内部統制が合格点にあるかをモニタリング

分散する拠点も含めて効率的に評価し、同時に意識改革を推進

　「これまでアセスメントを行う際には、Excelファイルの質問票を送付し、それに記入・返信してもらうという方法が主流でした。簡単で便利なようですがデメリットも多くあります。配布／回収状況の管理、質問票のバージョン管理、回答内容の集計が大変で、担当者に大きな負担がかかってしまいます」とOSSソリューションセンター 関口理恵 主任は語ります。米国SOX法への対応では、大企業でもこうしたやり方が珍しくなかったようです。

　「8th.Layerでは、設問内容や回答結果、利用者情報がデータベース管理され、ユーザーはインターネット経由で場所や時間を問わずにアセスメントを受けることができます。例えば、世界各地に展開する子会社を対象に質問票を配布・回収する際、質問票をメール送信する方法は現実的ではありません。回収率も悪くなりがちですし、メールの行き違いやファイルの紛失も考えられます。8th.Layerならそういった心配はありません。管理者は一覧画面で回答を終えていないユーザーをチェックし、確実に回答を集めることができます。設問を変更したい場合もサーバー上で簡単にでき、質問票を再配布する必要はありません」（関口 主任）

　一方、8th.LayerはCSA（コントロール・セルフ・アセスメント）の支援ツールとしても有効です。最近ではリスクマネジメントを現場レベルで強化しようとしている企業が増えており、その際の手法として注目を集めているのがCSAです。「8th.Layerでは、設問に対する回答の選択肢に点数が振られており、合計点が集計されます。アセスメントの参加者は自分の回答結果と点数配分を見ながら改善すべき点がわかります。設問の回答画面にはヘルプ機能があり、設問の意味についてわかりやすい解説を表示することもできます。内部統制の設問は難しいので、利用者の理解にこうした機能が役立ちます。また、設問に関して自由にコメントを記入可能なため、自分なりの対処法や不安な点などを管理者に伝えることができるのです」（関口 主任）。社員を巻き込みながら内部監査を行い、組織全体の意識を高めるリスクマネジメントを実現することもねらいです。

内部統制評価を繰り返すことで見えてくる隠れた課題

　「内部統制は一時的な取り組みでは確立できません。アセスメントを半年、あるいは1年に1回程度繰り返し、内部統制レベルの向上／低下傾向をウォッチして改善を重ねていくPDCAサイクルが不可欠です」と語るのは事業企画部舘田あゆみ エキスパート。8th.Layerではアセスメント結果のレーダーチャートを重ねて表示し、時系列の変化や部門間の違いを見ることができます。また、パスワードとIDを使って部門ごとに情報を階層管理できるので、大規模な組織での運用が可能です。

　「ポイントは、アセスメント結果のバランスを見ることです。例えば、極端に低い成績の子会社があれば注意が必要ですし、レーダーチャートがいびつな部門、つまり、ある項目について不自然に点数が低い部門は何らかの問題を抱えていると見ていいでしょう。逆にすべての項目で満点を取っている場合は、アセスメントが適切に行われたかどうかを疑ってみる必要があるかもしれません。経営者の評価と従業員の評価に差がありすぎる場合は、経営者の認識に反して内部統制が組織に浸透していないことになります」（舘田 エキスパート）。企業のリスクマネジメントでは、こうした人間がからむ要素に注目することも大切だといえます。

コスト面でも有利、ニーズに応じてノウハウを活かしたサービスを提供

　「以前、8th.Layerを日本内部監査協会主催の内部監査フェアで参考展示する機会がありました。その際には『企業の内部監査人はそれぞれ独自の設問を持っているけれども、それを上手く処理するシステムがない』という声が聞かれました」（舘田 エキスパート）。ソリューション営業部 小林良浩 マネージャーは「8th.Layerは 監査法人などが顧客に監査サービスを提供する際にも有効です。顧客企業のメンバーにリモートでアセスメントを受けてもらい、まとめて分析結果を報告すれば訪問回数を減らすことができます。また、8th.Layerはコンサルティング点数配分の柔軟性や、階層管理の仕組みなどを持つため、内部統制以外にも、ISMS（情報セキュリティマネジメント）に応用したいというお客さまが多くいらっしゃいます。将来的には、環境ISO向けなどに設問内容をセットしたバージョンも8th.Layerのラインアップに加わるかもしれません」と語ります。

　8th.Layerはその特性上、拠点数が多いほど導入効果が高くなるため、製造業をはじめ海外に拠点を多く持つ企業からの引き合いが多く、内部統制リスクに敏感な金融業のお客さまも高い関心を寄せているとのことです。

　ＮＥＣソフトウェア東北では、こうした様々なニーズに対応するため、お客さまに合わせた設問項目の作成支援や、セットアップをするサービスも行っています。また「IT全般統制システム監査支援サービス」「情報セキュリティ内部監査支援サービス」「セキュリティ構築支援サービス」といったサービスメニューを用意、アセスメントと関連した幅広い支援を行います。

ユーザー画面

管理者画面