内部統制報告制度の適用から約10年が経ち、内部統制対応としては、多くの企業様において安定的に運用されている状況かと思います。
評価文書として利用している3点セットですが、部署や業務内容の変更に伴い、一部分を更新することはあっても、新規で作成する機会は少ないのではないでしょうか。
しかし、M&A等により、新たな拠点が評価範囲に入った場合、新規で3点セットを作成しなければならない場面も出てきます。
そこで、今回は3点セット作成方法について、解説してみたいと思います。
3点セットとは
3点セットの作成方法に入る前に、そもそも3点セットとはどういったものか、内容や目的を解説します。
3点セットは、業務の流れおよび会計処理の過程を把握し、業務プロセスにおける財務報告リスクとそのコントロールを明確にするための文書です。
①業務記述書②業務フロー図③リスクコントロールマトリックス（RCM）
の総称を3点セットといいます。
①業務記述書
（内容）
作業ステップや担当部署、証憑、システム等により、業務プロセスを文章で記述
（目的）
リスクとコントロールを明確にし、作業担当者、作業手順、作業内容を理解する
②業務フロー図
（内容）
各部署における業務の流れを俯瞰し、ワークフローを図示化
（目的）
全体的な流れを把握し、業務プロセスを確認する
③リスクコントロールマトリックス（RCM）
（内容）
財務報告に係るリスクとリスクに対応するコントロールを対比して一覧化
（目的）
業務プロセス上のリスクに対するコントロールの関係を明確にする
効率的な3点セットの作成方法
次に、3点セット作成の流れを押さえていきたいと思います。
効率的に3点セットの作成を進めるためには、3種類の文書を同時に作成するのではなく、まず、業務記述書・業務フロー図を作成し、そこから、リスクコントロールマトリックス（RCM）を作成します。
3点セットは、当該プロセスに関連する部署へのヒアリングや現行資料・証憑等を参照しながら、進めていきます。
以下、3つのステップを踏み、3点セットを作成していきます。
・STEP1(プロセス定義）
現行資料を元に、業務記述書・業務フロー図のドラフトを作成します。
職務権限規程や作業手順書、システムマニュアル等の現行資料を現場部門より受領し、そちらを参照しながら、業務記述書のドラフトを作成します。
まず、業務記述書のドラフトを作成し、それらを元に、業務フロー図のドラフトを作成します。
・STEP2（リスク・コントロール定義）
業務記述書・業務フロー図のドラフトに基づき現場部門と協議し、リスクとコントロールを設定します。現場部門の担当者とドラフトの読み合わせを行い、実施者・システム・証憑等、現行業務との相違を確認し、修正点を明確にします。
リスクについては、作業ステップに潜む不正や誤謬を識別し、アサーションに与える影響を吟味して、財務報告リスクを設定します。
アサーションとは、財務報告リスクにおける監査要点のことを指します。
財務報告リスクを設定するためには、アサーションに対する深い知識が必要となります。
（アサーション例）
実在性：記録された取引は一定期間において、本当に存在するのか
網羅性：その期間に認識されるべき取引が全て記録されているか
権利と義務の帰属：資産の権利や負債の義務が本当に会社のものか
評価の妥当性：資産・負債・取引が適正な価格で計算されているか
リスクの設定後、リスクを最も低減させるコントロールが何かを吟味・検討し、統制活動の種類（承認・照合や自動計算・自動仕訳等）により、コントロールを設定します。
コントロールを設定する上で、どのような作業が統制活動に該当するのかは、熟知しておく必要があります。
・STEP3（3点セット定義）
STEP2の現場部門へのヒアリングを受け、業務記述書・業務フロー図を更新し、リスクコントロールマトリックスを作成します。現場部門の担当者に確認した修正点および収集した関連証憑に基づき、業務記述書・業務フロー図を修正していきます。
修正した３点セットは現場部門を交えて確認を行い、最終化します。
修正を行う際は、3点セット（3つの文書）間の整合性について、留意する必要があります。
3点セットにおける良くある失敗
各社様の3点セットを見る中で、以下のような失敗を見受けることがあります。
良くある失敗①
担当者からヒアリングした内容を全て3点セットに記載してしまい、3点セットの分量が増大している。
良くある失敗②
3点セットの記載内容が細かくなり、評価ポイントが不明瞭になってしまう。
このような失敗を回避するため、「3点セットはリスクとコントロールを把握する目的で作成する」ということを押さえておく必要があります。3点セットを業務マニュアルのように考えてしまうと、上記のような失敗に陥りがちです。
3点セットの目的を理解し、財務報告リスクに関連した内容に絞り、統制活動を重点的に記載するべきです。
3点セットに記載すべきこと
では、3点セットにどのような内容を記載するべきなのでしょうか。
3点セットに記載すべきことについて、解説していきます。
業務記述書に記載すべきこと
業務記述書では、『誰が（WHO）』『何をする（WHAT）』を記載します。
財務報告リスクを把握できれば良いため、業務内容の詳細を記載する必要はありません。
（記載例）
・誰が（WHO）
例①営業担当者は
例②経理担当者は
・何をする（WHAT）
例①会計システムへ発注書を基に受注内容を入力する
例②販売管理システム上の売上データと請求書を照合する
業務記述書は、「実施者」「利用システム」「証憑」「作業内容」に絞って記載します。
リスクコントロールマトリックス（RCM）に記載すべきこと
『誰が（WHO）』『何をする（WHAT）』に加え、財務報告リスクに対し、『どのように（HOW）』コントロールしているかを記載します。
数量や金額の一致等、具体的かつ立証力のある統制内容を記載する必要があります。
（記載例）
・誰が（WHO）
例①営業課長は
例②営業部長は
・どのように（HOW）
例①発注書の数量と照合し
例②前年度の数値と比較し
・何をする（WHAT）
例①受注伝票を承認する
例②売上計算書を確認する
リスクコントロールマトリックス（RCM）では、「担当者」「証憑」「作業内容」に加え、具体的な「統制内容」を記載します。
何をもって承認を行っているか等、コントロール内容が不明確であると、リスクが充分に低減できているのかの判断ができなくなります。
どこまでの粒度で3点セットを記載するのかは悩ましい所ですが、3点セットの目的を踏まえると、財務報告リスクに関連した内容に絞り、統制活動を重点的に記載することがポイントだと考えています。
追加の評価対象プロセスが発生し、3点セットの新規作成が必要となった際は、上記のポイントを意識してみてください。
まとめ
・3点セットとは
☑ 3点セットは、業務プロセスにおける財務報告リスクとそのコントロールの状況を把握するための文書である。
・3点セットの作成方法
☑ 現行文書を元に、まず業務記述書・業務フロー図を作成する。
☑ 現場部門へのヒアリング・証憑類の確認を通じ、リスク・コントロールを設定し、3点セットを最終化する。
・3点セットに記載すべきこと
☑ 業務記述書では、『誰が（WHO）』『何をする（WHAT）』を記載する。
RCMでは、財務報告リスクに対し、『どのように（HOW）』コントロールしているかを記載する。
