使いやすさを追求したJ-SOX法対応ソリューション

日本電気株式会社 第二システムソフトウェア事業部 エンジニアリングマネージャー 米山英晴氏

　『StarOffice21/AuditManager』は、「内部統制の統制評価」、「テスト進捗管理」、「証跡の記録管理」、「内部統制の内部監査報告書作成」までをWebベースの容易な操作性で支援する、いわゆる内部統制構築支援ソフトウェアだ。 業務プロセスを見える化し、リスクやコントロール情報をRCM（リスクコントロールマトリクス）として出力するツール『iGrafx FlowCharter2006 SOX＋』^※と併用することで、内部統制の構築から運用・評価までの全フェーズをトータルにカバーできるという。

　「従来の内部統制ソリューション、それも米国SOX法に準拠した製品は、単に内部統制のプロセスの一部分だけを代行するツールが多く、一部の専門家にしか使いこなせないものがほとんどでした。しかし『StarOffice21/AuditManager』は、そうしたいわば内部統制システム構築そのものを、全プロセスにわたって支援し、ユーザー企業の負荷を大幅に軽減するツールという考えのもとに開発された“J-SOX法対応ソリューション”という点で、従来品と大きく異なっています」と米山氏は語る。

　これまでの米国SOX法対応ツールは、日本の企業で使うには大きな問題があった。価格の高さに加え、米国SOX法はJ-SOX法に比べて監査項目が非常に細かく、これらに対応したツールを日本で使う場合、無用の負荷が避けられなかったのだ。

「米国のツールは、対象ユーザーをコンサルタントと想定しています。しかしJ-SOX法の適用対象となる日本企業のほとんどは、従業員1000名以下という小規模企業です。限られた人的リソースで使うには、従来のソリューションは価格面でも使いやすさの面でも非常に厳しいものだったのです。」




　そこでNECでは国内向けソリューション開発にあたり、内部統制に必要な基盤となるポイントを3つに絞り込んだという。「文書化＝プロセスを見える化して業務フローを作成する機能」、「文書管理＝文書の履歴を記録して、内部統制構築の進捗状況を把握する機能」、「評価＝構築されたシステムが実際に、法に準拠して有効に機能しているかを判断する機能」である。NECではこれらの機能をすべて自社のツールに組み込むことで、国内のユーザー企業にとってワンストップのソリューションを作り上げようと考えた。

「もちろんすべてのツールを一から新しく開発するには時間も人手も限られています。幸いNECには米国で実際にSOX法対応の取り組みを進めてきた経験やツール開発の実績がありました。たとえば文書管理ツールには、NECグループ10万人規模での使用実績のあるツールを採り入れました。評価ツールだけは新規に開発しましたが、ここではSOX法対応の経験が豊富なアビーム・コンサルティング社と組んで仕様・設計を協議しています。」

　ここで注目したいのが、こうしたツール開発に当たっては、「最初から外販を意識していた」という点だ。

「ツールを提供しているベンダには『自社で使っている』を売り文句にするところも少なくありません。しかし、それは諸刃の剣であって、裏返せば『自社の基準には合っているが、社外でもはたして通用するのか？』という疑問を持たざるを得ません。そこでNECとしては自社の経験を基にしながらも、つねに“全国標準”を念頭に置いていました。」

ツールは全ステップを通じて シームレスに統合されていることが 不可欠です

　『StarOffice21/AuditManager』の特長のなかでも、とりわけユーザー企業に大きなメリットが期待できるのが“システムの柔軟性”だ。

「企業としては法に準拠してシステムを作っているつもりでも、監査の現場では監査人によって微妙にアサーション（実施基準）が異なります。このため、監査人の指摘に合わせようとすれば、どうしても導入時にはカスタマイズが必要になります。『StarOffice21/AuditManager』では、そうした細部の変更にも柔軟に対応できる設計を最初から施しています。」

　もう一つのメリットは、やはり全プロセスを1製品でカバーできる点だ。構築の手順は通常、「方針策定→設計→文書化」の課程を経て、ようやく評価つまり運用テストにたどりつく。このテストは、いわば「本当に統制が取れていることの証跡を残す作業」だ。だが現実にはこの段階で問題点が発覚すれば、もう一度前に戻ってやり直さなくてはならない。

「ここが米国流で、各課程のツールがバラバラだった場合、ものすごい量の手戻りが発生します。米国では運用テスト以降の変更は許されていないのでいいのですが、日本ではとにかく合格するまで戻って直すことの繰り返しです。そうしたわが国独自の事情からも、ツールは全ステップを通じてシームレスに統合されていることが不可欠なのです。」

　さらに日本では、これまでに経験のない企業社員が一から取り組むケースが多く予想される。一方で内部統制を完全に仕切れるコンサルタントは、必要数の3分の1とも4分の1とも言われている。言い方は悪いが、ある意味アマチュアばかりの船出となるのは必至だ。

「こういう状況下で一番重要なことは、仕様変更があった場合でも、各ステップがシームレスに連携して、いつでも前に戻ってやり直せる仕組みです。『StarOffice21/AuditManager』では、そうした使いやすさを徹底的に追求しました。」

　4月25日に開催される「J-SOX法対応　課題解決セミナー　～文書管理・統制評価にて押さえるべきポイントとは？～」では、こうした『StarOffice21/AuditManager』の詳細な機能はもちろんのこと、「今後、内部統制を進めるにはどうすればよいか？」、「内部統制の構築をいかに効率よく進めるか？」、そして「そのためにどうツールを活用するのか？」といったポイントと対策について紹介したいと米山氏は語る。ぜひこの機会に、“NEC流 J-SOX法必勝テクニック”に耳を傾けてみてはどうだろう。



※iGrafx(R) 、およびiGrafx FlowCharter(TM)は、カナダ、合衆国、および/またはその他の国々における、Corel Corporation および/またはその子会社の商標または登録商標です。
※SOX＋(TM) はサンプラニングシステムズの商標です。