内部監査とシステム基盤のあり方について

   また、継続的業務改革というキーワードでシステムを見たとき、システム基盤のあり方も柔軟な形態へと変化していくと考えられる。野村総合研究所で過去に実施したアンケート結果からも、システム基盤は中長期的に「プロセス・データ統合型」から「モジュール型」へと移行していくものと見られた。

   ただし、現状の多くの企業においては、様々なアプリケーションシステムが様々なシステム基盤の上で稼動している。結果として、それらの稼動状況や統制状況を単一のアプリケーションごとに把握することはできても、全社的な稼動状況や横串でのアプリケーション間の比較などは不可能に近いと考えられる。

   このような混沌とした状況におかれた企業が、今までのシステムをすべて一気に捨て去り、データ・システム統合型もしくはモジュール型の基盤形態へと移行するとは考え難い。おそらく、何らかの段階を踏む必要がある。その1つのきっかけが、今回のSOX法対応であるとも考えている。

   SOX法を契機として、業務フローを中心に全社的な統制活動が可視化され、アプリケーションと業務が紐付けて管理することが可能となる。内部監査部門は、その統制状況を「毎年」かつ「組織横断的」に監査していくのである。

   この内部監査部門の活動こそが、現在のCIOおよびIT部門が切望している「全社的な業務およびシステム稼動状況の把握」と酷似している（図3）。この内部監査部門の監査業務をIT部門として積極的に支援していくことで、業務を切り口としたシステムの稼動状況を一元的に管理することが可能となり、どのシステムもしくは業務から、次期システムへと移行するべきかという対策を打つことが容易になると考えている。

図3：求める全社的な業務・システムの状況

内部監査業務とは、まさに経営者が求める可視化業務であると言い切れる。単にSOX法対応プロジェクトに文書化ツールを導入するという視点ではなく、内部監査部門の業務、つまり経営が何を求めているかという視点で考えることがIT部門に求められている。

最後に

   これまでERMや継続的業務改革について、システムツールの要件がイメージできるように述べてきたが、システムツール以上にその導入の前提となる整備活動が重要であると筆者らは考えている。その整備活動こそが、SOX法活動の文書化作業であり、とくに作業負荷がかかるといわれている業務プロセス統制の文書化作業である。

   確かに大変な作業であり、誰もがイヤイヤながら対応されていると思われる。IT部門の方と話をしても、「IT全般統制だけで手一杯であり、業務プロセス統制は手伝えない、手伝いたくない」というコメントを耳にすることが多い。

   筆者らは、業務プロセス統制文書化が実はIT部門にとっては千載一遇の機会であると考えている。会社内の業務体系を整理することが可能となり、かつそれをメンテナンスすることが公に求められているだけでなく、会社内の統制状況を業務および業務で活用しているアプリケーションと一体となって全社的な視点で監視することも求められているからである。

   まさに、やりたくてもなかなか現場の賛同が得られ難かった活動を、SOX法という法律を活用して実施できるのである。しかも、この作業（文書化および統制モニタリング）を効率化およびシステム化することは、財務・経理の担当者だけでは難しく、システム的な知見をもった人材が担当することが求められる。

   米国では、このことに気づいたCIOやIT部門は積極的にSOX法対応に関与しはじめている。ある米国の雑誌記事では、「CFO vs CIO」と書き立てることで、CIOがCFO以上に会社の中身を把握し、牛耳ろうとしているとコメントしている。それは少し大袈裟としても、それほど CIOおよびIT部門にとっては千載一遇の機会であることも忘れずに、前向きにSOX法対応に参画していただきたい。