「他の者の作業の活用と計画」へようこそ！

未来のCPAの皆さん、こんにちは！今日は「エリアII：リスク評価と計画された対応」における非常に重要なパートを学習します。監査人はスーパーヒーローのような存在ですが、そんなスーパーヒーローにもチームが必要です。ダイヤモンド鉱山の評価から、複雑なグローバル給与システムのコーディングまで、すべてにおいて専門家であることは不可能です。だからこそ、私たちは「他の者」の作業を活用するのです。

この章では、内部監査人、専門家、そしてサービス組織の作業を適切に計画し、活用する方法を学びます。目標は、品質を犠牲にすることなく、監査をより効率的に進めることです。責任が重そうに感じるかもしれませんが、大丈夫です。ステップバイステップで紐解いていきましょう！

1. 監査人の専門家の作業の活用

時には、「貸方・借方」の世界を超えた証拠が必要になることがあります。美術館が所持するピカソの絵画を評価したり、地下油田の埋蔵量を推定したりする必要がある場合、監査人の専門家（Auditor’s Specialist）の力が必要です。

専門家とは？ 会計や監査以外の分野（鑑定士、エンジニア、アクチュアリー、地質学者など）の専門家を指します。

専門家の評価方法

誰でもいいわけではありません。以下の3つの要素を評価する必要があります（覚え方：「C-C-O」）：
1. Competence（適格性）： 適切な資格や経験を有しているか？
2. Capability（能力）： この特定の業務を遂行するための時間とリソースがあるか？
3. Objectivity（客観性）： 独立しているか？もし専門家がCEOの兄弟だったら、それは危険信号です！

専門家との協力

彼らとは書面による合意が必要です。「契約」のようなもので、以下をカバーします：

  • 業務の性質、範囲、および目的。
  • 監査人と専門家双方の役割と責任。
  • コミュニケーションの方法（発見事項をどのように報告するか）。
  • 守秘義務の必要性。

重要なルール： 専門家の作業を活用したとしても、監査意見に対する最終的な責任はあなた（監査人）が単独で負います。法律で義務付けられている場合を除き、無限定適正意見（クリーンな意見）の中で専門家に言及すべきではありません。彼らに言及するのは、彼らの作業によって意見の修正（限定付適正意見や不適正意見など）が必要になった場合のみです。

クイックレビュー： 監査人の専門家は会計以外の事項をサポートします。C-C-Oを評価し、最終報告書に対する100%の責任はあなたが負い続けます。

2. 内部監査人（IA）の作業の活用

多くの大企業には、社内に内部監査部門があります。彼らはクライアントの従業員ですが、日々の業務として統制のテストやエラーのチェックを行っています。もし彼らがすでに作業を終えているのであれば、なぜ同じことを二度行う必要があるのでしょうか？

内部監査人を活用する2つの方法

1. 既存の作業の利用： 年度中に彼らがすでに完了した報告書を確認します。
2. 直接的な支援： あなたの監督下で、特定の監査手続きを実行するよう彼らに依頼します。

彼らを信頼できるか？

活用する前に、以下を評価する必要があります：
1. 客観性： 誰に報告しているか？もしCFO（彼らがチェックする対象者）に報告している場合、客観的とは言えません。理想的には監査委員会に報告しているべきです。
2. 適格性： 専門的な資格（CIAやCPAなど）を持っているか？適切な研修プログラムがあるか？
3. 体系的かつ規律あるアプローチ： チェックリストや文書化された手順を使用しているか？

彼らが「してはいけないこと」

内部監査人は独立した第三者ではありません。したがって、「重要な判断」を伴う業務を任せてはいけません。
よくある間違い： 以下に関する判断を内部監査人にさせてはいけません：

  • 重要な会計上の見積もり。
  • 固有リスクまたは統制リスクの評価。
  • 重要性の基準値。
  • 実施したテストの「十分性」。

例え： 内部監査人を教育実習生と考えてみてください。彼らは選択式クイズの採点（ルーチンワーク）を手伝えますが、最終的な小論文の採点や最終成績の決定（判断を要するタスク）は、主任教師（外部監査人）が行わなければなりません。

重要なポイント： 判断の要素が大きければ大きいほど、内部監査人への依拠は減らすべきです。常に彼らの作業を監督・検証してください！

3. サービス組織の活用（SOCレポート）

多くのクライアントは業務の一部を「アウトソーシング」しています。例えば、中小企業が給与計算をADPに委託したり、データをAmazon Web Services (AWS)で管理したりするケースです。

そのアウトソースされたサービスがクライアントの情報システムの一部である場合（つまり財務諸表に影響を与える場合）、監査人としてその外部企業の統制が機能しているかを知る必要があります。しかし、ADPの本社に乗り込んで監査を始めるわけにはいきませんよね！そこで、SOCレポートを活用します。

SOC 1レポートの2つの主なタイプ

1. SOC 1, Type 1レポート： 特定の時点における統制の設計について報告します。統制が「紙の上でうまく設計されているか」を確認できます。
統制リスクを低減するのに役立つか？ いいえ。 システムの理解を助けるだけです。

2. SOC 1, Type 2レポート： 一定期間（通常6ヶ月間）にわたる統制の設計および運用有効性について報告します。
統制リスクを低減するのに役立つか？ はい！ このレポートは、統制が実際に機能していたという証拠を提供します。

知っていましたか？ 「SOC」はSystem and Organization Controls（システムおよび組織統制）の略です。クライアントの監査を行うあなたのことをユーザー監査人と呼び、サービス組織（ADPなど）を監査する監査人のことをサービス監査人と呼びます。

クイックレビュー： クライアントが給与計算をアウトソースしている場合、その統制に依拠できるかどうかを判断するために、SOC 1 Type 2レポートを探しましょう。

4. 計画と他者の活用：まとめ

リスク対応を計画する際、他者の活用は効率を高める素晴らしい方法ですが、注意深い監視（オーバーサイト）が必要です。

試験対策サマリーテーブル：

内部監査人： 客観性と適格性を評価する。ルーチンタスクには活用するが、高い判断力を要する分野には使用しない。
監査人の専門家： C-C-O（適格性、能力、客観性）を評価する。業務範囲を書面で合意する。
サービス監査人： アウトソースした統制が機能しているという証拠を得るために、SOC 1 Type 2レポートを使用する。

最後に一言： 監査計画はパズルに似ています。他の者の作業を活用することは、全体像という大きな絵の中に適切なピースを当てはめるようなものです。あなたなら絶対にできます！SOCレポートに関する選択問題を繰り返し解いておきましょう。CPA試験では大人気のトピックですよ！