06 評価・報告基準

目的

本基準は、統制・実装基準の評価方法と報告方法を定義する。評価の主語は「チェックしたか」ではなく、「統制が効いていると説明できるか」である。

準拠率だけを主要指標としてはならない。準拠率は、重要度、証跡品質、鮮度、例外、再指摘を隠す可能性がある。

評価は、次の単位で行う。

単位	目的
Control ID単位	統制目的ごとの有効性を評価する。
System ID単位	個別システムの統制状態と例外を評価する。
Tier単位	重要システム群の統制状態を評価する。
担当者別	システムオーナー、基盤、開発、運用、委託先管理の実装状態を評価する。
証跡単位	証跡の信頼度、鮮度、完全性、改ざん耐性を評価する。
例外単位	期限、代替統制、残余リスク、承認、滞留を評価する。

統制評価結果は、次のいずれかに分類する。

評価	条件
有効	基準を満たし、有効な証跡が鮮度SLA内に存在する。
有効だが改善要	統制は機能しているが、証跡品質、鮮度、運用効率に改善余地がある。
例外管理中	基準未達だが、05に基づく例外、代替統制、期限、承認がある。
不備	基準未達で、例外がない、または例外が期限切れ・不十分である。
未評価	証跡不足、対象不明、ID未付与等により評価できない。
対象外	分類、データ、利用形態により適用対象外であり、理由が記録されている。

未評価は合格ではない。未評価が継続する場合は不備として扱う。

経営報告には、少なくとも次を含める。

内部監査は、全件証跡収集の代行をしてはならない。内部監査は、次を独立に評価する。

観点	確認内容
証跡品質	証跡が一次証跡またはシステム生成レポートであり、鮮度SLA内か。
評価妥当性	評価ロジックが統制目的に対応しているか。
例外妥当性	期限、代替統制、残余リスク、承認者が妥当か。
サンプリング	重要システム、期限切れ例外、再指摘領域を優先して確認する。
再指摘	同じ不備が繰り返されていないか。
共通統制	継承統制の範囲と証跡が明確か。

次の場合は、リスク登録簿へ登録しなければならない。