数多あるコントロールの中からキーとなるコントロールを識別するには、虚偽表示を予防発見する力がより強いコントロールを選ぶ相対的視点が必要となる。
勘定残高の証明力
より強い証拠（取引証跡）を利用して行なわれる統制手続を選択する方が、手続の結果として得られる成果としてはより確たる結果が得られることになる。
間接的証明よりも直接的証明
勘定残高の正しさを推定させる統制よりも、勘定残高を直接検証する統制の方が、より強い証拠力を提供する。
残高の裏付けとなっている資産を直接検証する
（例）現金実査＝現金勘定の実在性
（例）実地棚卸＝在庫数量の実在性・正確性
仕訳生成の前後（上流入口と下流出口）を中飛ばしで繋ぐコントロール
（例）貸付金台帳の数字と金銭消費貸借契約書の金額を突合する手続
内部証拠より外部証拠
証憑の証拠力は、内部の稟議書などよりも取引先と取り交したものの方が一般には証拠力が強いとされる。その取引証憑を用いて、勘定残高を、生成、検証する業務を識別する
上流工程よりも下流工程
どんなに緻密に取引が処理されていたとしても、最後に作成される財務情報が、元帳の記録と一致していなければ、何の意味もない。すなわち、最終報告される財務情報により近いコントロールは、情報が集約されている分、重要度は高い。
予防的統制より発見的統制
- 発見、予防の両統制がある場合には、発見的統制がより強力なコントロールである。したがって発見的統制を優先的に選択する。但し、発見的統制は予防的統制によってその実施を軽減することができるとされる。
- 発見的統制は強力ではあるが網羅的に実行する上で弱みがあり、予防的統制は網羅的ではあるもののそれを強力に実施しようとすると実務が回らなくなるので運用レベルが「ある程度」に留まることが多い。例えば、システムのログインパスワードの複雑さを高めてハッキング対策を強化すると、人間の記憶能力を超えてしまい、メモなどを残すようになることから、かえってセキュリティレベルが落ちてしまうというジレンマが見られる。
- ITによる統制は基本的には予防的統制としての位置づけとなる。また、いわゆるキーレポートにより人が判断するケースは発見的統制としての性格がより強い。
人的統制よりもIT統制
人は間違いを起こすが、コンピュータは適切に運用される限りは誤りを起こさないと、一般に信じられている。逆にコンピュータにエラーがあった場合の影響は計り知れないこともあるので、一長一短がある。
「補完的統制」という言葉に騙されない
補完的統制は本当に補完的なのか
虚偽表示リスク軽減という一貫した観点で主従関係を捉え、補完的統制が本当に「補完」なのかは全体的視点で捉える。
- 補完的統制とは
補完的統制という概念は、ある統制手段の運用が不十分な場合に用いられる統制である。したがって、とあるコントロールの存在を前提にした概念であるため、いかにも主たる統制に対して補助的な役割を果たしているような語感がある。しかし、全体的に見れば補完的統制の方がより重要な統制である可能性もある。特にIT統制の不備を人間が補完するという表現をしているような場合、ITから見れば人間による統制は補完的統制かも知れないが、全体で見れば実は人間による統制がより重要な統制である可能性が高い。
- 一体となって機能する統制もある
発見的統制が十分に機能していなくても、予防的統制が十分に機能していれば、一定レベルまでリスクは軽減されていると考えることができる。他方、予防的統制が十分に機能していなくとも発見的統制があれば、リスクは軽減できると考え得る。すなわち、両者は相互補完しながら一つの統制目的を達成する関係にある・・・・という意味で補完的統制と考えれば、両者一体でキーコントロールとなるかもしれない。
- 代替的統制も見逃すな
Aという統制が遂行できないときにBという統制を実施する。この場合、BはAの代替的統制となる。例えば、客先に商品を納品した際に｢納品書にサインをもらう」という約束があっても諸般の事情で達成できないときがあることが過去の取引から分かっていれば、そのような想定されるケースについて対処する方法を定めておくことは、代替的統制にあたる。
発生の可能性への着目
通常統制より例外統制に着目する
通常の取引に対する統制手続よりも、例外的な取引に対する統制の方が、異常点に対する統制としての性格が強い。このため、財務報告虚偽表示リスク軽減という観点からはよりリスクの高い取引に対する統制手段と言える。
影響の大きさへの着目
全て均等より高額取引独特（金額帯別）統制に着目する
- 一定金額以上の取引については、より強固な手続を要求するケースが多い（例えば、支店長決裁権限＜本部長決裁権限＜社長決裁権限）。
- より、強固な手続を要求しているものがより強力なコントロールである。
統制として意図されていない統制もある
個々の取引よりKPI[1]を用いた分析的手続
- 生成された経理情報を経営管理に用いる際に制定するKPIとそれの変動要因を定期的に分析する手続が最も強力かつ優先すべきコントロール（つまり全社レベル、ないし各部門・組織レベルの発見的統制である）。
- KPIを制定することは、財務情報項目を通じて業務活動をモニタリングするコントロールを制定したことになる
- KPIの変動（計画比、予算比、時系列（前年、前月）比、他組織比など）を十分な精度（重要な虚偽表示を発見しうる）で分析することは、重要な異常値を把握し検証する発見的統制に当たる。最低でも一見して分かるような異常値がないことを保証する。
- KPIを用いない財務管理活動はあり得ないので、業務目的の遂行状況を監視するために設定されたKPIや、取引記録を用いて算定されているKPIを把握し、他の記録と合わせて行なわれる検証業務、分析業務、報告内容を識別し、検出される可能性のある不正･誤謬について検討する（不正･誤謬を防止発見することに大きく貢献しうる統制）
- 月次管理報告などでKPIのモニターができている組織は、比較的虚偽表示に繋がる事象が早めに発見できると考えられる。
- ※ちょっと一言
- KPIは、「ヴァイタル・サイン」という言葉もありました。 - shibayan (2008年04月05日 19時32分39秒)
- vital sign「命の鼓動」みたいでいいですね。 - なわ (2008年04月06日 10時53分37秒)
【本文脚注】