1人でも、年度計画から報告まで回る形にする。

四

個別監査のテストと、サンプリング。

内部統制の運用評価のような頻度別の定型はありません。母集団の性質と、何を確かめたいかで決めます。

まず、全件で見られないかを疑う

サンプリングは、全件を見られないときの次善策です。仕訳・発注・権限一覧・デプロイログのようにデータで出せるものは、CAAT（データ分析）で全件を対象にできます。全件なら抽出のかたよりを説明する必要がなく、「条件に当てはまるものは1件もなかった」と言い切れます。

たとえば購買・支払なら、正規の発注を経ない支払、分割して承認限度を回避した発注、仕入先マスタの口座変更と直後の支払、同じ仕入先への同額の二重支払。こうした条件でデータを絞り込み、該当したものだけを証憑まで追います。サンプリングよりも、見つけたい不正の形に近づけます。

サンプリングを使うときの決め方

サンプリングで決めること

決めること	中身
母集団	期間と範囲を先に固め、件数を数える。抽出元の一覧が全件かを確かめた手順も書く
何を逸脱とみなすか	テスト前に定義する。承認印が無い、日付が前後している、金額が合わない。後から決めると結論に合わせた定義になる
件数	許容できる逸脱の割合と、どこまで確からしさが欲しいかで決まる。実務では25件を起点に、重要度が高ければ増やす
抽出方法	無作為・金額的重点・判断のいずれか。判断で選ぶなら、なぜその条件かを書く
抽出した人と日付	テストの後に選び直していないことを示す唯一の記録

件数そのものより、母集団の押さえ方と逸脱の定義のほうが、後で効いてきます。

見つけた例外を、どう扱うか

1. 01

   例外は、まず調書に全部書く

   指摘にするかどうかは後で決めます。件数と内容を先に確定させてから、重要度を判定します。

2. 02

   整備の問題か、運用の問題かを分ける

   仕組みとして止められない設計なのか、仕組みはあるが回っていないのか。直し方が変わるので、原因の書き方も変えます。

3. 03

   講評会で、事実だけ先に合わせる

   評価や重要度の前に、起きた事実を被監査部門と確認します。ここを飛ばすと、報告書が出てから事実誤認の議論になります。

4. 04

   指摘には、責任者と期限を付ける

   誰が・いつまでに・何をするかが無い指摘は、翌年そのまま残ります。暫定策と恒久策を分けると期限が現実的になります。

5. 05

   是正を、証跡で確かめる

   3か月後・6か月後に、報告ではなく証跡で確認します。期限を超過した指摘は監査役会へ上げる、と規程に書いておきます。