手もあります。

代理で下りた決裁が記録にどう残るかは、代理承認の設定は、本人だけに持たせて足りるかで扱っています。

1,800万円の稟議で出た記録と出なかった記録

1,800万円の稟議で情シスがすぐ出せたのは決裁者の名前と時刻で、出せなかったのは当時の役職でした。
その穴を埋めたのは、システムの外にある人事の記録です。

チケットの承認履歴からは、管理本部長の氏名と12月の決裁日時がそのまま出ました。
出せなかったのは、その人が12月の時点で管理本部長だったことの裏付けです。
今の組織図では関係会社への異動として載っているため、システムの中だけでは示せません。
人事から辞令の記録を取り寄せて突き合わせる工程に、いちばん時間がかかりました。

次に来たのが、この経路は去年12月と今で同じか、という質問です。
経路は4月に変えていて、その記録は手元にありました。
管理者の操作ログを毎月書き出して保管しており、3月に4月1日付けで経路の版を切り替える予約をした行が見つかったためです。
切り替えの元になった組織変更も、ワークフローの中に稟議として残っていました。

この1件は、記録をたどるのに時間がかかったという所見とともに、評価の記録に載りました。
次の期に向けては、役職の履歴をどこで持つかが論点になっています。

監査の4つの質問ごとの準備

監査対応の準備は、冒頭の4つの質問ごとに、答えの出どころを前もって開いておく作業です。
どの期間からサンプルを抜くか、決裁者の権限まで見るかは、社内の監査部門の評価計画に書かれています。
先にそれを聞くと、どの行をどの期間について用意するかが決まります。

まとめ

閲覧権限の設計と並行して、サンプルを抜く期間を監査部門に聞いておきます。
期間が分かれば、その中で決裁者の異動と経路の変更があったかを見られます。
異動があれば辞令の記録の取り寄せ方を、経路の変更があればその期間の管理者の操作ログが手元にあるかを、評価が始まる前に決めておけます。

この記事の整理が、監査対応の準備でどの記録から見にいくかを決める手がかりになれば幸いです。

よくある質問

内部監査室と監査法人で、見せる記録は変わりますか

記録の出どころは同じ4つで、変わるのはサンプルを誰がどの期間から抜くかです。
内部監査室は会社側の評価計画に沿って抜き、監査法人は会社の評価を検証する立場から、自分たちで選んだ1件の提示を求めることがあります。
監査法人が内部監査室の評価の記録を見ることもあるため、所見を付けた1件は、突き合わせた辞令の記録ごと出せるようにしておくと説明が短くなります。

紙とシステムが混在している期間は、どう評価しますか

同じ統制の証跡が紙とシステムの2か所にあるため、どの書式をいつシステムに移したかの一覧が要ります。
切り替え日をまたぐ期間からサンプルが抜かれると、紙の稟議書とシステムのチケットの両方を出すことになります。
書式ごとに順番に切り替えた場合は、書式単位の切り替え日が分かれば、紙とシステムのどちらを探すかがすぐ決まります。

監査で指摘を受けた1件について、決裁後のチケットに何を書き足せますか

完了した申請の項目を編集できない製品では、書き足せるのはコメントです。
指摘の内容と、どの記録で裏付けたか（辞令の記録など）をコメントに書いておくと、同じ1件が再び問われたときの説明が短くなります。
ただし、コメントは後日の注記で、決裁の時点の記録そのものを補うものではありません。