Tips of SOX

RCMは何種類作るのか？――手続きと実態の両面から考える（2/2 ページ）

公開 2008年07月02日 09時14分

[ITmedia]

印刷する Googleで優先するソースとして追加

誰が作成し維持するのか？

　作成していくRCMは誰が作成し、維持していくのかという問いについて、教科書的にはPO（Process Owner）が文書の作成と維持を行うことになっています。確かに目的に照らし合わせればそうあるべきです。しかし必ずしもそれが合理的でない場合もあります。RCMには事実が書かれるべきですが、どのようにして事実を記述すべきかは判断が分かれます。例えば巨大な組織で膨大なシステムを抱えている場合、それぞれの異なる担当者に文書化をお願いするとしましょう。

　恐らくSOXの目的や手続き、RCMのリスクの本意するところ、文書化の方法論など、これらについてまずは教育する必要があるでしょう。結果文書化の期日になって集まってきた文書を見るとがく然とするかもしれません。リスクの捉え方の間違い、同じコントロールなのに異なる表現、コントロールとは呼べないような補完業務の無駄な記述。しかしこれは仕方のないことです。他システムのRCMも含めてチェックできる立場でないとこれらの事象は知りえないからです。

　この混乱した状況から事実確認のヒアリングを行うと、結果として意味している業務はシステムが異なってもそれほど違いのない業務だったりします。本来的な意味からPOが行うべきということも正論ですが、システム間の調整のためには事務局的な立場の存在が欠かせません。また初期にはこの目的から文書化プロジェクトが別途用意されることも多いでしょう。このような調整を行わずに各担当者が文書化を行うと、文書を一見した外部からは、記述の内容以前の問題として、このバラバラな状況自体を問題視されるかもしれません。

　では次回はRCM作成の検討すべきポイントの続きとして、「異なる名称で呼ばれるシステムは本当に違うシステムなのか？」「維持にかかる工数を勘案するとどのような構成にすべきか？」「RCMの構成は実際の統制に影響を及ぼすか？」といったことについて述べていきたいと思います。

印刷する

この記事の著者

平安彦

SpecialPR

ITmedia エグゼクティブのご案内

「ITmedia エグゼクティブは、上場企業および上場相当企業の課長職以上を対象とした無料の会員制サービスを中心に、経営者やリーダー層向けにさまざまな情報を発信しています。入会いただくとメールマガジンの購読、経営に役立つ旬なテーマで開催しているセミナー、勉強会にも参加いただけます。勉強会のスケジュールはこちら

ぜひこの機会にお申し込みください。

入会希望の方は必要事項を記入して申請ください。審査のうえ登録させていただきます。