内部統制のコミュニケーションへようこそ！

皆さん、こんにちは！監査・保証（AA）試験の中でも、非常に実用的で「実務に近い」分野へようこそ。ここでは単なるチェックリストを埋める監査人としてではなく、専門的なアドバイザーとして考えてみましょう。監査を進める中で、企業のシステムがうまく機能していない箇所を必ず発見することになります。この章では、そうした問題をどのように「経営陣」に伝えるべきかを学んでいきます。

この内容を理解することは非常に重要です。なぜなら、AAの試験ではほぼ必ず「内部統制上の欠陥の指摘」と「改善勧告」が求められるからです。正式な報告ルールを学ぶことは、試験の解答構成を完璧にするための近道ですよ！

1. 基本：ISA 265とは？

ここで議論する内容はすべて、ISA 265：内部統制の不備のガバナンス責任者および経営者への伝達に基づいています。この基準は、クライアントの内部統制システムに「穴」を見つけた際、監査人が具体的にどのような責任を負うのかを教えてくれます。

誰に報告するのか？

ACCAの学習において、私たちは次の2つのグループを区別します：

1. ガバナンス責任者（TCWG：Those Charged with Governance）： いわゆる「トップ層」です。通常は取締役会や監査委員会を指します。彼らは組織の戦略的方向性や説明責任を監督する立場にあります。
2. 経営者（Management）： 日々のビジネスを運営している人々です。実際に統制を実装し、維持する責任を負っています。

例え話： レストランを想像してみてください。経営者は、毎日キッチンが清潔であることを確認する店長です。TCWGは、その店長が正しく職務を遂行しているかを確認するレストランチェーンのオーナーです。

2. 欠陥 vs. 重大な欠陥

これらの用語が似ていても心配しないでください。知っておくべき明確な境界線があります。すべての小さなミスをトップ層に報告する必要があるわけではありません。

「欠陥（Deficiency）」とは？

欠陥とは、財務諸表上の虚偽記載を適時に防止、あるいは発見・訂正できないような方法で統制が設計・運用されている状態を指します。また、本来必要な統制が存在しない場合も欠陥に含まれます。

何が「重大（Significant）」なのか？

重大な欠陥（Significant deficiency）とは、監査人の専門的判断において、ガバナンス責任者（TCWG）に報告する価値があると判断される、重要性の高い欠陥（または欠陥の組み合わせ）のことです。

どのようにして「重大」か判断するのか？
監査人は以下を検討します：
• その欠陥が重要な虚偽記載につながる可能性（Likelihood）。
• 関連する資産の損失や不正への脆弱性（Susceptibility to loss or fraud）。
• 見積額を決定する際の主観性と複雑性（Subjectivity and complexity）。
• その欠陥によって影響を受ける財務諸表の金額的規模。

クイックレビュー： 小さなミスなら経営者に伝えればOK。大きなミスや不正につながる可能性があるようなら「重大」とみなされ、TCWGへの報告が必須です。

3. コミュニケーションのプロセス

クライアントには、いつ、どのようにこれらの問題を伝えるのでしょうか？

タイミング

監査人は、重大な欠陥を適時（timely basis）に、書面でTCWGに伝えなければなりません。通常は監査の終了時に行われますが、非常に重大な欠陥（例：毎晩金庫が開けっ放しになっているのを発見した！）については、直ちに報告する必要があります。

形式：「改善勧告書（Letter of Weakness）」

重大な欠陥は必ず書面で伝えなければなりません。この書面は一般的に経営者への報告書（Management Letter）や改善勧告書（Letter of Weakness）と呼ばれます。試験では、欠陥を説明するための「OCR」という構成を覚えておきましょう：

O - Observation（現状・指摘事項）： 何が問題かを説明する（例：「倉庫の鍵が夜間に施錠されていない」）。
C - Consequence（影響・結果）： これによって何が起こり得るかを説明する（例：「在庫が盗まれる可能性があり、資産の重要な虚偽記載につながる恐れがある」）。
R - Recommendation（改善勧告）： どう修正すべきか伝える（例：「倉庫を施錠し、アクセスログを維持すべきである」）。

豆知識： 「内部統制」に関する記述式問題で高得点を取るには、解答でOCRの構成を使うのがベストな方法ですよ！

4. 書面報告には何を含めるべきか？

ISA 265に基づき、TCWGへの報告書には以下を含める必要があります：

1. 欠陥の説明と、その潜在的な影響の説明（先ほどのOCRの「O」と「C」）。
2. TCWGと経営者が、報告の文脈（context）を理解するために十分な情報。

具体的には、監査人は以下のことを明記しなければなりません：
• 監査の目的は財務諸表に対して意見を表明することである。
• 監査における内部統制の検討は、内部統制の有効性に対して意見を述べるためではなく、監査手続を設計するために行われたものである。
• 報告される事項は、監査中に監査人が発見したものに限定されている。

なぜこれを言うのでしょうか？ クライアントに「すべての統制をチェックした」と誤解されたくないからです。私たちは監査に必要な範囲でしかチェックしていません！これにより、後に報告以外の場所で別の統制が失敗しても、監査人の責任を免れることができます。

5. 避けるべき共通のミス

• 報告相手の取り違え： 重大な欠陥はTCWGへ、小さな欠陥は経営者へ伝えることを忘れずに。
• 曖昧な勧告： 試験では「システムを直してください」だけでは不十分です。「8文字以上のパスワードポリシーを実装する」といったように、具体的に書きましょう。
• 「だから何？」を忘れる： 欠陥を説明する際は、必ずその結果（影響）を添えてください。なぜそれが問題なのか（例：「これが不正につながる可能性がある」）を説明しないと、満点はもらえません。

まとめチェックリスト

重要なポイント：
• ISA 265は統制の問題を報告するためのルールブックです。
• 重大な欠陥は、TCWGへ書面で報告する必要があります。
• OCR（現状、影響、勧告）のアプローチを使いましょう。
• 監査は「すべての」統制の弱点を見つけるためのものではないという免責事項を必ず含めましょう。
• コミュニケーションは適時に行いましょう。

最初は堅苦しく感じるかもしれませんが、大丈夫です。問題を見つけ、なぜそれが問題かを説明し、修正案を提案する。それだけでいいんです！あなたならきっとできます！