SOX 404 トップダウンリスク評価

米国の公開会社の財務監査において、 SOX 404 トップダウン リスク評価(TDRA) は、2002 年サーベンス オクスリー法(SOX 404)のセクション 404 に準拠するために実行される財務リスク評価です。SOX 404 では、経営陣は内部統制をテストする必要があります。TDRA は、このようなテストの範囲を決定するために使用されます。また、外部監査人が会社の内部統制に関する正式な意見を発表するためにも使用されます。ただし、SEC が承認した監査基準第 5 号が可決された結果、外部監査人は、経営陣による自社の内部統制の評価について意見を提供する必要がなくなりました。

TDRA の実施に関する詳細なガイダンスは、PCAOB 監査基準第 5 号 (リリース 2007-005「財務諸表監査と統合された財務報告に係る内部統制の監査」) ^[1]および SEC の解釈ガイダンス (リリース 33-8810/34-55929)「財務報告に係る内部統制に関する経営者の報告書」^{[2]に含まれています。 [3]このガイダンスは、12 月 31 日を}会計年度末とする企業の 2007 年の評価に適用されます。PCAOB のリリースは既存の PCAOB 監査基準第 2 号に取って代わりましたが、SEC のガイダンスは特に経営者向けの最初の詳細なガイダンスです。PCAOB は 2017 年 12 月 31 日付けで監査基準を再編成し、関連する SOX ガイダンスは現在、AS2201:財務諸表監査と統合された財務報告に係る内部統制の監査に含まれています。^[4]

SEC 議長が新しいガイダンスを発表する際に使用した言葉は非常に直接的でした。「議会は、404 プロセスが柔軟性に欠け、煩わしく、無駄になるよう意図したことはありません。セクション 404 の目的は、不必要なコンプライアンスの負担をかけたり、株主のリソースを無駄にしたりすることなく、企業の内部統制システムの有効性について投資家に有意義な開示を提供することです。」^[5] 2007 年のガイダンスに基づいて、SEC と PCAOB は、リスクの高い領域に取り組みを集中し、リスクの低い領域の取り組みを削減することで、SOX 404 コンプライアンスに関連するコストを大幅に削減するように指示しました。

TDRA は、特定のリスク要因を適用して内部統制の評価に必要な範囲と証拠を決定する階層的なフレームワークです。PCAOB と SEC のガイダンスには、どちらも同様のフレームワークが含まれています。各ステップで、定性的または定量的なリスク要因を使用して、SOX404 評価作業の範囲を絞り込み、必要な証拠を決定します。主なステップは次のとおりです。

1. 重要な財務報告要素（勘定または開示）を特定する
2. これらのアカウントまたは開示における重要な財務諸表リスクを特定する
3. どのエンティティレベルのコントロールがこれらのリスクに十分な精度で対処できるかを判断する
4. 正確なエンティティレベルのコントロールがない場合、どのトランザクションレベルのコントロールがこれらのリスクに対処するかを決定する
5. 対象範囲内のコントロールの評価を完了するために収集された証拠の性質、範囲、タイミングを決定する

経営陣は、TDRA をどのように解釈し、適用して、テストされたコントロールの範囲を決定したかを文書化する必要があります。さらに、必要な証拠の十分性 (コントロール テストのタイミング、性質、範囲など) は、経営陣 (および監査人) の TDRA に基づきます。そのため、TDRA はSOX404 の コンプライアンス コストに重大な影響を及ぼします。

このガイダンスは原則に基づいており、TDRA アプローチに大きな柔軟性をもたらします。主な手順は 2 つあります。1) テストに含めるコントロールの範囲を決定する。2) 実行するテスト手順の性質、タイミング、範囲を決定する。

テストのコントロール範囲の確立に関連する SEC の主要原則は、次のように述べられます。「重大な虚偽表示のリスクに適切に対処するコントロールに重点を置く」これには、次の手順が含まれます。

PCAOB AS 5 ガイダンスでは、監査人は、財務諸表のエラーの可能性とアカウントの規模 (ドル価値) に関連する一連のリスク要因に基づいて、アカウントが「重要」であるかどうか (つまり、はいまたはいいえ) を判断する必要があります。重要なアカウントと開示は評価の対象範囲内であるため、経営陣は通常、この情報を文書に含め、監査人によるレビューのためにこの分析を実行します。この文書は、実際には「重要なアカウント分析」と呼ばれることがあります。残高が大きいアカウントは、通常、重要である (つまり、対象範囲内である) と推定され、何らかのテストが必要になります。

SEC ガイダンスでは、重要性を判断するために使用される同様の要因に基づいて、各重要なアカウントの「虚偽記載リスク」(低、中、高) も評価するという新しい概念が導入されました。虚偽記載リスクのランク付けは、取得する証拠の性質、タイミング、および範囲を決定するために使用される主要な要因です。リスクが増加すると、重要なアカウントに関連するコントロールについて蓄積されたテスト証拠の期待される十分性が増加します (テストと証拠の決定に関する以下のセクションを参照)。

重要性リスクと虚偽表示リスクはどちらも固有のリスク概念であり、どのアカウントが範囲内であるかに関する結論は、コントロールの有効性を検討する前に決定されることを意味します。

目標は、リスク評価が行われるコンテキストと境界を設定するのに役立ちます。SOXコンプライアンスに広く使用されている内部統制の標準であるCOSO内部統制統合フレームワークには、「リスク評価の前提条件は目標の確立です...」および「リスク評価とは、目標の達成に関連するリスクの特定と分析です」と記載されています。SOX ガイダンスには、エンティティ、アカウント、アサーション、プロセス、トランザクション クラスなど、リスク評価が行われる可能性のあるいくつかの階層レベルが記載されています。目標、リスク、および制御は、これらの各レベルで分析できます。トップダウンのリスク評価の概念は、フレームワークの上位レベルを最初に検討し、下位レベルの評価アクティビティを可能な限り考慮から除外することを意味します。

トップダウン型リスク評価には多くのアプローチがあります。経営陣は、管理目標を明示的に文書化するか、テキストやその他の参照を使用して、リスクステートメントと管理ステートメントの文書が完全であることを確認します。目標 (および管理) が定義される主なレベルは、 エンティティレベルとアサーションレベルの 2 つです。

エンティティ レベルの制御目標の例: 「従業員は会社の行動規範を認識している」。 COSO 1992 ～ 1994 フレームワークでは、内部制御の 5 つのコンポーネント (制御環境、リスク評価、情報とコミュニケーション、監視、制御活動) がそれぞれ定義されています。評価の提案は、主要な COSO の章の最後と「評価ツール」の巻に記載されており、これらを目標ステートメントに変更できます。

アサーションレベルのコントロール目標の例としては、「収益は、履行義務が満たされた場合にのみ認識される」などがあります。アサーションレベルのコントロール目標のリストは、ほとんどの財務監査の教科書に掲載されています。在庫プロセスに関する優れた例は、AICPA 監査基準第 110 号 (SAS 110) ^[6]にも掲載されています。SAS 106 には、財務諸表アサーションに関する最新のガイダンスが含まれています。^[7]

管理目標はプロセス内で整理され、文書、所有権、TDRA アプローチを整理するのに役立ちます。一般的な財務プロセスには、経費と未払勘定 (購入から支払いまで)、給与、収益と売掛勘定 (注文から現金回収まで)、資本資産などがあります。ほとんどの監査の教科書では、このように管理目標が整理されています。プロセスはリスク順にランク付けすることもできます。

COSO は 2013 年に改訂版ガイダンスを発行し、2014 年 12 月 15 日以降に決算日を迎える企業に適用されました。このガイダンスでは基本的に、コントロール ステートメントが 5 つの COSO「コンポーネント」の下にある 17 の「原則」を参照することを要求しています。17 の原則について結論を出すために、会社のコントロールに対して具体的に評価できる「焦点」は約 80 あります (つまり、各原則には複数の関連する焦点があります)。原則と焦点のほとんどは、エンティティ レベルのコントロールに関連しています。2013 年 6 月の時点で、実際に使用されているアプローチは開発の初期段階にありました。^[8] 1 つのアプローチは、原則と焦点をデータベース内の基準として追加し、それぞれをそれらに対応する関連するコントロールに参照することです。

リスクの定義の 1 つは、目標の達成を妨げる可能性のあるものすべてです。リスク ステートメントは、「何が問題になる可能性があるか」を表現します。2007 年のガイダンス (SEC の解釈ガイダンスと PCAOB AS5) では、勘定残高または開示に重大なエラーを引き起こす可能性が本質的に「合理的に考えられる」リスクは、重大な虚偽表示リスク (「MMR」) です。これは、PCAOB AS2 の「可能性が極めて低い」という表現をわずかに修正したもので、範囲を、より少数の、より重大な重大なリスクと関連するコントロールに限定することを目的としています。

上記のアサーション レベルの制御目標に対応するリスク ステートメントの例としては、「製品やサービスの提供前に収益が認識されるリスク」などがあります。これは制御目標と非常によく似ていますが、否定的に述べられているだけであることに注意してください。

経営陣は、上記で作成した特定のアカウントや管理目標にリンクした MMR のリストを作成します。MMR は、「アカウント、アサーション、または目標に関連して何が問題になる可能性があるか」という質問によって特定できます。MMR は、会計機能 (見積もり、判断、ポリシー決定など) または内部および外部環境 (会計部門に情報、経済および株式市場の変数などを提供する企業部門など) 内で発生する可能性があります。通信インターフェイス、変更 (人、プロセス、またはシステム)、不正の脆弱性、管理による管理の無効化、インセンティブ構造、複雑なトランザクション、および処理に関係する判断または人間の介入の程度も、リスクの高いトピックです。

一般的に、経営陣は次のような質問を検討します。正しく行うことが本当に難しいことは何ですか? 過去にどのような会計上の問題がありましたか? 何が変わったのですか? 詐欺や不正な財務報告を行う能力や動機があるのは誰ですか? 歴史的に、財務詐欺の多くは収益の過大評価に関係しているため、そのようなアカウントは通常、追加の注意を払う価値があります。AICPA監査基準第109号(SAS 109) ^[9]も、財務リスク評価に関する有用なガイダンスを提供しています。

2007年のガイドラインでは、企業は不正リスク評価を実施し、関連する管理を評価することが求められています。これには通常、盗難や紛失が発生する可能性のあるシナリオを特定し、既存の管理手順がリスクを許容レベルまで効果的に管理しているかどうかを判断することが含まれます。^[10]上級管理職が重要な財務管理を無視して財務報告を操作するリスクも、不正リスク評価の重要な焦点です。^[11]

実際には、多くの企業が MMR を説明する際に目標ステートメントとリスク ステートメントを組み合わせています。これらの MMR ステートメントはターゲットとして機能し、リスクを軽減するコントロールを特定するための取り組みに焦点を合わせます。

各 MMR について、経営陣は、どのコントロール (または複数のコントロール) がリスクを「十分」かつ「正確に」(PCAOB AS#5) または「効果的に」(SEC ガイダンス) 対処してリスクを軽減できるかを判断します。ここでの「軽減」という言葉は、コントロール (または複数のコントロール) が MMR で示された重大なエラーの可能性を「ほとんどない」確率まで下げることを意味します。このレベルの保証が必要なのは、重要なアカウントの重大な虚偽記載が「合理的に可能」または「確実に」発生する可能性がある場合に重大な弱点を開示する必要があるためです。複数のコントロールがリスクに関係している場合でも、上記の定義に従ってリスクに対処するコントロールのみが評価に含まれます。実際には、これらはテストを必要とする「対象範囲」または「主要」コントロールと呼ばれます。

SEC ガイダンスでは、FAS5「偶発債務の会計」に従って、確率用語を次のように定義しています。

1. 「可能性が高い: 将来的にイベントが発生する可能性が高い。」
2. 「合理的に可能性がある: 将来的に出来事が起こる可能性は、非常に低いが、非常に低い。」
3. 「低い：将来的に出来事が起こる可能性は低い。」^[12]

判断は、通常、特定のリスクに関連してテストする最も重要なコントロールを選択するための最良のガイドです。PCAOB AS5 では、さまざまな精度レベル (直接、監視、間接) でエンティティ レベルのコントロールを説明する 3 レベルのフレームワークが導入されています。実際問題として、コントロールの種類別のコントロール精度は、最も精度が高いものから最も精度が低いものの順に、次のように解釈できます。

1. トランザクション固有（トランザクション レベル） - 特定の個別のトランザクションに関連する承認またはレビュー（または予防的なシステム制御）。
2. トランザクションの概要 (トランザクション レベル) – 個々のトランザクションをリストしたレポートのレビュー。
3. 期末レポート（アカウントレベル） - 仕訳レビュー、アカウント調整、または詳細なアカウント分析（例：店舗ごとのユーティリティ支出）。
4. 経営レビュー管理（直接エンティティレベル） - さまざまな集計レベルでの損益計算書勘定の変動分析、または要約された財務情報と運用情報を含む月次レポートパッケージ。
5. 監視コントロール（監視エンティティレベル） - コントロールが効果的に設計および実装されていることを確認するための自己評価および内部監査レビュー。
6. 間接的 (間接エンティティ レベル) - 制御環境 (例: 経営陣によって設定された方針や採用慣行) など、特定のトランザクションにリンクされていない制御。

最も正確なものから最も正確でないものに連続体に沿って進むにつれて、またリスクが増加するにつれて、アサーション レベルの目標を達成するためにコントロールに依存することが合理的であると主張することはますます困難になります。上記のタイプ 3 ～ 6 のコントロールを組み合わせると、特にリスクが低くトランザクションが集中するプロセスでは、特定のリスクの評価を必要とするタイプ 1 および 2 のコントロール (トランザクション レベル) の数を減らすのに役立つ場合があります。

2007 年のガイダンスでは、これまでよりも期末統制 (仕訳および勘定照合のレビュー) と管理レビュー統制に大幅に依存することが容認されているようです。これにより、多くの重大な虚偽記載リスクに効果的に対処し、a) 前年度のテスト範囲から相当数の取引統制を排除するか、b) 取得される関連証拠を削減することができます。特にリスクの低い口座では、取引レベルの統制の数が大幅に削減される可能性があります。

証拠の決定に関する SEC の主要原則は、次のように要約できます。「評価手順の性質、タイミング、範囲を、信頼できる財務報告に最も大きなリスクをもたらす領域に合わせる」。SEC は、特定の MMR の評価をサポートするために必要とされる証拠の十分性は、次の 2 つの要素に基づく必要があるとしています。a) 財務要素の虚偽記載リスク (「虚偽記載リスク」) および b) 統制の失敗リスク。これら 2 つの概念 (アカウントまたは開示関連のリスクと統制関連のリスク) は、まとめて「財務報告リスクに対する内部統制」または「ICFR」リスクと呼ばれます。この概念を説明するために、ガイダンス (このセクションに表示) に図が含まれています。これは、SEC がこれに重点を置いていることを示す唯一の図です。ICFR リスクは、上記で特定された対象範囲のコントロールに関連付けられ、その分析の一部となる場合があります。これには、次の手順が含まれます。

経営陣は、上記のスコープ評価の一環として、各重要なアカウントおよび開示に対して虚偽記載リスクのランク付け (高、中、低) を割り当てました。評価された低、中、高のランク付けは、アカウントに関連するリスク ステートメントおよび管理ステートメントにも関連付ける必要があります。これを実現する 1 つの方法は、会社のリスク ステートメントおよび管理ステートメントのドキュメント内にランク付けを含めることです。多くの会社では、この目的でデータベースを使用し、リスクおよび管理ドキュメント内にデータ フィールドを作成してこの情報を取得します。

CFR は、処理の複雑さ、制御の手動と自動の性質、関連する判断などに関するガイダンスの要素に基づいて、個々の制御レベルで適用されます。経営陣は基本的に、「この制御を毎回適切に実行することはどれほど難しいか」という質問をします。

勘定虚偽表示リスクと CFR が定義されると、管理者は統制の ICFR リスク (低、中、高) を結論付けることができます。ICFR は、証拠の決定に使用される重要なリスク概念です。

ICFR 評価は、各管理ステートメントごとに取得されます。大企業には通常、数百の重要なアカウント、リスク ステートメント、管理ステートメントがあります。これらは「多対多」の関係にあり、リスクは複数のアカウントに適用でき、管理は複数のリスクに適用できることを意味します。

このガイダンスは、虚偽記載リスクと統制失敗リスク (まとめて ICFR リスク) の相互作用に基づいて、証拠のタイミング、性質、範囲に柔軟性を提供します。ほとんどの企業が使用する「サンプリングおよび証拠ガイド」を更新するには、これら 2 つの要素を使用する必要があります。これら 2 つのリスク要素が増加すると、各 MMR に対処するために必要な証拠の十分性も増加します。

経営陣は、特定の統制に関連する ICFR リスクの文脈において、以下のテストと証拠の検討に関して大きな柔軟性を持っています。

• 範囲 (サンプル サイズ): サンプル サイズは ICFR リスクに比例して増加します。
• 証拠の性質: 調査、観察、検査、再実行の 4 つの証拠タイプは、十分性の順にリストされています。調査以外の証拠 (通常は文書の検査) は、統制の運用の有効性のテストに必要です。再実行の証拠は、期末レポート プロセスなどの最もリスクの高い統制で必要になります。
• コントロールの性質 (手動 vs. 自動): 完全に自動化されたコントロールの場合、サンプル サイズ 1 または「ベンチマーク」テスト戦略のいずれかを使用できます。変更管理に関連する IT 全般コントロールが有効であり、完全に自動化されたコントロールが過去にテストされている場合、年次テストは必要ありません。ベンチマークは定期的に確立する必要があります。
• 必要なロールフォワード テストの範囲: リスクが増加すると、中間テストの効果を年末まで延長するためにロールフォワード テストが必要になる可能性が高くなります。リスクの低いコントロールでは、ロールフォワード テストはおそらく必要ありません。

上記の証拠の考慮にも影響を与える広範な要因には、次のものがあります。

• エンティティ レベルのコントロール、特にコントロール環境の全体的な強さ: 強力なエンティティ レベルのコントロールは、全般的にリスクに対する広範な「カウンターウェイト」として機能し、リスクの低い領域で必要な証拠の十分性を減らし、全体的な労力の削減という点で新しいガイダンスの精神をサポートします。
• 特定のコントロールに関する過去の評価からの蓄積された知識: 特定のプロセスとコントロールが効果的に機能した履歴がある場合、リスクの低い領域で必要な証拠の範囲を減らすことができます。

経営陣は、誰がテストを実施するかについて大きな裁量権を持っています。SEC のガイダンスでは、特定のコントロールをテストする担当者の客観性は、そのコントロールに関連する ICFR リスクに比例して高まる必要があるとされています。したがって、自己評価などの手法はリスクの低い領域に適していますが、内部監査人(または同等の人) は一般にリスクの高い領域をテストする必要があります。実際には、中間の手法として「品質保証」があり、マネージャー A がマネージャー B の作業をテストし、その逆も行われます。

外部監査人が経営陣のテストに頼る能力も同様の論理に従います。リスクの観点からも、信頼性はテストを完了した経営陣の能力と客観性に比例します。統制環境や期末報告プロセスなどの最もリスクの高い領域では、外部監査人からかなりの信頼が見込まれる場合、内部監査人またはコンプライアンス チームがテストを実行する最適な選択肢であると考えられます。外部監査人が経営陣の評価に頼る能力は、コンプライアンスにおける主要なコスト要因です。

SOX 404評価を可能な限り効率的にするための具体的な機会は多種多様です。^{[13] [14]}長期的なもの（処理の集中化や自動化など）もあれば、すぐに実行できるものもあります。経営陣と外部監査人が頻繁にやり取りを行うことは、各企業の特定の状況でどの効率化戦略が有効か、また、どの程度まで統制範囲を縮小するのが適切かを判断するために不可欠です。

集中化: 主要なリスク領域で共有サービス モデルを使用すると、テスト目的で複数の場所を 1 つとして扱うことができます。共有サービス モデルは通常、給与計算や買掛金処理に使用されますが、多くの種類のトランザクション処理に適用できます。Finance Executives International による最近の調査によると、分散型企業は集中型企業よりも SOX コンプライアンス コストが大幅に高くなっています。^[15]

自動化とベンチマーク: 主要な完全に自動化された IT アプリケーション コントロールには、最小限のサンプル サイズ要件 (手動コントロールの場合は最大 30 個) があり、ベンチマークの概念では直接テストする必要がまったくない場合があります。ベンチマークにより、特定の IT 変更管理コントロールが有効な場合は、完全に自動化された IT アプリケーション コントロールをテストから除外できます。たとえば、多くの企業はシステム間の手動インターフェイスに大きく依存しており、手動のジャーナル エントリのダウンロードとアップロード用にスプレッドシートが作成されています。企業によっては、毎月数千のそのようなエントリを処理しています。手動のジャーナル エントリを自動化すると、人件費と SOX 評価コストの両方が大幅に削減される可能性があります。さらに、財務諸表の信頼性が向上します。

テストのアプローチとドキュメントを確認する: 多くの企業や外部監査会社は、誤って、固有のトランザクション レベルのプロセスや複数の場所にまたがる一般的なフレームワークを適用しようとしました。たとえば、COSO フレームワークの要素のほとんどは間接的なエンティティ レベルのコントロールを表しており、トランザクション プロセスとは別にテストする必要があります。さらに、IT セキュリティ コントロール (ITGC のサブセット) と共有サービス コントロールは、別のプロセス ドキュメントに配置することができるため、テストの責任をより効率的に割り当て、複数の場所にわたる冗長性を排除できます。主要な仕訳とアカウント調整を別々の作業としてテストすることで、これらの重要なコントロールにさらなる効率性と焦点を当てることができます。

直接的なエンティティ レベルのコントロールに頼る: このガイダンスでは、特に期末プロセスと特定の監視コントロールなど、どの直接的なエンティティ レベルのコントロールが、アサーション レベル (トランザクション) コントロールを範囲から除外するのに十分な精度を持っているかを特定することに重点を置いています。重要なのは、エンティティ レベルのコントロールとアサーション レベルのコントロールのどの組み合わせが特定の MMR に対応するかを判断することです。

ロールフォワード テストを最小限に抑える: 新しいガイダンスでは、経営陣は、中間 (「中間」) 期間に実施されるテストの有効日を年度末まで延長する柔軟性が高まりました。新しいガイダンスでは、よりリスクの高いコントロールのみにロールフォワード テストが必要になる可能性があります。PCAOB AS5 では、中間期間と年度末期間の間にコントロール プロセスに変更があったかどうかに関する調査手順で、多くの場合、ロールフォワード テストを制限するのに十分である可能性があると示されています。

評価対象の場所または事業単位の範囲を再検討する: これは、相当の判断と分析を必要とする複雑な領域です。2007 年のガイダンスでは、分散単位で取得する証拠の範囲と十分性を判断する際に、金額の規模ではなく、特定の MMR に重点が置かれていました。ユニットまたはユニットのグループが重要であり、したがってリスクに関係なく、複数のプロセスにわたる多数のコントロールをテストする必要があるという解釈 (2007 年以前のガイダンスでは一般的でした) は廃止されました。単一のユニットまたは類似ユニットのグループの口座残高が連結口座残高の重要な部分である場合、管理者は特定のユニットに MMR が存在する可能性があるかどうかを慎重に検討する必要があります。その後、MMR に関連するコントロールのみに焦点を当てたテストを実行する必要があります。トランザクション固有のテストを制限するために、堅牢なレポート パッケージを使用した詳細なパフォーマンス レビュー ミーティングなどの監視コントロールも検討する必要があります。

焦点を絞った IT 一般統制 (ITGC) テスト: ITGC は、 SEC または PCAOB ガイダンスのエンティティ レベルの統制の定義には含まれていません。したがって、ITGC テストは、特定の MMR に対応する範囲で実行する必要があります。本質的に、ITGC により、経営陣は完全に自動化されたアプリケーション統制 (つまり、人間の介入なしに動作する統制) と IT 依存の統制 (つまり、自動的に生成されたレポートのレビューを伴う統制) に頼ることができます。焦点を絞った ITGC テストは、完全に自動化された統制が許可なく変更されていないこと、および生成された統制レポートが正確かつ完全であるという統制目標または主張をサポートするために役立ちます。したがって、重要になる可能性が高い主要な ITGC 焦点領域には、期間中に特定の金融システム実装に適用された変更管理手順、ベンチマーク戦略をサポートするのに十分な変更管理手順、および職務の分離を含むアプリケーション セキュリティの定期的な監視が含まれます。

PCAOB は定期的に「スタッフ監査実務アラート」(SAPA) を発行し、「監査人が基準の既存の要件に基づいて監査を実施する方法に影響を与える可能性のある、新しい、出現しつつある、またはその他の注目すべき状況を強調しています...」。SAPA #11財務報告の内部統制の監査に関する考慮事項(2013 年 10 月 24 日) に基づいて、PCAOB は ICFR 評価に関する重要な監査実務問題について議論しました。これには、他のトピックの中でも、次のものが含まれます。

• システム生成レポート (「エンティティによって提供される情報」または「IPE」): 監査人 (およびプロキシ管理者) が、制御入力として使用される完全に自動化されたレポートと手動クエリが正確かつ完全であるという追加の証拠を取得する必要があるという要件。
• エンティティ レベルのコントロールと管理レビュー コントロール: エンティティ レベルのコントロールと管理レビュー コントロール (概念的には期末コントロールに類似) に過度に依存することがありましたが、これらは、重大な虚偽表示のリスクを「リモート」レベルまで低減するには精度が不十分でした。SAPA #11 では、この精度の評価を支援する追加の基準が提供されています。
• 調査の基準: 監査人は、規定の許容範囲外の異常な変動が認められた場合、経営陣のコントロールが効果的に実行されたという十分な証拠を必ずしも得ることができませんでした。たとえば、経営陣は、コントロール レポートがレビューされたと署名したにもかかわらず、レポートに異常なアクティビティがあったにもかかわらず、調査の他の文書を提出しなかった可能性があります。SAPA #11 では、「レビューが承認されたことを確認するだけでは、コントロールの有効性に関する証拠はほとんど、またはまったく提供されません。」と述べています。^[16]

SAPA #11 により、経営陣の作業が増える可能性があり、監査人からこれらのレポートとクエリが正確かつ完全であるという証拠を保持するよう要求される可能性があります。さらに、発見的管理レポートの金額に、事前に定義された許容範囲外の取引または傾向が含まれている場合、経営陣は調査の追加証拠を保持するよう要求される可能性があります。