「他の者の作業の活用と計画」へようこそ！

未来のCPAの皆さん、こんにちは！今日は「エリアII：リスク評価と計画された対応」における非常に重要なパートを学習します。監査人はスーパーヒーローのような存在ですが、そんなスーパーヒーローにもチームが必要です。ダイヤモンド鉱山の評価から、複雑なグローバル給与システムのコーディングまで、すべてにおいて専門家であることは不可能です。だからこそ、私たちは「他の者」の作業を活用するのです。

この章では、内部監査人、専門家、そしてサービス組織の作業を適切に計画し、活用する方法を学びます。目標は、品質を犠牲にすることなく、監査をより効率的に進めることです。責任が重そうに感じるかもしれませんが、大丈夫です。ステップバイステップで紐解いていきましょう！

1. 監査人の専門家の作業の活用

時には、「貸方・借方」の世界を超えた証拠が必要になることがあります。美術館が所持するピカソの絵画を評価したり、地下油田の埋蔵量を推定したりする必要がある場合、監査人の専門家（Auditor’s Specialist）の力が必要です。

専門家とは？ 会計や監査以外の分野（鑑定士、エンジニア、アクチュアリー、地質学者など）の専門家を指します。

専門家の評価方法

誰でもいいわけではありません。以下の3つの要素を評価する必要があります（覚え方：「C-C-O」）：
1. Competence（適格性）： 適切な資格や経験を有しているか？
2. Capability（能力）： この特定の業務を遂行するための時間とリソースがあるか？
3. Objectivity（客観性）： 独立しているか？もし専門家がCEOの兄弟だったら、それは危険信号です！

専門家との協力

AU-C620で目的・範囲・役割・連絡・守秘を合意し適切な場合書面化。外部専門家は通常書面ですが全状況で独立した書面契約必須とはしません。

意見責任は監査人に残ります。AU-C620では法令要求を除き無限定報告に監査人専門家を記載せず、修正意見の説明に関連する場合の参照は可能でも責任減少を示しません。修正なら自動記載ではなく、経営者専門家証拠はAU-C500で評価。

クイックレビュー： 監査人の専門家は会計以外の事項をサポートします。C-C-Oを評価し、最終報告書に対する100%の責任はあなたが負い続けます。

2. 内部監査人（IA）の作業の活用

多くの大企業には、社内に内部監査部門があります。彼らはクライアントの従業員ですが、日々の業務として統制のテストやエラーのチェックを行っています。もし彼らがすでに作業を終えているのであれば、なぜ同じことを二度行う必要があるのでしょうか？

内部監査人を活用する2つの方法

1. 既存の作業の利用： 年度中に彼らがすでに完了した報告書を確認します。
2. 直接的な支援： あなたの監督下で、特定の監査手続きを実行するよう彼らに依頼します。

彼らを信頼できるか？

活用する前に、以下を評価する必要があります：
1. 客観性： 誰に報告しているか？もしCFO（彼らがチェックする対象者）に報告している場合、客観的とは言えません。理想的には監査委員会に報告しているべきです。
2. 適格性： 専門的な資格（CIAやCPAなど）を持っているか？適切な研修プログラムがあるか？
3. 体系的かつ規律あるアプローチ： チェックリストや文書化された手順を使用しているか？

彼らが「してはいけないこと」

内部監査人は独立した第三者ではありません。したがって、「重要な判断」を伴う業務を任せてはいけません。
よくある間違い： 以下に関する判断を内部監査人にさせてはいけません：

  • 重要な会計上の見積もり。
  • 固有リスクまたは統制リスクの評価。
  • 重要性の基準値。
  • 実施したテストの「十分性」。

例え： 内部監査人を教育実習生と考えてみてください。彼らは選択式クイズの採点（ルーチンワーク）を手伝えますが、最終的な小論文の採点や最終成績の決定（判断を要するタスク）は、主任教師（外部監査人）が行わなければなりません。

重要なポイント： 判断の要素が大きければ大きいほど、内部監査人への依拠は減らすべきです。常に彼らの作業を監督・検証してください！

3. サービス組織の活用（SOCレポート）

多くのクライアントは業務の一部を「アウトソーシング」しています。例えば、中小企業が給与計算をADPに委託したり、データをAmazon Web Services (AWS)で管理したりするケースです。

そのアウトソースされたサービスがクライアントの情報システムの一部である場合（つまり財務諸表に影響を与える場合）、監査人としてその外部企業の統制が機能しているかを知る必要があります。しかし、ADPの本社に乗り込んで監査を始めるわけにはいきませんよね！そこで、SOCレポートを活用します。

SOC 1レポートの2つの主なタイプ

1. SOC 1, Type 1レポート： 特定の時点における統制の設計について報告します。統制が「紙の上でうまく設計されているか」を確認できます。
統制リスクを低減するのに役立つか？ いいえ。 システムの理解を助けるだけです。

SOC 1 Type 1は一時点のシステム記述・設計を扱い、運用有効性は証明しません。適切なType 2は一定期間の運用証拠を加えますが、関連性、期間、結果、サービス監査人、利用者側補完統制の評価が必要です。統制リスクは自動的に低下しません。サービス組織での直接テストや別の監査人によるテストも可能です。

知っていましたか？ 「SOC」はSystem and Organization Controls（システムおよび組織統制）の略です。クライアントの監査を行うあなたのことをユーザー監査人と呼び、サービス組織（ADPなど）を監査する監査人のことをサービス監査人と呼びます。

SOC 1 Type 1は一時点のシステム記述・設計を扱い、運用有効性は証明しません。適切なType 2は一定期間の運用証拠を加えますが、関連性、期間、結果、サービス監査人、利用者側補完統制の評価が必要です。統制リスクは自動的に低下しません。サービス組織での直接テストや別の監査人によるテストも可能です。

4. 計画と他者の活用：まとめ

リスク対応を計画する際、他者の活用は効率を高める素晴らしい方法ですが、注意深い監視（オーバーサイト）が必要です。

試験対策サマリーテーブル：

内部監査の仕事を利用する前に、組織的位置・方針による客観性、能力、品質管理を含む体系的かつ規律あるアプローチを評価します。前提を欠けば利用しません。外部監査人が責任と重要な監査判断を保持します。

最後に一言： 監査計画はパズルに似ています。他の者の作業を活用することは、全体像という大きな絵の中に適切なピースを当てはめるようなものです。あなたなら絶対にできます！SOCレポートに関する選択問題を繰り返し解いておきましょう。CPA試験では大人気のトピックですよ！