IT委員会から現行のIT委員会研究報告第42号「IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するQ&A」の改訂にかかる公開草案が公表されました。https://jicpa.or.jp/specialized_field/20190405gcw.html財務報告における情報システムに関する評価については、2011年12月に公表されたIT委員会実務指針第6号と、当該実務指針に対応したQ&A集であるIT委員会研究報告第42号を参考に行われていました。今回、クラウドサービスなどのIT環境の変化に対応してQ&A(IT委員会研究報告第42号)の見直しが行われました。今回の改訂で従来のQ&Aとは構成順序が大幅に変更されているためか、新旧対照表が公開されていません(公表されている比較表は項目ごとの関連性のみを示しています)。そこで、主要な変更箇所について抜粋しておきます。ITを利用した情報システムに対する内部統制はどのように分類されるのでしょうか。業務処理統制についてIT実6号ではどのように分類しているのでしょうか。ITを利用した情報システムでのITのリスクとはどのようなものでしょうか?Q1,Q2では、他の委員会報告等で示されていた事項について、あらためて概括的なまとめが記載されています。当研究報告を利用するにあたって前提となる知識ですので、冒頭の総論として再整理しているのは利用者にとっても有益でしょう。パッケージ・ソフトウェアのカスタマイズとは何でしょうか。「パッケージ・ソフトウェアをカスタマイズせずに利用する場合」とはどのような場合でしょうか。A8:企業が各社の業務に応じて選択したパッケージ・ソフトウェアを導入しても、パッケージ・ソフトウェアの標準機能だけでは実現不可能な業務ニーズがある場合には、パッケージ・ソフトウェアを改造(カスタマイズ)したり、追加開発(アドオン)を伴って導入することになります。当該カスタマイズとは、ソフトウェア機能自体(全体)の評価に影響を及ぼす重要な仕様変更となるようなシステム変更・追加開発を指します。締切・自動計算等の変更を伴う重大なカスタマイズがない場合をいいます。(以降略)旧委員会報告ではパッケージのカスタマイズの有無が評価上の重要な論点になっていましたが、カスタマイズ自体の定義が明確になっていなかったため、当該QAが追加されています。近年増加しているクラウドシステムに関しても項目ごとに補筆されています。Q22に次のようか記述が追加されています。市販の簡易なパッケージ・ソフトウェアを利用して会計帳簿を作成している場合の留意点にはどのようなものがあるでしょうか。会計システムのソフトウェアを購入するのではなく、ベンダーがクラウド環境下に設置したソフトウェアをネットワーク経由で利用するようなサービスを使うことがあります。このようなクラウド会計システムを利用する際、自社保有とパブリッククラウドの違いとそれによるリスクを考慮せずに、市販の簡易なパッケージ・ソフトウェアとして評価を行うことがないよう、パブリッククラウド利用のリスクについて検討することは重要です。会計システムの管理者権限を社外のベンダーが保有する場合には、不適切なアクセスのリスクに対する内部統制について如何に把握するかが課題になります。データのバックアップ体制等についてもベンダーとの契約内容で十分にリスク対応されているかを検討する必要ことになります。上記のような事項についてもクラウド業者に往査して十分な情報を得ることはパブリッククラウドの他の利用者への守秘義務の関係で制限が加わることも多くあります。)に基づき発行された保証報告書等を取得することが考えられます。本公開草案に対する意見募集期限は2019年5月6日までになっており、新しいIT委員会研究報告の公表に伴い、従来のIT委員会研究報告第42号は廃止される予定です。IT委員会からIT委員会研究資料第8号「情報インテグリティ」が公表されました。翻訳許諾の下で翻訳したものです。この資料の目的は、冒頭に以下のように記されています。本ペーパーの目的は、情報インテグリティの意味を定義し、その文脈を情報の利用者、作成者及び業務実施者に提供することである。等にも頻繁に用いられていますが、その意味について説明するのが難しい用語です。当資料では、情報インテグリティを以下のように定義しています。情報インテグリティは、当該情報の主題についての表現の忠実性及び情報の用途への適合性と定義される。use.この定義だけでは、その意味するところを十分に表現できませんので、事例を交えた詳細な解説が行われています。いった単純な翻訳を行っておりましたが、この資料では完全性も含んだもっと広い概念として捉えられており参考になりました。システム監査に携わる方だけではなく、会計監査に携わられている方々にとっても有益な資料でしょう。IT委員会からIT委員会研究報告第42号「IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するQ&A」が公表されました。http://www.hp.jicpa.or.jp/specialized_field/423132.htmlこれは、昨年、12月22日付けで公表されたIT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に対応して実務指針の見直しを行ったものです。(ちなみに、実務指針第6号と同様に、研究報告第42号も、一部カラーになっております。)また、新しい実務指針の公表に伴い、従来のIT委員会研究報告第31号及び同第32号は廃止されます。指針の改廃時期を改めて整理しておきます。新しい収益認識基準の改正内容を中心に、IFRSの改訂動向と会計システムへの影響を解説していきます。10:00~17:00多くの方の参加をお待ちしております。(IT委員会)から、IT委員会研究報告「ITに対応した監査手続事例~事例で学ぶよくわかるITに対応した監査~」の公開草案が公表されました。http://www.hp.jicpa.or.jp/specialized_field/post_1555.html本研究報告の前書きに「会員の方々が容易に、一部を理解すること、あるいは読み進めてすべてを理解することのいずれも可能なように、ITに関係した重要で興味深いと思われる内容を、事例の形を借りて検討解説しています。」とあるように、従来の研究報告とは異なり、大変、読みやすい内容になっています。研究報告の副題も、本屋でみかけるビジネス書のようであり、作成者の方々のご苦労がしのばれます。「・これらを取引先の補助番号等で集計・分析する。」という記載があります。この事例では、売上先と仕入先が同一業者のケースを想定しているようですが、通常、取引先コードは、同一の業者であっても得意先と仕入先で異なるコードを設定するため、取引先の補助番号等で集計するだけで異常性を検出するのは難しいのではないでしょうか(実務的には、循環取引は、3社間で行われるケースが多いです)。本日、金融庁から金融機関における「システムリスクの総点検について」という要請文書が公表されています。これは、先日のみずほFGにおけるシステム障害を受けてのものですが、報告書の提出期限は8月末ですので、金融関係のIT部門の方々は、夏休み時期の見直しが必要かもしれません。