Out-of-the-Box (OOB)

重要なポイント

既存の管理プロセスをそのまま利用することで、重複する手続を避けることができる
ただし経営者の立証責任を監査人の評価に転嫁してはいけない
不十分なドキュメント化があると、検査指摘の対象になりやすい

仕組み

OOBアプローチは、企業が構築している既存の統制環境を監査に直結させる方法論である。監基報315.24から315.35までの段落では、経営者による内部統制の評価プロセスが、監査人による監査リスク評価の入力情報として活用されることを前提としている。企業の財務報告プロセスが既に継続的な統制を実施しているのであれば、監査人はそれを評価した上で、重複する独立の検証手続を削減できる。
ただし監基報315.32は、経営者の評価が形式的または不十分な場合、監査人はその評価の有効性を独立に検証する必要があることを明示している。つまり「既存システムがあるから」という理由だけで、監査人自身の評価を省略することはできない。OOBを活用する際の論点は、どこまで経営者の既存評価に依存でき、どこから監査人自身の現認が必要かという境界線である。

事例: 大阪精密機器製造株式会社

対象：大阪市に本社を置く精密機器製造業、売上高28億円、IFRS報告企業
大阪精密機器製造は、売上計上ルール（受託製造品の納入時点での認識）に関する月次統制を既に実施していた。営業事務所が納入証拠を集約し、経理部で「納入日付リスト」を毎月作成する流れが2年以上継続していた。
監査人は以下のステップで評価した。
ステップ1：既存統制の設計評価 統制プロセスの概要を経営者から聴取し、フローチャートで記録した。納入日付の把握方法、例外処理の仕組み、月次でのレビュー者の確認状況を文書化した。
文書化ノート：「統制の設計」評価記（日付、対象プロセス、リスク軽減の方法、レビュー者）
ステップ2：統制運用の検証 過去3ヶ月分（7月、8月、9月）の納入日付リストについて、実際の納入証拠との照合テストを実施した。各月5件ずつサンプリングし、記載される日付と物理的な納入伝票の日付の一致を確認した。結果は全て一致。
文書化ノート：「統制テスト」結果記、テスト期間（7-9月）、サンプル数5件/月、例外ゼロ、翌年1月追加テスト予定
ステップ3：実質的な誤謬がないかの現認 上記統制テストで十分と判断したため、売上認識に関する追加の実証的手続（取引単位での日付逆算テスト等）を縮小した。ただし期末（3月）の売上計上直前の取引については、独立の納入証拠確認を実施した。
文書化ノート：「手続の省略根拠」記、統制が有効に機能していると判断した理由、省略した手続の名称と本来必要な範囲
結論：既存統制が実際に機能していたため、追加的な実証手続を軽減できた。ただし統制の有効性を監査人自身が確認したことを文書化することで、「経営者の評価に盲従した」という検査指摘を回避した。

監査人・検査機関が誤解しやすい点

既存システムが「あること」と「機能していること」は別である。企業が統制を構築していても、実際の運用が形式的ないし中断していることが散見される。企業が統制を「有しているはず」という推定だけで、監査人は手続を削減できない。
OOBの活用が正当化されるためには、監査人による最低限の運用評価テストが必須である。「経営者がこうしていると言っている」は証拠ではなく、「監査人が実際に標本テストして機能を確認した」ことが前提となる。国際的な検査データから、OOBの名の下に統制テストを完全に省略している事例が報告されている。
統制が有効な領域と無効な領域を明確に区分する文書化が弱いケースが多い。「この統制は機能していたから、関連する全ての手続を削減する」という安易な論理に陥りやすい。

OOBと「既存の評価への依存」の関係

OOB活用と異なる概念として、「経営者自身の評価結果への依存」がある。監基報315.32では、経営者が内部統制の有効性を定期的に評価するプロセスを前提としており、その評価結果の正確性を監査人が検証する場面がある。OOBはこの経営者評価をベースに、監査効率を高める方法論である一方、経営者評価そのものの正確性を監査人が担保する責任は変わらない。

Out-of-the-Box (OOB)

重要なポイント

仕組み

事例: 大阪精密機器製造株式会社

監査人・検査機関が誤解しやすい点

OOBと「既存の評価への依存」の関係

関連用語

関連ツール