ワークフローの監査対応。閲覧権限では答えられない質問

ワークフローの監査対応は、閲覧権限を作れば足りるのか

ワークフローの監査対応で最初に用意するものは、監査用の閲覧ロールです。内部監査室のアカウントに読み取り専用の権限を付けて、決裁済みの申請を一覧で見られるようにする。ここまでは設定画面の中で終わります。

ただし、内部監査室の評価が始まると、一覧では答えられない質問が出てきます。去年12月に下りた稟議を決裁したのは誰か。そして、その人は当時この金額を決裁できる立場だったか。

後半の質問で、画面を見直すことになります。決裁者の名前と日時までは出ています。出ていないのは、その人が去年12月にどの役職だったかです。

ワークフローシステムの人事情報は、今の状態を持つように作られています。経路を正しく流すために要るのは今の情報なので、設計としては自然です。一方で内部監査室が見るのは過去の1件で、その1件が下りた当時の状態です。

監査用の閲覧権限を作る、という手はここに届きません。権限は見える範囲を決めるもので、記録に何が残っているかまでは変えられないためです。

本記事では、問われる記録を、今の設定・1件ごとの記録・設定変更の履歴の3か所に分けて並べます。内部監査室が動き出す前に、どこを確かめておくかを選ぶ材料として使ってください。

ワークフローの監査対応は、閲覧権限を作れば足りますか

足りるのは、要求のうち今の状態を見せる分だけです。過去の1件について問われる分は、権限ではなく、その1件に何が残っているかで決まります。

承認証跡とは、誰がいつ何を承認したかを後から確かめられる記録のことです。紙の稟議で押印が擦れて読めない、回覧の順番が分からない、といった問題は電子化の時点で消えます。

本記事では、次の状況を通し例として使います。9月が期末の1,500名の企業。10月に内部監査室がワークフローのサンプルテストに入り、抜かれたのが去年12月の設備投資1,800万円の稟議1件です。

決裁権限規程では、設備投資は1,000万円超5,000万円以下が管理本部長決裁で、5,000万円を超えると取締役会の決議事項。1,800万円のこの稟議には、管理本部長の名前で決裁が下りています。ところが今の経路を開くと、管理本部長の段には別の名前が入っています。去年の管理本部長は4月の組織変更で関係会社に移り、後任が座っているためです。

この1件をめぐって出てくる質問は、答えの出どころが分かれます。

4つの質問で、見る場所が3種類に分かれています。閲覧ロールが効くのは、この表の「今の設定」の行だけです。

内部監査室は、承認証跡の何を見ていますか

決裁した人の名前と時刻そのものではありません。その人が規程上の決裁権者だったかどうかを見ています。

内部統制の評価は、整備状況の評価と運用状況の評価に分かれます。どちらも会社側が実施するもので、その評価が妥当かを外から検証するのが監査法人の側です。

整備状況の評価は、仕組みが正しく作られているかを見ます。業務記述書・フローチャート・リスクコントロールマトリックスに書いた統制が、実際の設定と合っているか。書式の経路を画面で開いて、規程の金額区分と突き合わせる作業です。

運用状況の評価は、その仕組みが期間を通じて実際に動いていたかを見ます。全件は見られないので、サンプルを抜いて1件ずつ確かめます。日常反復して発生する統制なら25件程度が実施基準で示されていますが、統制の頻度と会社の評価計画で件数は変わります。

整備は期末日の設定を見て、運用は期間を通じた記録を見ます。期中に設定を変えた企業では、整備状況の側にも変更の記録が要ります。 4月に経路を切り替えた通し例の企業は、まさにそこに当たります。

1,800万円の稟議は、運用状況の評価で抜かれたサンプルの1件です。ここで確かめるのは、その決裁が規程で定めた権限者から下りているかどうか。通常はチケットの承認履歴で終わります。長くなるのは、決裁者の名前と今の組織図が食い違っているときです。

サンプルは評価対象の期間から抜かれます。期中に組織変更があれば、変更の前と後が同じサンプルの中に混ざります。組織変更のときに当日まで残る作業については、ワークフローの組織変更、当日に残る作業は2つに分かれるで整理しています。

評価で使う記録の出どころは、どこに分かれますか

今の設定、1件ごとの記録、設定変更の履歴の3つに分かれます。

評価で使う記録とは、統制が設計どおりに作られ、期間を通じて動いていたことを後から示せる記録の総称です。承認証跡はそのうちの一部にあたります。

1つ目は、今の設定です。 書式の経路、承認者の割り当て、権限の付与状況、金額による分岐の条件。管理画面を開けば見えます。整備状況の評価で使うのは主にここで、監査用の閲覧ロールが効くのもここです。

2つ目は、1件ごとの記録です。 申請の内容、添付、承認者の名前と時刻、コメント、差し戻しの履歴。チケットを開けば出てきます。運用状況の評価で抜かれた1件を説明するのがこの記録です。

3つ目は、設定変更の履歴です。 経路をいつ誰が変えたか、権限をいつ誰に付けたか、書式をいつ変えたか。1つ目でも2つ目でもない場所にあり、製品によっては管理者の操作ログとして残ります。保存期間が決まっているものもあれば、そもそも残らない製品もあります。

3つ目は、準備の段階で抜けやすい記録です。期中に何も変えていなければ、整備状況は今の設定で足り、1件を説明するときはチケットで足ります。その年は出番が来ないためです。

出番が来るのは、期中に設定を変えた年と、1つ目と2つ目が食い違って見えるときです。1,800万円の稟議は管理本部長の決裁で下りていて、今の経路には別の名前が入っている。並べると矛盾しているように見えます。矛盾ではないと示せるのは、4月に経路を変えた記録があるときだけです。

権限の付与も同じ構造です。今の権限一覧を出せば、誰が今どの権限を持っているかは分かります。分からないのは、去年12月の時点で誰が持っていたか。指摘されやすい項目として退職者アカウントの放置や過剰な権限が挙がりますが、それを期間を通じて確かめるには、いつ付けていつ外したかの記録が要ります。

後から作れない記録はどれですか

設定変更の履歴です。ログを取っていなかった期間は、後から書き足せません。

準備で出てくる弱点は、対策で埋まるものと、埋まらないものに分かれます。

対策で埋まる弱点は次の3つです。

1. 見せる範囲が広すぎる。ロールの設計で絞れます。人事や給与の申請を対象外にしたいなら、書式単位で除外できるかを確かめる話です
2. 一覧の出し方が分からない。CSVで出せる製品がほとんどで、出力する項目も選べます
3. 当時の役職が記録に残っていない。人事側で辞令の記録を持っていれば、突き合わせれば埋まります。手間はかかりますが、答えは出せます

対策で埋まらない弱点は次の4つです。

1. システムに移す前の期間の記録。切り替え日より前からサンプルが抜かれれば、出すのは紙の稟議書です。どの書式をいつ切り替えたかの一覧が残っていなければ、紙とシステムのどちらを探すのかから分かりません
2. 設定変更の履歴が残っていない期間。ログを取っていなければ、経路がいつ変わったかを記録で示せません
3. 決裁時点の経路が1件に凍結されない製品での、当時の経路。チケットを開いたときに今の経路定義を参照して表示する作りだと、経路を変えた瞬間に過去の1件の見え方も変わります
4. 代理承認で操作した人が併記されない製品での、誰が操作したか。代理で押した事実は、後から書き足せません

1から3は、気づいた時点から手を打てば間に合います。4から7は、気づいた時点より前の期間に手が届きません。このうち、自社の判断で今から変えられるのは操作ログの取得と保存期間だけです。 残りの3つは、移行の履歴と製品の仕様で決まっています。

代理で下りた決裁が記録にどう残るかは、代理承認の設定は、本人だけに持たせて足りるかで扱っています。

1,800万円の稟議では、何が出て何が出なかったのですか

出たのは決裁者の名前と時刻で、出なかったのは当時の役職でした。

内部監査室が抜いたサンプルのうち、ほとんどは一覧とチケットの画面で終わっています。止まったのがこの1件です。

情シスがすぐ出せたのは、チケットの承認履歴です。管理本部長の氏名と、12月の決裁日時。ここまでは想定どおりでした。

出せなかったのが、その人が12月の時点で管理本部長だったことの裏付けです。今の組織図には関係会社への異動として載っているため、システムの中だけでは示せません。人事から辞令の記録を取り寄せて突き合わせる。ここが一番時間のかかった工程でした。

そのあとに来たのが、この経路は去年12月と今で同じか、という質問です。同じではありません。4月に変えています。

変更の記録は残っていました。管理者の操作ログに、4月1日付けで経路のバージョンを切り替えた記録がある。切り替えの元になった組織変更の申請も、ワークフローの中に稟議として残っていました。残っていなければ、経路が変わった理由を口頭で説明することになったはずです。

この1件は、記録を辿るのに時間がかかったという形で評価の記録に残りました。ここから先は、期末までに何を整えておくかの話になります。役職の履歴をどこで持つのか、操作ログの保存期間を延ばせるのか。次の期の準備に回る論点です。

監査対応の準備を閲覧ロールの設計とCSVの出し方で終えると、この種の質問に届きません。「この経路はいつから今の形か」という問いは、閲覧権限では答えが出ないためです。通し例の企業は操作ログが残っていたので答えが出ましたが、残っていなければ答えようがない質問でした。

規程の1行が設定のどこに落ちるかについては、決裁権限規程の1行は、ワークフローの4か所に分かれるで整理しています。

監査対応の前に、何を確かめておきますか

聞く相手で2つに分かれます。社内の監査部門に聞くことと、ベンダーに聞くことです。

社内の監査部門に聞くこと

1. 評価対象の業務プロセスのうち、ワークフローで回している申請はどれが入っているか
2. 運用状況の評価では、どの期間からサンプルを抜くか
3. サンプルで確かめるのは決裁が下りている事実か、それとも決裁者が権限規程上の権限者だったかか
4. 期中に経路や権限を変えた書式について、整備状況をいつ時点で評価するか
5. 承認以外に証跡を求められるもの（見積書の添付、相見積の記録）はあるか

ベンダーに聞くこと

1. 決裁が下りた時点の経路と承認者は、その1件の中に残るか。今の経路を変えたとき、過去の1件の表示は変わらないか
2. 承認者の当時の役職は記録に残るか。それとも今の役職が表示されるか
3. 経路・書式・権限の設定変更は、誰がいつ変えたかのログに残るか。保存期間はどのくらいか
4. 代理承認で操作した人の名前は、記録に併記されるか
5. 監査用の読み取り専用のロールは、対象の書式だけに絞れるか

6から10は仕様の話なので、確かめれば答えが出ます。一方、1から5はその企業の評価計画の中にしか書かれていません。件数の目安は実施基準に示されていますが、どの期間からどう抜くかは企業ごとに違うため、一般的な相場観で代用すると実際の抜き方と噛み合わなくなります。

まとめ

準備は閲覧権限の設計から始めることが多くなります。効くのは整備状況の評価までで、運用状況の評価は別の記録を要求します。

• 要求は、今の状態を見せるものと、当時を再現するものに分かれる
• 整備状況の評価は期末日時点の設定で答えられる。ただし期中に変えていれば、変更の記録が要る
• 運用状況の評価は、抜かれた1件ごとに答える
• 記録の出どころは3つ。今の設定、1件ごとの記録、設定変更の履歴
• 3つ目は、期中に設定を変えた年と、1つ目と2つ目が食い違って見えるときに要る記録で、準備の段階で抜けやすい
• 閲覧範囲や出力の手間は後から対策できる。移行前の期間、残っていないログ、凍結されていない当時の経路は後から作れない

監査の話が出たら、まず運用状況の評価でサンプルをどう抜くかを確かめる。そのうえで、自社の記録がどこまで当時を再現できるかを見にいく。ここが準備の入口です。

よくある質問

ワークフローの記録は、どのくらいの期間残す必要がありますか

申請の中身によって根拠となる法令が変わります。会計帳簿や取引に関する書類は会社法や法人税法で保存期間が定められており、電子取引に当たるものは電子帳簿保存法の要件が重なります。ワークフローの記録そのものに一律の期間があるわけではなく、その申請がどの書類に当たるかで決まります。あわせて確かめておきたいのがシステム側の操作ログの保存期間で、申請データは残っていてもログだけ先に消える設定になっていることがあります。

監査法人にワークフローのアカウントを発行する必要がありますか

発行する場合と、情シスや内部監査室が依頼を受けて出力する場合に分かれます。アカウントを発行すると自分で画面を見られるので、依頼と出力の往復が減ります。ただし、読み取り専用のロールで対象の書式だけに絞れるかは先に確かめるところで、絞れない製品で全書式が見える状態になると人事や給与の申請まで範囲に入ります。外部に発行する場合は、アカウントの有効期限と、終わったあとの無効化の手順も決めておく論点です。

紙とシステムが混在している期間は、どう評価しますか

同じ統制について証跡が2か所に分かれるため、どの申請がいつシステムに移ったかの一覧が要ります。切り替え日をまたぐ期間からサンプルが抜かれると、紙の稟議書とシステムのチケットの両方を出すことになります。移行の途中で書式ごとに順番に切り替えた場合は、書式単位でいつ切り替えたかを記録しておくと、期間を分けて見られます。