共有か

SOXに対応する一つの方策に

マイクロソフトのSHAREPOINTERServer2007を利用をお勧めします。

無料でグループウェアの利用もできます。

ただし、Office製品は2007にする必要性が。。。

また、Access製品を利用するより、SQLServerExpressを利用するほうがメリットがあります。

今後、Access製品はメリットがなくなりそうです。。。

SOXに伴うシステム

SOXに対応するシステムについて
財務情報にかかわるものやそのた個人情報にかかわるものは安全性が必要。

システムで多いのは個人的に作成されたエクセル、ワード、アクセスなどの情報が最大の課題です。
これらの情報はいうなれば会社としては暗黙的に認められたものですが、SOXには不適な内容です。

このためこれらはどのように管理するのかが重要。
管理方法については後日になります。

ACCESSのアップサイジング

更新がすっかりご無沙汰・・・
現在、ACCESSをSOXに対応させる課題を処理しています。

ご存知のとおり、ACCESSは簡単なデータベースですが、1個を多数のユーザで使用するには問題です。また、セキュリティ面でも問題があり、情報漏えいする際、Excel、またはAccessが多いです。

現在これらの問題を解決するべく、技術的解決を図っています。

SOX 実施基準 Part1

ITに係る三つの内部統制（IT統制）について実施基準は、I.内部統制の基本的枠組みの中で定義する。

1. 全社的な内部統制：「企業全体に広く影響を及ぼし、企業全体を対象とする統制」と定義する。これは、一般的には企業活動の一部として、すでに実施されていることだ。
   例えば、「全社的な統制を有効に機能させるためには、システムの方針や手続きを適切に定める」「IT環境を適切に理解すること」や「IT戦略や計画を立て、実行することで、新たに生じるリスクを再評価する仕組みを作る」などが考えられる。
2. IT全般統制：「IT業務処理統制が有効に機能する環境を、合理的に保証するための統制活動」と定義する。IT全般統制が有効であれば、業務システムが業務要件通りに処理されていることを保証する一つの判断基準になる。
   実施基準は、IT全般統制の具体例として次の4項目を挙げる。
   
   （a）ITの開発・保守に係る管理
   （b）システムの運用・管理
   （c）内外からのアクセスの管理などのシステムの安全性の確保
   （d）外部委託に関する契約の管理ただし実施基準は、具体的な内容について言及していない。
   
   一般的には、以下のような内容が考えられる。
   （a）の例は、システムを開発したり、変更する場合に、利用部門の承認を得たり、導入前にテストを実施する、などである。
   （b）では、システムの障害対応、バックアップ管理、バッチジョブ管理などが該当する。これらの活動は、これまでもシステム部門が担ってきた業務そのものである。
   （c）は、データやプログラムの改ざん・不正利用を防止するために、システムへのアクセス管理等の方針を定めて、適切に運用することなどを指す。ここで特に注意すべきなのが、システム部員のアクセス管理だ。「特権ID」の利用などによる、データやプログラムの改ざん、不正利用のリスクは高い。評価や監査においても問題点として指摘されやすい項目である。
   主要なシステムの開発や運用業務を外部委託している場合は、（d）が重要になってくる。契約やSLA（サービス・レベル・アグリーメント）などで委託内容を定め、委託先がSLAに沿って運用しているか、などを確認しなければならない。
3. IT業務処理統制：「業務を管理するシステムにおいて、承認された業務がすべて正確に処理、記録されることを確保するために業務プロセスに組み込まれたITに係る内部統制」と定義する。これは、「ITに自動的に処理させている」統制と言い換えられる。

SOX 内部統制報告書

本日は内部統制について述べます。

日本版SOX法対応の最終的なゴールは「内部統制報告書」を提出することです。

• 内部統制報告書とは、期末日時点における各社の内部統制の状況を報告する書類のことです。日本版SOX法が最も早く適用される事業年度の場合、期末日時点とは2009年3月31日を指します。
• 内部統制報告書は、2種類の文書で構成します。1つは、経営者自身が自社の内部統制が有効に運用できているかどうかを評価する「経営者確認書」。もう1つは、経営者確認書の適正性を監査法人の公認会計士など（外部監査人）が確認する「独立監査人の内部統制監査報告書」です。
• 内部統制報告書が求めているのは期末日時点での評価なので、経営者が評価のための作業を行うのは期末日以降になります。そのため、3月期決算の企業が内部統制報告書を提出する時期は、従来の決算書類と同様、6～7月ごろになると見込みです。
• 評価を行うのが期末日以降だからと言って、3月期決算の企業が2009年3月31日までに日本版SOX法対応を完了すればよいかというと、それは大きな間違いです。というのも、たった1回の評価で「内部統制が有効に運用できている状態」と判断するのは非常に難しいからです。
• 実際、上場企業の多くは2007年（あるいは、それ以前）から日本版SOX法対応に着手しています。本番の評価を行う前に“プレ評価”を何回か実施し、内部統制が有効に運用できるように業務を改善することが必要だと考えているからです。
• 米国の市場に上場しているといった理由で、日本版SOX法よりも先行して米SOX法404条に対応した日本企業も、“ぶっつけ本番”ではなく、前年度や適用年度の中間時点で“プレ評価”を実施し、問題がある部分を改善しています。

SOXについて

2月16日晴れ

よい天気が続きますが乾燥していて風邪が流行しています。

今日はSOXつまりは内部統制のお話をします。

日本版SOX法は、正確には「金融商品取引法」という法律の24条や193条などで規定されている内部統制報告制度を指します。

• 金融商品取引法は、投資家の保護を目的として、従来の「証券取引法」を改正した法律で、2006年6月に国会で成立し、同月に公布されました。金融商品の販売や投資ファンドにかかわる規制、経営状況や業績の四半期開示の義務化、といった幅広い内容を規定しています。
• 金融商品取引法の規定する内部統制報告制度が日本版SOX法（あるいはJ-SOX）と呼ばれるのは、米国の法律である「2002年サーベインズ・オクスリー法（SOX法）」の404条と類似した取り組みを企業に求めているからです。
• 日本版SOX法と米SOX法は、「財務報告の適正性を確保するために、上場企業に内部統制の整備・運用を求める」という点で共通していますが、適用範囲や監査方法などが異なります。米SOX法と同様の法律を制定している国は、日本以外にも英国や韓国、カナダなどがあります。