3. Internal Control １

SECOND STANDARD OF FIELDWORK

Auditorは、Internal Controlについてsufficient understanding十分な理解をしておかなければいけません。また、risk of material misstatement（Inherent Risk + Control Risk）について、errorかfraudが起こるかどうか、アセスメントしなければいけません。それが決まると、Substantive Testをどれくらいやればいいかが決まります。

RMMのリスクアセスメントがいかに重要かというと、RMMのリスクアセスメントにより、何に対してテストをすればいいかのNatureが決まり、Extentどれぐらいやるのか、Timingいつの金額（すべて決算の金額か、いくつかの勘定科目については年度末でなくてもいいのか）に対してテストするのか（the NET）が決まります。

Nature：RMMがLowであれば、クライアントの帳簿類は信頼できるとみなし、Highであればクライアントの情報は信頼できないから、できるだけoutside corroboration外部からの情報を得よう。

Extent：RMMがLowの場合、Evidenceはそんなに集めなくていい。

Timing：RMMがLowの場合、Interim Testing決算前の金額でのテストが可能だが、Highなら、なるべく決算の金額に対してのテストが必要。

RMM = Risk of material misstatement

OBJECTIVES OF INTERNAL CONTROL

有名な内部統制のObjectiveは３つ。（要暗記）

1.　 Reliability of financial reporting

2.　 Effectiveness and efficiency of operations

3.　 Compliance with laws and regulations

内部統制がしっかりしていれば、Reliability of Financial Reportingにつながるし、OperationはEffectiveでEfficiency、そしてComplianceも素晴らしいということにつながります。

COMPONENTS OF INTERNAL CONTROL

内部統制は５つの構成項目（CRIME）から成っています。（要暗記）

C   Control activities 一番試験に出ます。職務の分離のこと。以下で説明。

R   Client’s Risk assessment リスクを測っていこう。

I    Information and communication systems 風通しが良くないといけません。

M   Monitoring 劣化しないようにモニタリングが必要です。

E   Control Environment　 overall attitude経営姿勢を問います。

CRIMEのC – Control Activities

Separation of Duty職務の分離。内部統制の要です。ARCは分けておかないといけません。

A   Authorization

R   Recording

C   Custody

一人の人に権限が集中していると、粉飾や横領があるかもしれません。

Physical controls

a. Locks 鍵をかけているか。

b. ID badges バッジをつけているか。

 c. Alarm　アラームをセットしてあるか。

BASIC AUDIT STEPS

1.　Engagement Letterは、Planningの時に、必ず取り交わさなければいけません。お互いのResponsibility、逃げの文章（ちゃんと監査をやったからと言って、ErrorやFraudが全て見つかるわけではありません）、Reminder（忘れずにRep Letterちょうだいよ）、Fee等が書かれています。

2.　内部統制を徐々に理解していきます。

3.　Risk of Material Misstatement（RMM）をアセスメントします。

4.　実証テストのNature、Extent、Timing（NET）が決まります。

5.　それに基づいてテストをします。

6.　集めたEvidenceを見て、報告書を書きます。

MANAGEMENT’S vs. AUDITOR’S RESPONSIBILITY

ManagementのResponsibility

内部統制：構築（監査人は構築しません。Managementが構築します）、メンテナンス。紙の上だけでなく、ちゃんと運用しなければいけません。

Auditor’s responsibility

どういう内部統制があるのか理解をして、それがEffectiveか、Efficientかを見ていきます。内部統制によって、財務諸表がReliableかUnreliableか見ていくのです。

LIMITATIONS INHERENT TO INTERNAL CONTROL

監査人もクライアントも、どうすることもできないLimitationです。

・　Human fallibility：人間がやることなので、JudgmentにMistakeやErrorがあるかもしれません。

・　Collusion：仲良しグループができて、悪いことをしているのかもしれません。

・    Management override：内部統制を無視するOverrideがあるかもしれません。

Incompatible duty------not inherent limitation

職務を分離することによって改善することができるので、Incompatible DutyはInherent Limitationではありません。

RISK ASSESSMENT PROCEDURES & INTERNAL CONTROL DOCUMENTATION REQUIREMENTS

リスクアセスメントは、どういうことをするのか。

1. Observation柱の陰から見ます。観察します。

2. Inquiry質問攻めにします。

3. Inspection

4. Reperform procedures自分でやってみます。

5. Walk- throughs自分でやってみます。

6. Analytical procedure

Auditorは、理解したことを必ずDocumentationしなければいけません。RMMのリスクアセスメントについては、必ずWork Paperに書かなければなりません。まずConclusion（LowなのかHighなのか）、Basis of Conclusionどうしてそうなのかという理由を、フローチャート形式でもエッセイ形式でも、書かなければいけません。だから、内部統制を理解すると同時に、Risk Assessmentも始まっています。

内部統制を理解する＝Risk Assessment

AUDIT RISK

Control risk：内部統制のリスクで、クライアントの内部統制がTimely適時にErrorやFraudを防止・発見できないRiskです。クライアントのリスクです。

Inherent risk：そのビジネスモデルが抱える固有のリスクです。ビックカメラなら、常に換金性の高い在庫を抱えているため、横領・着服の危険性があります。クライアントのリスクです。

Detection risk：監査人のリスクです。

上記３つのリスクのコンビネーションがAudit Riskです。適正ではないのに、適正意見を出してしまったリスクです。

RMMはInherent Risk と Control Riskのコンビネーションです。

●Inverse relationships

RMMがLowなら、Detection RiskをHighに設定します。実証テストはそんなにやりません。

RMMがHighなら、Detection RiskをLowにするため、substantive test実証テストをバンバンします。

●Direct relationships

RMMがHighなら、Lots of substantive testingをします。

RMMがLowなら、Less substantive testingです。

InverseとDirectの関係は、要暗記です。

海外格安航空券を探すなら　スカイチケット！