Microsoft PowerPoint - SSAE16クラウドセミナー

Transcription

1 で 健全なクラウド運用を見える化! ~ 対応のPCAクラウドがもたらすメリットを 内部統制評価 クラウド選定 グループITガバナンス の視点からご紹介 ~ ピー シー エー株式会社管理本部佐藤正明

2 目次 1/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

3 目次 2/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

4 1-1 PCA クラウドサービス概要図 3/27 中堅 中小企業向け基幹業務システムにおいて 先進的で健全なクラウドサービスを提供しております 利用会社 P C A 多種多様なサービス クラウド API の提供 SSL 通信 関東 DC 国内大手データセンター関西 DC 国内大手データセンター SSL 通信 開発検証運用企画 CA 緻密な連携 適切な職務分離 全社的な運用体制 スマートデバイス対応 TSC

5 1-2 PCA クラウドサービス提供状況 4/27 会計 給与 人事 販売 仕入などの基幹業務システムはもとより 公益法人 社会福祉法人 医療向け等 PCA ならではの業務システムまで 数多くのクラウドサービスを提供しております ERP 販売管理 / 仕入 在庫管理 / 顧客管理 PCA Dream21 PCA 商魂 Ⅹ PCA 商管 Ⅹ 財務会計 PCA 会計 Ⅹ 経理じまんⅩ PCA 公益法人会計 V.12 PCA 社会福祉法人会計 V.5 PCA 建設業会計 V.7 給与計算 / 人事 勤怠管理 PCA 給与 Ⅹ 給与じまんⅩ PCA 人事管理 Ⅹ PCA 就業管理 Ⅹ 医療情報システム 税務 PCA 顧客管理 9V.2 売上じまんⅩ 仕入じまんⅩ PCA 医療法人会計 PCA HyMarks Clinic PCA Macs Clinic PCA 法人税 PCA 所得税 PCA 減価償却 V.3 (2013 年 11 現在 ) 最新の提供状況は弊社ホームページにてご確認ください (PCA 公式サイト pca.jp ) ( ) サービスイン

6 1-3 における評価対象 5/ 年 9 末基準日 の評価対象サービスにつきましては 従来からの 会計 Ⅹ 給与 Ⅹ はもとより 商魂 Ⅹ 商管 Ⅹ など 現在サービスインしている 全てのクラウドサービス に対応致しました ERP PCA Dream21 財務会計 9 9V2 9V2R7の旧 PCA 会計 Ⅹ バージョンも含む 経理じまんⅩ PCA 公益法人会計 V.12 PCA 社会福祉法人会計 V.5 PCA 建設業会計 V.7 給与計算 / 人事 勤怠管理 PCA 給与 Ⅹ 給与じまんⅩ PCA 人事管理 Ⅹ PCA 就業管理 Ⅹ 9 9V2 9V2R7 の旧バージョンも含む 販売管理 / 仕入 在庫管理 / 顧客管理 医療情報システム 税務 PCA 商魂 Ⅹ PCA 商管 Ⅹ PCA 顧客管理 9V.2 売上じまんⅩ 仕入じまん Ⅹ PCA 医療法人会計 PCA HyMarks Clinic PCA Macs Clinic PCA 法人税 PCA 所得税 PCA 減価償却 V.3 (2013 年 11 現在 ) 最新の提供状況は弊社ホームページにてご確認ください (PCA 公式サイト pca.jp )

7 目次 6/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

8 2-1 報告書と活用イメージ (1/2) 7/27 ( 受託業務の内部統制 ) 報告書による評価とはどのようなことか? なぜそのような評価をする必要があるのか? について活用イメージも合わせてご説明いたします 受託業務の内部統制評価とは? 会計監査及び内部統制 ( ) の基準において規定 米国 (US-SOX) 日本 (J-SOX) 自社 ( 委託会社 ) の財務報告に影響を及ぼすような業務を外部 ( 受託会社 ) に委託しており 重要な内部統制が受託会社にある場合 適切な財務諸表の作成および報告がなされるためには 自社 ( 委託会社 ) のみならず 受託会社に委託している委託業務に関わる内部統制も適切に整備 運用されている必要があります そのため 委託している業務の重要性に応じて 受託会社の受託業務も内部統制監査の評価対象となる場合があります PCA クラウドサービスにおける 報告書の活用イメージ 財務諸表監査内部統制監査 報告書利用 財務諸表 委託会社 決算プロセス会 入商管魂仕計販売商 給与 給与計算国内大手 DC 受託会社 (PCA) 受託業務 クラウドサービス 会計 給与 商魂 商管等 監査 意見表明 報告書取得 委託会社監査人 本来なら直接的な監査が必要と考えられている 報告書配布 受託会社監査人

9 2-1 報告書と活用イメージ (2/2) 8/27 ( 受託業務の内部統制 ) 報告書による評価とはどのようなことか? なぜそのような評価をする必要があるのか? について活用イメージも合わせてご説明いたします なぜ受託業務の内部統制評価が必要なのか?( 特にクラウドサービスでは ) 受託会社に委託している委託業務( クラウドサービス ) の内部統制が適切に整備されず いい加減な運用が行われている場合 当該業務をもとに作成された委託会社の財務報告の適切性が担保されない 特に クラウドサービスでは 受託会社の運用 管理体制がブラックボックスになってしまい 委託会社には どのように運用 管理されているのかが把握できないリスクがある この状態を放置すると 受託会社の運用上の不備による思わぬ大事故 ( 委託会社の預けているデータの大量消失事故など ) に巻き込まれる可能性がある PCA クラウドサービスにおける 報告書の活用イメージ 財務諸表監査内部統制監査 報告書利用 財務諸表 委託会社 決算プロセス会計 入商管魂仕( 再掲 ) 販売商 給与 給与計算国内大手 DC 受託会社 (PCA) 受託業務 クラウドサービス 会計 給与 商魂 商管等 監査 意見表明 報告書取得 委託会社監査人 本来なら直接的な監査が必要と考えられている 報告書配布 受託会社監査人

10 2-2 と各基準との対応 特に クラウドサービスによる受託業務の内部統制を評価する基準としては クラウドサービスをリードする米国が策定したによる評価が主流であり 日米におけるクラウドサービス事業者が適用する基準としてのデファクトスタンダード ( 事実上の標準 ) となりつつある 基準策定団体旧基準新基準 ( 現行基準 ) スキーム有用性 国際基準 米国基準 国際会計士連盟 (IFAC) 米国公認会計士協会 (AICPA) SAS70 Statement on Auditing Standards No.70 米国監査基準書第 70 号 ISAE3402 International Standard on Assurance Engagements 国際保証業務基準 3402 Statement on Standards for Attestation Engagements 米国保証業務基準書第 16 号 記述書及び記載されている内部統制について受託会社が確認する 一方 監査人も記述書と内部統制について評価を行い その結果を基に意見表明をする 9/27 〇国際的だが各国基準と併用が多い 米国日本両対応 日本基準 日本公認会計士協会 (JICPA) 18 号 監査基準委員会報告第 18 号委託業務に係る統制リスクの評価 86 号 監査 保証実務委員会実務指針第 86 号受託業務に係る内部統制の保証報告書 新基準になり各基準がほぼ同じものとなった 〇国内のみ対応 有用性 ( ) については 資料作成者個人の見解です

11 目次 10/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

12 3-1 Type1 と の違い には 特定時点における内部統制の 整備状況 を評価する Type1 報告書と 一定の期間にわたり 整備状況 と実際の 運用状況 の有効性を評価する 報告書の 2 種類ある Type1 整備状況評価 12 決算 9 30 日会社向け基準日 1/1 3/31 6/30 9/30 12/31 ( 評価対象期間 ) 時点評価 時点評価 日基準日 11/27 3 決算会社向け 独立監査人 監査 Type1 報告書 監査 Type1 報告書 12 決算 9 30 日会社向け 1/1 3/31 6/30 9/30 基準日 12/31 評価対象期間 日基準日 3 決算会社向け 運用状況評価 期間評価 期間評価 期間評価 期間評価 独立監査人 監査 監査 監査 報告書 監査 報告書 は 継続的に受託業務に係る内部統制の 運用状況 評価を実施するため 委託会社における内部統制監査 J-SOX(IT 統制 ) に利用できる!

13 3-2 の構成 12/27 報告書の作成においては 受託会社 と独立監査人である 受託会社監査人 の責任主体が明確になっている 構成部 レポート構成 具体的な内容 責任主体 第 1 部 保証報告書 独立監査人の保証監査の意見 ( 利用制限の注意書含む ) 監査人 第 2 部 受託会社確認書 受託会社が発行する宣誓書のようなもの 会社 第 3 部 システムに関する記述書 ( 統制記述書 ) 1. 業務の概要 2. 会社レベルの内部統制 3. 統制目的及び関連する内部統制及び業務プロセス 4. 委託会社の相補的な内部統制 受託会社が受託業務の概要と整備した内部統制を記載する 1. 受託業務の概要 2. 全社統制 3. 業務プロセス IT 全般統制 4. 委託会社の協力のもと成りたつ内部統制 会社 内部統制の状況 第 4 部 受託会社監査人の実施した手続内容 時期及びその結果 統制目的及び関連する内部統制並びに独立受託会社監査人による運用評価手続及び評価結果 受託会社の独立監査人が実施した運用評価の手続き及びその評価結果を記載する 主に 3. 統制目的及び関連する内部統制 (3. 業務プロセス IT 全般統制 ) の評価結果 監査人 評価結果 第 5 部 受託会社監査人の検証対象に含まれていない受託会社側からの情報提供 評価対象ではないものの 受託会社 ( 受託業務 ) に関する補足的な追加情報を記載する 会社

14 3-3 統制評価項目 ( 第 3 部 _3.IT 全般統制 ) 13/27 米国や日本での内部統制制度における IT 全般統制 として一般的な IT インフラを含むシステム アプリケーションの 開発 変更 保守 アクセスコントロール 及び システム運用 を評価対象範囲としている 1 論理アクセス 1. 職務分掌 ( 開発 運用の分離 ) 2. 本番環境 (OS)(DB) のユーザー ID 管理 ( 登録 削除 ) 3. 本番環境 (OS)(DB) のユーザー ID 管理 ( アクセス制限 ) 本番環境 (OS)(DB) のユーザー ID 管理 ( パスワード変更 ) 4. 本番環境 (OS)(DB) のユーザー ID の棚卸 5. 本番環境 (OS)(DB) の特権管理 6. 契約ユーザーに割り当てた領域へのアクセス制御 7. 本番環境へのアクセスログのモニタリング 8. 緊急時の例外的アクセス許可申請と報告 9. ネットワークセキュリティの保護 10. ウィルスチェック状況の管理 報告 2 物理アクセス 1. 次モニタリング ( 次運用報告 ) 2. 年次モニタリング ( 実地調査 ) 4 IT インフラの導入 保守 1.IT インフラの導入 変更の承認 2.IT インフラの保守 3. 構成管理 3 システムの開発 導入及び保守 1. システム開発 変更依頼 2. システム開発 変更の着手承認 3. 設計 ( 外部設計 内部設計 ) およびプログラミング 4. システムテスト 5. 進捗管理 6. テスト環境の整備 ( 本番環境との分離 ) 7. サーバーソフトウェアの本番移行 ( リリース ) 時の承認 8. サーバーソフトウェアの本番移行 ( リリース ) 結果の確認 9. サーバーソフトウェアの緊急リリース 10. クライアントソフトウェアの配布 11. サーバーソフトウェアの棚卸 12. クライアントソフトウェアの棚卸 5 システム運用 1. 契約ユーザー IDの登録および領域割り当て 2. 自動運用プログラムへの登録 変更 3. 非定例処理の受入と実行 4. オペレーション記録の報告と確認 5. システム障害の管理 ( 確認 承認済みの障害管理 ) 6. システム障害の報告 ( 次等 ) 7. データ プログラムのバックアップ 8. 復元テスト 9. 本番データの修正

15 3-4 まとめ によって 14/27 第三者である独立監査人による の継続的な監査を受けることは まさに 人間ドック を受けているようなものであり 健全なクラウド運用を可視化し 更なる体質強化へとつながっている 取得している 人間ドック 定期的な精密検査 診断結果 結果判明 生活改善 人間ドックを毎年受けているようなもの PCA 受託業務 PCA クラウド 独立監査人 監査 PCA 受託業務 PCA クラウド 改善活動 クラウド運用を見える化 健全な運用体質へ 特に何もしていない / 自己流 自己流管理 自己流検査 実態不明自己判断 内部統制運用状況把握 今まで大丈夫だったから 今後も大丈夫だろう 特に何もしていないクラウドサービスだと クラウド運用がブラックボックス化し 統制のとれた運用体制のもと 適切な運用管理が行われているか分かりにくい ( 発生事例 ): 運用体制 手順の不備による 大量データ消失 が発生した事故など... 健康状態把握できない 体質悪化のリスク

16 目次 15/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

17 4-1 見える化 のメリット ~ 内部統制編 ~ 16/27 対応の PCA クラウドにより 利用会社 ( 委託会社 ) および利用会社の監査人 ( 委託会社監査人 ) の内部統制 (IT 統制 ) 監査に係る工数を 大幅に削減するメリットがあると言われています 3 財務諸表 PCA クラウド 1 内部統制 (IT 統制 ) 監査に利用 PCA クラウドユーザー 委託会社 財務諸表監査内部統制監査 委託会社監査人 2 報告書受領 健全なクラウド運用 見える化 報告書配布 PCA 受託会社 受託会社監査人 監査 意見表明 報告書取得 一般的な IT 統制の監査ステップ 1 ほぼ管理不要 1 システム状況把握 削減 2 システム監査準備 削減 3 システム監査対応 削減 4 質問書 [ 受 ] へ送付 2 受領 5 質問書 [ 受 ] より受領 3[ 委 ] 監査人監査に利用 6[ 委 ] 監査人監査実施 監査工数の削減を図れる! 6 財務諸表 他社クラウド 質問書 内部統制 (IT 統制 ) 監査の実施 他社クラウドユーザー 委託会社 財務諸表監査内部統制監査 委託会社監査人 5 受領 質問書 他社クラウド クラウド運用 質問書 4 送付 他社受託会社クラウド運用監査受託会社監査人

18 4-2 見える化 のメリット ~ クラウド選定編 ~ 17/27 他社のクラウドサービスとの選定 ( 主に選定後 ) において 対応の PCA クラウドは クラウドサービス運用に関する内部統制 (IT 統制 ) に関する評価の有無や 状況確認できるメリットがあると考えております 確認できる! ガバナンス 職務分離 運用体制 コントロール 統制活動 監視状況 リスク 残存リスク PCA クラウドユーザー 委託会社 財務諸表監査内部統制監査 委託会社監査人 報告書受領 健全なクラウド運用 見える化 報告書配布 PCA 受託会社 受託会社監査人 監査 意見表明 報告書取得 クラウドサービス導入検討会社 監査の有無 確認の可否など クラウドサービス選定 選定後に いつでも確認できる安心感! 選定後に どんなリスクがあるか? 確認しづらい ガバナンス体制 確認できるか? コントロール状況 確認できるか? 残存リスク 把握できるか? 他社クラウドユーザー 委託会社 財務諸表監査内部統制監査 委託会社監査人 他社クラウド クラウド運用 ( 注 ) 報告書の閲覧につきましては クラウドサービスを本契約後 ご利用になられてから 可能となっております 他社受託会社クラウド運用監査受託会社監査人

19 4-3 見える化 のメリット ~IT ガバナンス編 ~ 18/27 対応の PCA クラウドにより 親会社がグループ会社のシステム状況等をタイムリーに把握し 管理し易いことから グループ IT ガバナンスの強化につながるメリットがあると考えております 親会社 親会社システム 子会社システム グループ会社 A グループ会社 B 親会社によるグループ会社のシステム状況 利用状況等をタイムリーに把握できる により クラウド運用に係る内部統制を定期的に確認できる 見える化 報告書配布 PCA 健全なクラウド運用 グループ会社の IT ガバナンスの強化が図れる! 親会社 グループ会社 A 機能追加 カスタマイズ 親会社システム 連携モジュール等 グループ会社の報告が適時 適切に親会社へ報告されない場合は 親会社の方から状況把握しなければいけないことがある 子会社システムグループ会社 B 子会社システム 追加 改良 入れ替え 新子会社システム 親会社主導でグローバルな ERP 等をグループ全体に導入していない場合 グループ会社のシステム状況 利用状況までを 親会社が適時に把握するのは 意外と手間になることが多い

20 4-4 見える化 のメリット ~ まとめ ~ 19/27 対応の PCA クラウドによる 見える化 のメリットは 以下となります 主なメリット +α のメリット 内部統制 (IT 統制 ) 評価 会社側評価および監査対応工数の大幅削減! 統制項目 評価結果を確認できるため 会社側での残存リスクを把握しやすくなる! クラウドサービス選定 クラウド選定にあたり サービス事業者の運用信頼度を検討できる! クラウドサービス事業者の選定リスクの低減を図れることから 新たなコスト負担を抑えられる! グループ IT ガバナンス グループ IT ガバナンスの強化を図れる! グループ会社のシステム状況を統率可能なため 柔軟なシステム利活用が図れる! メリット につきましては 弊社における適用実績をもとに記載しており 一般的に利用会社様にも同等の効果が期待できるものと考えております

21 目次 20/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

22 5-1 PCA のクラウド活用 ~ クラウド構成図 ~ 21/27 PCA では 全グループ会社に PCA クラウドを導入しております クラウドのメリットを最大限に活かしながら 各社の独自性も尊重した グループ IT ガバナンスを構築しております グループ会社監査 財務諸表監査 内部統制監査 (IT 統制 ) PCA グループ PCA クラウド PCA 基幹業務 会計監査人 財務諸表監査 内部統制監査 (IT 統制 ) K 社 財務諸表 会計システム 単体決算 M 社 会計 Ⅹ 等 財務諸表 給与システム 連結決算 会計 Ⅹ 等 その他システム群 IT 統制 X 社 財務諸表 顧問契約 会計 Ⅹ 等 会計事務所 健全なクラウド運用 クラウド運用 監査 意見表明 報告書取得 受託会社監査人

23 5-2 PCA のクラウド活用 ~ 決算プロセス ~ 22/27 タイムリーな仕訳確認とダイレクトなデータ取得により 決算プロセスの早期化 効率化を実現している タイムリーな仕訳確認を実現 グループ会社はメール等により仕訳明細を親会社へ送付 導入前日常処理次決算四半期決算 親会社へ連結 PKG 送付 親会社による連結資料確認 親会社はグループ会社に仕訳内容の確認連絡 PCA クラウド 親会社および子会社の顧問先 ( 会計事務所 ) による タイムリーな仕訳確認が可能となった ダイレクトなデータ取得が可能 導入前日常処理次決算四半期決算 グループ会社会計データ取得 親会社へ連結 PKG ( 会計データ ) 送付 親会社連結 PKG ( 会計データ ) 受領 PCA クラウド 親会社および子会社の顧問先 ( 会計事務所 ) による 適時 ダイレクトなデータ取得が可能となった

24 5-3 PCA のクラウド活用 ~ 監査 IT カ ハ ナンス ~ 23/27 内部統制 (IT 統制 ) 監査工数の削減 効率化とグループ IT ガバナンスの強化を実現している 内部統制 (IT 統制 ) 監査の効率化 導入前 グループ会社 IT 統制評価依頼 親会社による IT 統制評価実施 監査人による IT 統制評価往査依頼 監査人による IT 統制評価往査対応 監査人 IT 統制実施有効性評価 監査人 会社に結果通知 会社 監査結果受領 PCA クラウド 親会社 _ 提示 工数の削減 効率化! 監査人 _ 評価利用 監査人 会社に結果通知 会社 監査結果受領 グループ IT ガバナンスの強化 導入前 親会社グループ各社ごとに対応 K 社会計 Ⅹ M 社会計 9V2R7 X 社会計 9V2 各グループ会社でソフトのバージョンが異なり 管理が煩雑 PCA クラウド 親会社統一的 容易な管理を実現 K 社会計 Ⅹ クラウド M 社会計 Ⅹ クラウド X 社会計 Ⅹ クラウド 同じクラウド製品を使うことで 統一感をもった管理が容易 製品名及びバージョンは例示です

25 目次 24/27 1.PCAクラウドの概要 2.とは 3. 報告書の概要と対応イメージ 4. による 見える化 のメリット 5. 弊社 PCAグループでのクラウド活用事例 6. 今後の予定 まとめ

26 6-1 対応状況と今後の予定 25/27 先行対応している 会計 給与 以外に 商魂 商管 人事 などの基幹業務システムはもとより 公益法人会計 医療法人会計 など 現在サービスインしている全ての PCA クラウドサービス に対応致しました PCA クラウドサービス 年評価 2013 年評価 12 末基準 報告書 取得 9 末基準 報告書 取得 財務会計 給与人事販売仕入医療 PCA 会計 Ⅹ PCA 公益法人会計 V.12 PCA 社会福祉法人会計 V.5 PCA 建設業会計 V.7 PCA 給与 Ⅹ PCA 人事管理 Ⅹ PCA 商魂 Ⅹ PCA 商管 Ⅹ PCA 医療法人会計 2012 年 10 ~ 2013 年 9 対応済 2013 年 4 ~9 対応済 10 ~ 対応見込 10 ~ 対応見込 2013 年 4 ~9 対応済 10 ~ 対応見込 2013 年 4 ~9 対応済 10 ~ 対応見込 2012 年 10 ~ 2013 年 9 対応済 10 ~ 対応見込 2013 年 4 ~9 対応済 10 ~ 対応見込 2013 年 4 ~9 対応済 10 ~ 対応見込 2013 年 4 ~9 対応済 10 ~ 対応見込 2013 年 4 ~9 対応済 10 ~ 対応見込 2013 年評価においては 報告書の評価 取得のタイミングを2 回予定しており 9 末基準日 は 日 取得 提供開始となっております (2013 年 11 現在 ) 最新の提供状況は弊社ホームページにてご確認ください (PCA 公式サイト pca.jp )

27 6-2 本セミナーのまとめ 26/ を取得できることは 高品質な受託業務 ( クラウドサービス運用 ) を提供できている 証 といえる は 継続的に 受託業務に係る内部統制の 運用状況評価 を実施するため 委託会社における内部統制監査 J-SOX(IT 統制 ) に利用できる による保証監査を受けることは まさに 人間ドック を毎年受診し 健康状態を的確に把握した上で 常に改善の取り組みを行っているようなもの による 見える化 のメリットとしては 内部統制評価への利用 クラウド選定時の助け 及び グループ IT ガバナンスの強化 が考えられる 現在サービスインしている全ての PCA クラウドは 報告書を取得しており 今後もサービス拡大に対して順次積極的に対応していく PCA クラウドは で健全なクラウド運用を見える化し 高品質で安心なクラウドサービスを提供しております

28 お問合せ先 ピー シ - エー株式会社は 取得により クラウドサービスにおける更なる品質と信頼性の向上に努めるとともに 今後も革新的なクラウドサービスを提案してまいります 本日のテーマについて 個別のお問い合わせ等がございましたら 下記までご連絡ください PCA クラウドサービス全般 当該 報告書 のご請求など 連絡先 本資料の記載内容 ( ) に関するもの 資料作成責任者連絡先 連絡先 27/ 東京都千代田区富士見 PCA ビル代表 Tel: Fax: 資料作成責任者連絡先管理本部公認情報システム監査人 (CISA) 佐藤正明 sato-m@pca.co.jp Tel: