カテゴリー: 情報システム

AIが流行ってますが、RPAもなかなかのものかと。

昨今はAIが流行ってますが、RPAというのもなかなか有用です。大量のコピー＆ペースト作業を繰り返し行う、特定のウェブサイトからデータをダウンロードし、そのうち必要な箇所を指定して、excelに入力するといったことが、プログラミングの知識がなくても比較的簡単にできるようになりました。

ここに書いたようなこと以上に複雑なことをやろうと思ったら、高価なRPAを導入する必要がありますが、ここに書いた程度のことであれば、Office365についてくる、PowerAutomateで十分に対応可能です。RPAの設定例も検索すれば豊富に出てきますので、いい時代になりました。

システム監査

システム監査とは、情報システムのガバナンス、マネジメント又はコントロールを点検・評価・検証する業務をいいます（システム監査基準より）。財務諸表監査で行うIT監査はあくまで、財務諸表監査の一環で実施するものなので、システム監査の定義を理解していないと、勘違いしますね。

ランサムウェアで電子カルテに障害

ランサムウェア攻撃で電子カルテに障害、通常診療行えず ～ 大阪急性期・総合医療センター | ScanNetSecurity

ランサムウェアの攻撃が流行っていますね。既存のファイルを使用不能にされてしまい、使用可能に戻すまで相当の時間がかかるので予防策を取りたいところです。

個別ファイルのバックアップや、普段使用しているOS、アプリケーションを含めた環境のバックアップを定期的にやっておくのが一番ですかね。費用対効果を勘案すると。

仕訳テストの留意点

10年ほど前の財務諸表監査から、仕訳を抽出して、当該仕訳に対して根拠資料との整合性を確かめるといった手続が重視されている。この手続はむやみやたらにやるものではなく、「リスクシナリオ」といって、誤りや不正がある可能性が高いと判断する仕訳を抽出できるよう、抽出条件を決める必要がある。この抽出条件次第で、手続の量が変わるので、使える時間と有効性のバランスを考えて設定する必要がある。

なお、初学者は勘違いしがちであるが、リスクシナリオに基づき抽出された仕訳は全件手続を実施しないと、実効性のない手続とされてしまう。抽出された仕訳が多すぎると判断した場合は、サンプルで部分的に手続を実施するのではなく、リスクシナリオの練り直しが必要である。IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するＱ＆Ａ（IT委員会研究報告第53号）のQ27等を参照。

自動化された業務処理統制の例

IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」関係。自動化された業務処理統制の例示を要約したものです。

・エディット・バリデーション・チェック（数字の入力が必要なのに文字を入力すると、入力を拒否する機能等）

・マッチング（マスタに登録されていないデータを入力しようとすると、入力を拒否する機能等）

・コントロール・トータル・チェック（入力データと出力データの合計を比較し、不一致の場合エラーを出す機能等）

・アクセス・コントロール（いわゆるユーザIDとパスワードによるアクセス制限等）

・自動計算等

ITの利用に関する概括的理解

・IT委員会実務指針第6号「ITを利用した情報システムに関する重要な虚偽表示リスクの識別と評価及び評価したリスクに対応する監査人の手続について」に関するＱ＆Ａ（IT委員会研究報告第53号）のQ3関連。

・評価ポイントは４つ。

・①ITの利用度、②情報システムの安定度、③情報システムの前年度からの重要な変更、④過年度の監査におけるITに関連する内部統制上の不備の４つ。

・リスク評価を慎重にやる場合→基本は利用度で判断。ただし、➀情報システムが不安定、②情報システムに重要な変更あり、③IT関連の内部統制上の不備ありの場合も留意。

・ITの利用に関する概括的理解は、ITの利用に伴う重要な虚偽表示に関する潜在的リスクの多寡にかかわらず実施する必要がある点も留意。