重要なポイント
- デザインと導入状況の評価はすべての監査業務で必須（ ）
- 運用の有効性テストは統制に依拠する場合にのみ必要（ ）
- （2019年改訂版）はIT全般統制を評価の明示的な構成要素に追加
仕組み
ISA 315.26は、監査に関連する統制のデザインを評価し、それが導入されているかを確認するよう監査人に義務づけています。この評価はすべての監査業務で必須であり、統制に依拠するか実証手続のみで対応するかにかかわらず実施する必要がある。運用の有効性テスト（ISA 330.8）は、監査人が統制に依拠して実証手続を減らすことを計画した場合、または実証手続のみでは十分かつ適切な監査証拠を得られない場合にのみ発生する別のステップです。
評価対象はISA 315（2019年改訂版）が定める内部統制の5つの構成要素すべてに及ぶ。統制環境（ISA 315.21）、企業のリスク評価プロセス（ISA 315.22）、統制のモニタリング（ISA 315.23）、関連する業務プロセスを含む情報システム（ISA 315.24–25）、そして統制活動（ISA 315.26）である。2019年改訂ではIT全般統制がこの枠組みの中に明示的に組み込まれた。
デザインの有効性は、統制がデザイン通りに虚偽表示を防止または発見できるかを問うものです。導入状況は、その統制が実際に存在し使用されているかどうかを確認する。仕訳承認プロセスのデザインが優れていても、CFOが日常的にそれを迂回しているなら、その統制は導入済みとはいえない。監査人は運用の有効性テストを実施するかどうかを決定する前に、両方の側面を評価します。
実務例：Berg Precision Engineering B.V.
クライアント：オランダの精密機器メーカー、FY2025、売上高EUR 48M、IFRS適用、従業員220名。Berg Precisionは2つのERPモジュール（SAP FIとSAP MM）を使用して財務報告と調達を処理しています。
ステップ1：5つの構成要素の評価
監査チームは統制環境を評価する。文書化ノート：「CEOとCFOは四半期ごとの取締役会で財務実績をレビューし、内部監査機能はなく、経理部門は5名で構成される。統制環境は全体として中程度と評価。不正リスク要因：CFOが仕訳承認と銀行口座管理の両方を担当しており、職務分離が不十分」
ステップ2：IT全般統制の識別と評価
ISA 315.26に基づき、チームはSAP FIとSAP MMを財務報告に関連するITアプリケーションとして特定。文書化ノート：「SAP FIのアクセス権限：変更権限を持つユーザーは4名。月次でアクセスログをレビュー。SAP MMの変更管理：すべてのカスタマイズ変更は本番環境への移行前にIT部長の承認が必要。テスト環境と本番環境の分離が確認された。」
ステップ3：統制のデザインと導入状況の評価
チームは購買プロセスの3者照合（three-way matching）統制を評価する。デザイン上、EUR 500超の発注書にはすべて購買担当部長の承認が必要で、請求書・発注書・検収書の照合が行われる。導入状況を確認するため、12月の発注書25件を抽出し、すべてに承認記録と照合証跡が存在することを確認した。
ステップ4：統制への依拠の決定
3者照合統制はデザインと導入の両面で有効と判断。監査チームはISA 330.8に基づき運用の有効性テストを実施し、仕入債務の実証手続の範囲を縮小することを計画する。一方、仕訳承認については職務分離の不備が認められたため、依拠せず全額実証手続で対応する。
結論：監査ファイルは5要素すべての評価、IT全般統制の具体的な識別、統制への依拠判断の根拠を文書化しており、ISA 315（2019年改訂版）の要件を充足している。
よくある誤解
- チェックリスト型の評価 AFMの2023年検査所見では、統制が「存在する」ことを確認するだけのチェックリストで評価を行い、関連するリスクに対処するようデザインされているかを評価していないファイルが指摘された。ISA 315.26の充足にはデザインの適切性の実質的な評価が必要である。
- 全社レベル統制の省略 プロセスレベル統制（発注書照合、銀行調整の承認）は評価するが、統制環境・リスク評価プロセス・モニタリング活動といった全社レベル統制を評価しないケースが頻発する。ISA 315.26は内部統制の全体系に適用される。
- IT全般統制の形式的な対応 ISA 315（2019年改訂版）はIT全般統制を評価の明示的な構成要素とした。「クライアントはSAPを使用している」という一般的記述では、どのモジュールが関連し、どのIT全般統制がそれらのリスクに対処しているかを特定するISA 315.26の要件を満たさない。
- デザインと導入の混同 デザインの有効性と導入状況は別の評価軸である。紙の上で存在する統制が日常的に迂回されていれば、導入済みとは評価できない。監査人は両方の側面を区別して文書化しなければならない。