文書化3点セットに踊る日本企業への警鐘－3点セットはスタートに過ぎない：4点目の文書が勝負という実態

摘要

日本版SOX法と言えば、文書化3点セット（業務フロー·業務記述書·RCM（リスクコントロールマトリクス））という企業が多く見られ、中には3点セットを作成しただけで日本版SOX法対策が「完了」したかのような勘違いをしている企業も散見される。 確かに、日本版SOX法対策において、文書化作業に多くの工数·費用がかかるため、3点セットの作成完了が日本版SOX法対策の大きなヤマを越えた、と感じる企業が多いのも、内部統制チームの実感として仕方ない面があるのかもしれない。 （注：監査法人によっては、粒度の細かい業務フローとRCMだけで良いと言うところもあるが、ここでは便宜上、RCM作成までを文書化3点セットととらえている。 ）しかし、日本版SOX法対策における文書化の実態は、実は文書化3点セットの次にくる4点目の文書が最も重要な意味を持つ。4点目なくしては、内部統制の報告書が書けない重要な文書とは、「テスト定義書」である。読者の中には、文書化は「4点セット」だと言うと、「えっ？ 」という方もいるであろうから、基本に戻って整理してみよう。