内部統制・監査に関する記事

承認記録、発注記録、納品または役務提供の確認、請求・支払の記録。この4点が揃って初めて、その取引の経緯を第三者に説明できる状態になります。承認記録だけでは、承認された内容どおりに取引が行われたかを示せません。

この4点が別々のシステムに分かれていると、突合が手作業になります。承認額と実際の支払額が違っていた場合に、それが承認範囲内の変動なのか、承認を経ていない変更なのかを説明できる状態にしておく必要があります。

スプレッドシートやリストを台帳にしている場合、承認済みの行を編集権限のあるユーザーが後から変更できます。日常の運用では誰も書き換えないため問題として認識されませんが、証跡の提出を求められた時点で「変わっていないことを示せない」という形で表面化します。

保護範囲やバージョン履歴で緩和はできますが、書き換えを検知できる可能性を上げるだけで、防止にはなりません。上場準備やIPOが視野に入っているなら、この差は小さくありません。

承認ワークフローは、指定された承認者に依頼を送りますが、その指定が社内規程に照らして正しかったかまでは保証しません。承認ルートを設定の中に直接書いている場合、当時のルート定義が残っていないため、後から妥当性を証明できません。

承認者マスタを外出しし、その変更履歴が残る構成にしておくこと。これが統制上の実質的な要件になります。