J-SOX2年目のIT統制のポイント～もっとスマートに乗り切るために（後編）

評価を最適化する（1）～母集団の最適化、共通化

図1│SAP BusinessObjects GRC Updateアクセス管理の個別最適から全体最適へ（AC）

　不適切な母集団の選定をしてしまうと、いくらサンプリングをして、一生懸命に評価しても、無駄骨になってしまい、徒に工数増となるだけである。なぜ母集団はこれでないといけないのか、その母集団は適切かを吟味する必要がある。合わせて、共通化が図れないかの検討を行う必要がある。

　母集団が適切かどうかのポイントは、その母集団の合計値が重要勘定のどれと直接的、間接的に一致する必要があるかの確認と、実際に一致しているかどうかのチェック、及び母集団の明細とエビデンスが対応しているかどうかである。

　この作業を行っていくと、重要な勘定（売上、売掛金、棚卸資産等）が同じであるキーコントロールのグ
ループは、同じ母集団を使って評価できる可能性が検討できる。母集団の最適化、共通化はテスト工数の大幅な削減に寄与するので、検討することをお勧めする。