
監基報330
- 11 -
・ 依拠する期間における内部統制の実施頻度
・ 監査対象期間のうち監査人が有効に運用されている内部統制に依拠する期間
・ 内部統制の予想逸脱率
・ アサーション・レベルでの内部統制の運用状況の有効性について入手された監査証拠の適合
性及び証明力
・ アサーションに関連した別の内部統制について実施した運用評価手続から入手した監査証拠
の程度
監査基準報告書530「監査サンプリング」では、テストの範囲に関する詳細な指針を記載している。
A28.ITを利用した処理は一貫して行われることから、自動化された内部統制に対する運用評価手
続の範囲を拡大させる必要がない場合もある。自動化された内部統制は、ITアプリケーション
(ITアプリケーションによって利用されているテーブル、ファイル、マスターデータ等を含む。)
の変更がなければ、一貫して継続的に機能する。
監査人は、内部統制が当初導入されたとき又はその後のある時点で、自動化された内部統制が
意図したように機能していると判断した場合、その内部統制が継続して有効に機能しているかど
うかを判断するための手続の実施を考慮することがある。
このような検討には、例えば、ITアプリケーションに関連するIT全般統制の評価が含まれる。
A28-2.同様に、監査人は、企業のデータのインテグリティ(すなわち、データの網羅性、正確性、
正当性)又は企業のシステムが生成したレポートの網羅性と正確性に関連する重要な虚偽表示リ
スクに対応する運用評価手続を実施したり、実証手続のみでは十分かつ適切な監査証拠を入手で
きない重要な虚偽表示リスクに対応するために運用評価手続を実施したりする場合がある。この
運用評価手続に、第9項(1)の事項に対応するIT全般統制の評価が含まれている場合、監査人は、
第9項(1)の事項に関する監査証拠を入手するために、追加の手続を行う必要のないことがある。
A28-3.監査人は、IT全般統制に不備があると判断した場合、評価した重要な虚偽表示リスクに対
応するための監査人の追加手続の立案の基礎を得るために、監査基準報告書315第25項(3)①に従
って識別されたITの利用から生じるリスクの内容を考慮する場合がある。この追加手続は、以
下の事項の判断に対応することがある。
・ ITの利用から生じるリスクが発生したかどうか。例えば、利用者がITアプリケーション
に承認なしにアクセスできるが、アクセスを追跡するシステムログにアクセスできない又は変
更できない場合、監査人はシステムログを査閲して、その利用者が期中にITアプリケーショ
ンにアクセスしていなかったという監査証拠を入手することがある。
・ ITの利用から生じるリスクに対し代替的な若しくは同等のIT全般統制又は他の内部統制
があるかどうか。その場合、監査人は(まだ識別していない場合は)当該内部統制を識別し、そ
のデザインを評価し、業務に適用されていることを確かめ、運用評価手続を実施することがあ
る。例えば、ユーザー・アクセスに関連するIT全般統制に不備がある場合に、IT管理者がエ
ンド・ユーザーのアクセスレポートを適時にレビューするという代替的な内部統制を有してい
ることがある。自動化された内部統制がITの利用から生じるリスクに対応している例として、
IT全般統制の不備の影響が及んでいる可能性のある情報について、外部の情報源(銀行明細
等)又はIT全般統制の不備の影響を受けない内部の情報源(別個のITアプリケーション又