継続的な監査

継続的監査は、管理やリスク評価などの監査活動をより頻繁に実行するために使用される自動化された方法です。テクノロジは、例外や異常の識別の自動化、主要な数値フィールドの数字内のパターンの分析、傾向の確認、管理のテストなどの活動を支援することで、継続的監査活動において重要な役割を果たします。

継続的監査および報告の「継続的」な側面は、財務情報をリアルタイムまたはほぼリアルタイムで確認して共有できることを指します。これは、情報の完全性を任意の時点で評価できるだけでなく、エラー、不正、非効率性がないか情報を継続的に検証できることも意味します。これは最も詳細な監査です。

継続的監査の各インスタンスには、独自の脈動があります。評価のために選択される時間枠は、会計情報システム内の更新頻度に大きく依存します。データの分析は、特定のアサーションの基礎となるビジネス サイクルの性質に応じて、継続的、時間ごと、日ごと、週ごと、月ごとなどで実行できます。

財務報告の目的は、経営陣や利害関係者が資源配分を決定する際に役立つ情報を提供することです。財務情報が役立つためには、タイムリーで、重大な誤り、省略、不正がないことが必要です。リアルタイム経済では、戦略計画、資本獲得、信用決定、サプライヤーパートナーシップなどに関する日々のビジネス上の決定には、タイムリーで信頼性の高い財務情報が不可欠です。エンタープライズリソースプランニング(ERP) システムの登場など、会計情報システムの進歩により、リアルタイムの情報の生成が可能になりました。しかし、従来の監査の実践は、リアルタイム経済に追いついていませんでした。従来の手動監査手順は、労力と時間がかかり、監査頻度は毎年などの定期的なものに制限されます。

これらの時間と労力の制約は、テクノロジーと自動化を利用することで軽減できます。継続的な監査は、テクノロジーと自動化を利用して監査プロセスをより効率的かつ効果的にすることで、監査サービスの提供を強化します。監査プロセスの効率と有効性が向上すると、より頻繁な監査やリアルタイムの監査が可能になり、基礎となる情報の信頼性が向上します。^[1]

継続的監査の最初のアプリケーションは、1989年にAT&Tベル研究所で開発されました。^[2]継続的プロセス監査システム（CPAS）として知られるこのシステムは、ミクロス・ヴァサルヘリとハルパーによって開発され、会社の請求情報の測定、監視、分析を提供しました。ここでは、財務情報に関連する指標、分析、アラームなどの重要な概念も導入されました。

継続的監査は、継続的データ保証（CDA）、継続的統制監視（CCM）、継続的リスク監視および評価（CRMA）の3つの主要部分で構成されています。^[3]

継続的データ保証は、情報システムを通過するデータの整合性を検証します。継続的データ保証では、ソフトウェアを使用して IT システムからデータを抽出し、トランザクション レベルで分析して、より詳細な保証を提供します。CDA システムは、より高いレベルのデータ集約で比率または傾向分析に依存する現在の方法とは対照的に、ビジネス プロセス レベルで分析手順の期待モデルを設計する機能を提供します。CDA ソフトウェアは、トランザクションを継続的に自動的に監視し、その一般的な特性を事前に決定されたベンチマークと比較することで、異常な状況を特定できます。重大な不一致が発生すると、アラームがトリガーされ、適切な関係者と監査人にルーティングされます。

継続的コントロール監視は、内部コントロールの機能を監視するために使用される一連の手順で構成されます。CCM は、コントロール自体と監視手順の両方が正式であるか、正式化可能であることを前提として、自動手順に依存します。CCM は、アクセス制御と承認、システム構成、およびビジネス プロセス設定の監視に使用できます。CDA と CCM は補完的なプロセスです。どちらのプロセスも自己完結的でも包括的でもありません。データ障害が見つからない場合でも、コントロールがフェイルセーフであると結論付けることはできません。さらに、コントロールが実装されている場合でも、データの整合性を想定することはできません。ただし、これらの監視アプローチを組み合わせると、より完全な依存関係の図が示されます。

継続的なリスク監視と評価は、リスクを動的に測定し、監査計画に情報を提供するために使用されます。CRMA は、組織内のさまざまな機能タスクにわたってデータを集約し、リスクの露出を評価し、企業のリスク評価に合理的な保証を提供する、リアルタイムの統合リスク評価アプローチです。

前述の 3 つのコンポーネントに加えて、ブラック ボックス監査ログ ファイルも継続的監査の重要な部分です。このファイルは、手動または自動化された作業書類に監査活動を文書化する既存の慣行の延長として見ることができます。ブラック ボックス ログ ファイルは、監査人の行動の読み取り専用の第三者管理記録です。ブラック ボックス ログの目的は、継続的監査システムを監査人や管理者による操作から保護することです。^[4]

継続的報告とは、財務情報および非財務情報をリアルタイムまたはほぼリアルタイムで公開することです。継続的報告の目的は、期末レポートを待つのではなく、基礎となるイベントが発生したときに外部関係者が情報にアクセスできるようにすることです。企業がXBRLを採用すると、継続的報告情報の公開がより実現可能になります。継続的報告は、公正開示規則の下でもユーザーにとってメリットがあります。継続的報告は常に議論の的となっています。アナリストや投資家を含む一部の関係者は、特定の時点での企業の状況を知ることに関心があります。彼らは、ほぼリアルタイムの情報があれば、重要なビジネスの動きが発生したときにそれを活用できると主張しています。しかし、反対派は生の情報がどのように役立つのか懐疑的で、情報過多、つまり無関係な情報が多すぎることを恐れています。さらに、一部の企業は、継続的に報告される財務情報によって重要な戦略的動きが明らかになり、競争上の優位性が損なわれることを恐れています。

一般的に、継続的監査の実施は6つの手順から成り、通常は継続的監査マネージャーによって管理されます。これらの手順を知っておくことで、監査人は継続的監査プロセスをより適切に監視し、必要に応じて改善のための提案を行うことができます。^[5]これらの手順には以下が含まれます。

• 優先分野の設定。

これには、監査する組織領域の選択が含まれます。上記のアクションを実行する際、監査人は各監査手順の主要な目的を考慮する必要があります。目的は、検出、抑止 (予防とも呼ばれる)、財務、コンプライアンスの 4 つのタイプに分類できます。特定の監査優先領域は、これら 4 つの目的のいずれかを満たす可能性があります。

• 監視および継続的な監査ルールを特定します。

2 番目のステップは、継続的な監査活動を導くルールまたは分析を決定することです。これらのルールまたは分析は、プログラム化され、頻繁に繰り返され、必要に応じて再構成される必要があります。さらに、監視および監査のルールでは、特定のプロセスの目的だけでなく、法的および環境的問題も考慮する必要があります。

• プロセスの頻度を決定します。

継続的監査は、文字通り継続的である必要はありません。監査人は、コンピューターとビジネス プロセスのタイミング、および継続的監査のトレーニングを受けた監査人や継続的監査の経験がある監査人のタイミングと可用性など、監査対象プロセスの自然なリズムを考慮する必要があります。

• 継続的な監査パラメータの設定。

各監査領域で使用されるルールは、継続的監査手順 (CAP) を実装する前に設定する必要があります。さらに、監査対象のアクティビティから生じる変更に基づいて、初期設定後に各パラメータの頻度を変更する必要がある場合があります。CAP を定義する場合、監査人はエラー検出のコストと利点、および監査と管理のフォローアップ アクティビティを考慮する必要があります。

• フォローアップ。

別の種類のパラメータは、アラームと検出されたエラーの処理に関係します。継続的な監査プロセスを確立する際には、アラームを誰が受信するか (ライン マネージャー、内部監査員、またはその両方など ― 通常、アラームはプロセス マネージャー、マネージャーの直属の上司、またはその CAP を担当する監査員に送信されます)、フォローアップ アクティビティをいつ完了する必要があるかなどの質問に対処する必要があります。

• 結果を伝える。

最後に考慮すべき点は、監査対象者とのコミュニケーション方法です。継続的な監査活動の結果を監査対象者に通知する場合、そのやり取りが独立かつ一貫していることが重要です。

継続的監査の需要は、主にユーザー主導の要件など、さまざまなソースから生じています。外部開示、内部要因、法律と規制、テクノロジーはすべて、需要を押し上げる上で重要な役割を果たしています。

より頻繁な情報開示は監査プロセスの性質を左右する。この増加は収益の質を向上させると同時に、経営者の攻撃性を減らし、株式市場のボラティリティを低下させる。^[6]

企業が自社部門内やサプライヤーや小売業者などの他の企業との統合を進めるにつれて、電子データ交換プロセス全体にわたるデータの整合性に対する要望も継続的な監査の需要を促進しています。^{[7] [8]}

法律や規制により、企業が特定の目標を達成するためにとった活動や方法を監視することが義務付けられています。このような法律や規制に基づき、企業は継続的な監査を開始しました。

XBRL は、タグ付けされたデータの意味をシステムが理解する方法を提供することで、継続的な監査モジュールの開発を容易にします。XBRL を適切に使用することで、複数のソースから収集された関連データを簡単に比較および分析できるようになります。XBRL はXMLファイル形式の派生であり、コンテキスト情報と階層情報でデータをタグ付けします。多くのエンタープライズ リソース プランニング システムでは、機械による読み取りを容易にするために、 XBRL-GL形式でデータを提供することが予想されます。

継続的な監査システムを通過する情報の性質上、セキュリティとプライバシーの問題にも対処する必要があります。不正アクセスや改ざんを防ぐために、データ保証技術、アクセス制御メカニズム、ポリシーが CA システムに実装されており、CCM はこれらの制御のテストに役立ちます。

多くの組織にとって、継続的な監査アプローチを実施するには多くの課題があります。以下は、関連する推奨事項を伴う一般的な課題です。^[9]

完全に均質でシームレスなシステム環境を持つ組織はほとんどありません。通常、ERP または 1 つの ERP の複数のインスタンス、メインフレーム システム、既製のアプリケーション、レガシー システムが混在しており、そのすべてに貴重なデータが含まれている可能性があります。このすべてのデータにアクセスして全体像を把握するためのテクノロジが利用可能です。

自動化によって仕事が奪われるかもしれないと考える人たちにとって、テクノロジーは脅威とみなされるかもしれません。継続的監査の利点は、日常的な反復タスクを実行し、組織にさらに多くの価値を付加する、より興味深い探索的作業を行う機会を提供することです。

継続的監査が適切に実施されない場合、数百、数千もの誤検知と無駄な労力につながる可能性があります。継続的監査で成功を収めた多くの企業は、小規模から始めることを推奨しています。継続的監査への最初の取り組みとして、会社で最もリスクが高い領域と、その取引および制御システムが会社にとって最も重要な領域を選択します。潜在的なポリシー違反や不正を発見するために、買掛金ベンダー マスター ファイルと従業員の住所ファイルの比較など、少数の重要な初期テストを自動化します。今後は、テストを増やし、段階的に他のビジネス プロセスに徐々に拡張します。

最適な結果を得るにはトレーニングが不可欠です。ACL Services Ltd. を含む多くの機関が、自動化による継続的監査を含むコンピュータ支援監査技術に関するトレーニングを提供しています。トレーニングは、企業のニーズに応じて、オンサイトまたはリモートで実施できます。

継続的監査は、コンピュータ支援監査と混同されることがよくあります。ただし、この 2 つの手法の目的と範囲はまったく異なります。コンピュータ支援監査では、Microsoft Excel などのスプレッドシート ソフトウェアを含むエンド ユーザー テクノロジを使用して、従来の監査人が定期的な監査を実施する際に監査固有の分析を実行できるようにします。一方、継続的監査では、監査計画の大部分を自動化する高度な分析ツールが使用されます。従来の監査の過程で、コンピュータ支援監査では監査人が手動でデータを抽出して独自の分析を実行しますが、継続的監査では、高性能サーバーが指定された間隔でデータを自動的に抽出して分析します。

• 監査品質センター (CAQ)

• ラトガース会計ウェブ
• 2009 年 IT 監査ベンチマーク調査 (内部監査人協会)
• 米国特許商標庁特許 7,676,427 継続的保証のシステムおよび方法
• CICA/AICPA. 1999. 継続的監査。調査報告書、トロント、カナダ：カナダ公認会計士協会
• ISACA
• IIA GTAG#3