都内で働く監査人のブログ -4ページ目

都内で働く監査人のブログ

ブログの説明を入力します。

IT関連企業の内部監査方法 その①

相変わらず役職に関係なく、休日出勤であったりする。


IT関連企業への内部監査だが、経験則で言うと監査の難易度は双方のコミュニケーション能力のレベルと比例する事が多い。

特に顕著に表れるのがIT技術者への監査対応である。


基本的に彼らは自分たちの望む研究や開発が行えればそれで良く、それ以外の事は全てノイズとして捉える傾向が高い。(もっともこの傾向は専門家であれば誰しも持っているものであるし、この傾向が無い専門家はその分野における2軍、3軍選手程度である場合が多い。)

本来的な意味で言えば彼らは単に企業に雇われているに過ぎない。
その為、企業の上位方針には尊守すべき立場にいる。
けれどより専門性を追求したいが為に、どうしてもそれ以外の要素はノイズとして判断してしまう。

そして良くも悪くも専門バカとなっていく。


そうした傾向の強い人たちへの監査はマニュアル通りのやり方では
最初のうちは渋々対応をしてくれるが、時間が経つにつれて非協力的になり
さらにIT関係の知識が乏しい監査人は技術者の言っている専門用語が事が解らず
最終的には監査人が適当に中身をでっち上げ、中身の全くない監査報告書を作る羽目になる。

残念監査の出来上がりである。


IT技術者のへ監査に関しては監査人がその分野における、ある程度の専門知識を有し雑談レベルで話せる必要がある。

例えば会計システムを開発・運用を行っている技術者に対してはどの様な開発言語を使用しているか、どの様な開発環境を使用しているか、一通り把握し最低限ネットで得られる関連知識は得ておくのが良いだろう。

ネットで調べて簡単に得られる知識すら得ずに
そう言った知識を彼らに質問した場合
少なくても「自分らの業務を理解せずにマニュアル的な対応しか行わない」と印象付けてしまうので注意が必要となる。



本来的な意味で言えば熟練のIS監査人が行うべきであるが、数百人規模の企業でない限りは、おいそれと雇入れている所は無いだろう。

結局は会計知識しかない監査人が全般統制などやる羽目になる。

その為、自分は監査人だから監査知識があれば後はいらないというのではなく
まず、相手の業務の専門性を知り何を尊重すれば良いか
どうすれば一方的な権限の押付では無く、協力的な対応を促す事が出来るか考え、実践する必要がある。


監査対応において強権を発動するのは、あくまで最終手段としない限り
その企業の監査は中身の無い、無意味な残念監査しか行われないだろう。
先日、定年間際のアホ裁判官が頭の悪い判決を出した。
判決内容としては「放送法は、利用状態とは関係なく、テレビを設置した者から一律に受信料を徴収することを認めている」として、契約を拒否する設置者に対しては、裁判所の判決を得ることで契約を締結させることができるとの判断を示しいる。

このような頭の悪い判決を出した理由は大なり小なりいくつか理由があるが
一番大きな理由としてはこの裁判官が地方に飛ばされた
いわゆる無能で出世コースから外れた裁判官である為である。

基本的に地方に飛ばされる裁判官は無能の類であり、裁判官の中でも3軍選手である。
そうした裁判官は歪な精神状態である事が多く、特に定年間際になるとこれ以上干される心配がなくなる為
ある意味、画期的な判例を出す事が多々ある。

異動履歴を見ると、どうやらこの裁判官もその手の類らしい。

しかし口頭契約でも無い上に契約書無し、さらに他の客体無しで債権回収が可能とは
やくざ顔負けである。
監査法人 or 公認会計士による会計監査の必要性。

企業経営の観点から結論を言うと不要、イラナイ。

計算書類の記載内容が適正かどうかしか見ない、そもそも監査法人内部の内部統制自体がザルである。
(まあ、王子製紙やオリンパスなど見れば監査法人の必要性に関して疑問を感じる人は多いだろう)

一応、監査結果についてはその監査法人内部の審査部門が再チェックを行うが
だからといって、粉飾が見つかるもんではなく、見つかるとしても書類上の不備だけである。
しかもご丁寧に自分たちの責任逃れの文面まで監査報告書に記載する。

法定監査として仕方なく入れているが
そうでなければ毎年、何千万円もかかる監査報酬なんぞ
無駄な経費にしかならない。

そもそも日々のお金の流れは会計システムを見ればすべて統計データとしてグラフで表示もできる。
きっちり統制をかけている企業であれば費用は全て稟議決済システムで承認決済がなければ
社長だって1円たりとも動かせない。

デット、イクイティ
財務3表程度であれば経営陣はみんな読み取れ
財務マネジメントを行う事ぐらいできる。

連中が書く報告書程度であれば、
どうせテンプレートを毎年使い回しているのだからこっちでも書ける

コンサル的な事もしない、計算書やその他帳票を見て
適当にサンプリングして、あと適当にヒアリングして報告挙げてエンド
いらんよ、監査法人。

経理部長のほうがよっぽど税法、会社法含め会計知識が豊富なのだが・・・


監査法人のヒアリングをこっそり見ていたが
平社員にはやたら偉そうにして、かなりふざけ態度だったが
役会での報告時にはやたら低姿勢だった。

独立性を謳うのであれば、相手の役職に違いによって態度を標線させるのは如何なものかと思ったりするのである。
まあ、四則演算出来れば、あとは大して知識はいらないから
その程度連中が出来る仕事なんだろう。

役に立たない、監査法人を食わせる為だけの法律は早く廃止にならないだろうか
只々それを願うだけである。

ハラスメントが並盛


リスクマネジメント委員会に出ていると色々な事件が上がってくる

なぜか一番多いのが、ハラスメント関係である。

まあ、人事・労務関係のリスクではあるが
どんなに時代がたっても無くならないモノなのだろう。

しかし毎回、事件として出てくるが
他の会社もそんなものなのであろうか?

セクハラ、パワハラはまだわかるが
最近はセキュリティ・ハラスメントなどというものが挙がってきた。
略してセキュハラらしい。


事件の概略としては以下のような感じ

システム統括部(仮称)曰く
「システム上のセキュリティホールがあるので、すぐに対処しなければいけない
貴方は専門家では無いのだから、どんなに危険な事か判断する事が出来ない
だからシステムに関すること全て従って欲しい。」

そもそも、専門家の意見を聞いてもらわないと何があっても責任は一切取れない。
セキュリティ対策は一刻を争う、ただし○○○万円掛かるので稟議の承認をしてくれ。


といった感じの事を押し売り的に管掌役員に言ってきている。

これ、BtoCだったら特商法にもろに引っ掛かるんだが
残念ながら、社内の押売り(?)には関係なかった。


企業は専門的な業務を行ってもらう為に、
それぞれの専門家を雇っている訳であるが
それを盾に押し売り的な事をされても少々困る。

結果としては、週末に開催される役会にセキュハラの人を呼び出して
全員の前でプレゼンしてもらう事で話はまとまる。

正直、こっちはパワハラのようにしか思えないので、あまり出たくはない・・・


まあ、直属の部下だったら「お前の自己満足を満たす為に会社は在るんじゃない、その行為が企業にとって、どのような形で利益還元されるのか、まず示せ。」と話し、その場でプレゼンしてもらい、そのプレゼンが納得出来るものであれば承認する。
もっとも自己満足で行ってくる奴は大抵、企業利益へどうやって結びつけるか考えていない為、その場でボロが出る。
ボロが出たら、その場で稟議は差戻しではなく
否決して終わりにする。

そして二度と同じ案件で起案出来ないようにする。


話がズレたが、
様々な価値観の人がそれぞれ違った立場でいるせいか
よくもまあ変なハラスメントが出てくるものだと、ある意味感心する。


この先はどんなハラスメントが出てくる事やら。

企業にとっての法律とは何ぞや

法務、曰く
「絶対に遵守すべきもの」

一つの視点としては確かに正しい。

弁護士業界のような偏った、狭い了見の範囲内であれば問題無い。

ただし、企業に雇われ、企業内に身を置く立場の人間からすると
必ずしも、それだけでは正解とは言えない。


法律はあくまで国内で商売するうえでの共通ルールであり、それ以上でもそれ以下でもない。

そしてルールは道具として有効活用したうえで、初めて企業利益に繋がる。

企業利益に結びつかないものは単なる損害を発生させるモノでしかない。

法律という道具をいかに上手く活用し企業利益に結び付けるか、
それを考え提案するのが企業法務の仕事の一つである。

それが出来なければ、そんな法務は企業にとって単なる金食い虫でしかない。
要は企業にとって損害を与える対象でしかなくなるのである。
当然、コストが高いだけの部品は交換対象の候補となる。

それこそ、合法的にね。

話がそれた

企業にとって、決められたルールを守る事は当たり前である。
守られる共通ルールがあって初めて、安心して商売に勤しむ事が出来る。

でも、そのルール自体が時代の流れに追いついておらず
非常にデカい穴が開いている事もある。(今もぽっかり開いている)

合法であるけど、そのうち絶対に規制されるな~、といった類のものである。


まあ、ルールの範囲内であり、それが利益を生むのであれば最大限利用するのが企業である。

新任の人は自分がいかに有能かアピールする為に
己の分を弁えず野良犬の如く喚き、喰い散らす。


高潔な志であっても、その志と手法が常に一致する事は叶わない。

場合によっては、望まない手段であっても目的が手段を正当化する事もある。

だからこそ清濁併せ飲む事も必要となる。

けれど自身の望む理想を見失わず根本の部分では自ら望む理想を我欲として持ち続ける事も必要となる。

ただ、少なくても手の届く範囲内の人たちとはお互いに尊重し合いながら相互扶助を図って行きたいと思う。


彼が知るべきは 「燕雀安んぞ鴻鵠の志を知らんや」 だろう。

マイナンバー法案やEUデータ保護指令など日本国内外の個人情報保護に関連する制度に動きが見えたりする。
そのせいなのか日本の企業にはどのような影響があるのか、個人情報保護専門監査人部会でも結構検討されていた。


以下は、そのメモ書き
①官公庁、自治体等に提出する書面にはマイナンバーを記載する事が義務付けられる。
②個人情報保護法における個人情報取扱事業者と同レベルの安全管理措置をとる事が義務付けられる。
③確定給付年金や企業型年金で個人番号を利用して情報連携する場合、個人情報漏洩の危険性に関する評価(情報保護評価:PIA)の実施及び公表義務が義務付けられる。

監査側からすると監査の対象項目が増えただけなので、正直どうでも良い。

けど企業経営の観点からすると、余計な法律作るなというところである。

まず、利益に繋がらない設備投資が増える。
この点に関しては日立あたりがさっそくシステム改修のパッケージを宣伝して、金儲けをしようとしている。
システム開発が行える企業は良いが、それ以外は堪ったんではない。

個人情報の取扱を個人情報法取扱事業者と同レベルまで引きあがる必要がある。
Pマークの導入対応や委員をやっていたが、そのレベルまでやっている企業は殆ど見たことは無い。
やったところで、掛捨ての保険より効果は無く、
自分の任期中に問題発覚しなければ良いや的な役員が所管だったりすると
全く対応が進まない。

そもそも対象企業はその辺の八百屋から東証一部に株式公開している大企業まで結構広い。
零細企業はどうするんだろう?

罰則は最大で4年以下の懲役もしくは200万円以下の罰金または併科みたいだけど、
罰金は倍にしても良い気がする。


ちょうど良い機会だから
会社法しか知らん、法務課の連中には
勉強ついでに個人情報保護士の資格でも取らせてみるかな?

疲れた。

ようやく株主総会が終わった。


ちょうどポッカリ業務の隙間が生じたら、見事に手伝いに駆り出されてしまった。
なぜか誘導係&椅子の片づけ係。

まあ、監査役室が大繁盛していたら、それはそれで困るのだが
半ドンで帰るはずだったに・・・・ひどい。

さすが元上司の総務部長、とだけ賞賛しておこう。


しかし株主総会は相変わらず大変である。
事前準備に総務、経理、社長室などバックオフィス系は総動員となる

前回使用した想定問答集の見直しや、大失敗をやらかした事業案件の言い訳作りなど
毎度、毎度関わっているが、文言を総務や法務、担当役員、社長を交えて詰めるものだから
徹夜に近い状態が何日か続く事もある。

あと
総務部いたから解るが
総務の人は会場の手配や株主への通知やリハーサル、当日の準備、
今は少ないが当時はイッパイいた総会屋対策など
この時期が一番大変だと痛感する。

総務部、ご苦労様でした。

でも忙しくってもバックデートするのは勘弁してね。

IS監査しているとクラウドに関連するリスクに行き当たる。
と言うより阻まれた事もあったりした。


クラウド
を導入・使用する際の法的リスクについては

サービス自体が出始めてからいまだ数年しかたっておらず、

まだ日が浅い。


そのため導入や運用に対する
様々なリスクや責任に関しては
まだ表面化されていない事が多くある。


特にクラウドはその特性上、物理的な境界線が非常に薄い。

ボーダレス化と言っても良いかも知れない


でも、国境をまたぐと別の国になる
国が違うと法律もまた違ってくる


なので法人がクラウドサービスを利用する際は法的制限や制度上の違いを
認識して、対処していく必要がある。

まあ、いわゆるリスクマネジメントである。


そんな訳で
クラウドのリスクに関して本当は企業内の詳細なリスク評価を触れたいが
倫理規定上よろしくないので
、汎用的なリスクを取り上げてみたいと思う。



まずは有名どころで米国愛国者法から

米国愛国者法は国内外のテロリズムと戦うことを目的とした法律であり、

2001年に米国で発生した同時多発テロ事件後に、捜査機関の権限を拡大する法律として成立している。

テロ活動の防止を目的としていれば捜査機関が金融機関やネットサービス企業に対して情報の提出を求めることも可能となっている。



▼愛国者法による事例

FBIが令状によりデータセンタを押収、巻き添えの顧客は大損害

・200942日の午前6時、米国テキサス州のデータセンタ企業「Core IP Networks LLC」は、FBIに予告なしに急襲され、全データセンターのシャットダウンの命令を受ける。

その後、機材すべてが令状によって押収。社長宅にも同時に15台のパトカーとSWATチームが急襲。

これによって、同社の顧客約50社が電子メールやデータベースへのアクセスを失う。

・FBIは押収した理由について、同社から過去にサービスを購入したことのある企業を調査するため、と説明。



これマンションで例えると
同じマンション内で誰かが犯罪している可能性があるから
マンション内の全住人を全て退去させたうえ、残った通帳とか現金とかその他、家財道具は全て没収します

でも損害は補償しませんよ
といった感じになる。



どんなに好立地で安くても
そんなマンション住みたくないな。


ちなみにAmazonとかマイクロソフトなどの一部のサービスは米国愛国者法の影響下にあったりする

興味を引いたので

ネタ元はこちら

スイスにユートピアが実現?

「スイスの合法的居住者全てにベーシック・インカム(基本所得)を無条件で給付する」というイニシアチブ(国民発議)を、運動家たちが街頭で市民に呼びかけている。国民投票に必要な数の署名がすでに集まったという。


これ実現したら少なくても食生活には困る事は無くなるんだろうか
そうであれば少なくても労働の目的が食生活の為ではなく、それ以外のものに向いて行くのかな。
なんか労働意欲を削ぐような気がしているのだが

う~む、でも飢えをしのぐ為の犯罪は減っていくのかな?
より贅沢をする為の犯罪に衣替えするだけのような気もするが・・・さてはて。


そもそも、国はどっからこのコストを捻出するのだろうか
税金が上がるだけで可処分所得が変わらないのであれば、あまり意味がないような気もする。

まあ、話し自体は面白そうではある