JP5397111B2 - 情報処理システム - Google Patents

Description

本発明は、情報処理システム、情報処理装置及び情報処理プログラムに関する。

企業の統制活動の一環としてリスク管理が体系的に行われている。
これに関連する技術として、例えば、特許文献１には、企業に関係する品質、環境、労働安全衛生、ＣＳＲ（Ｃｏｒｐｏｒａｔｅ Ｓｏｃｉａｌ Ｒｅｓｐｏｎｓｉｂｉｌｉｔｙ）の各リスクを一元的に統合し、リスクによる損害から企業活動を守り、さらに企業の社会的責任を高め持続的成長を指向するマネジメントに供する統合アセスメント・コントロール表を提供することを課題とし、リスクとしてコントロールすべき事象を列挙する共通項目の欄と、リスク評価対象となる複数のリスクアセスメント項目の欄と、管理すべき対象のリスク低減活動の結果を記入するリスクコントロール項目の欄とを備え、複数のリスクアセスメント項目が、少なくとも、品質リスクアセスメント、労働安全衛生リスクアセスメント、環境リスクアセスメント、情報セキュリティリスクアセスメント、ＣＳＲアセスメントからなり、企業がこれを活用することにより、企業活動におけるリスクをより高度にコントロールでき、企業の存在と存続を守ることができることが開示されている。

特開２００６−１１０９７８号公報

本発明は、複数の統制処理装置におけるそれぞれの統制活動がなされている場合において、別々に行われているコントロールを統合すべきか否かの判断を行わせるようにした情報処理システム、情報処理装置及び情報処理プログラムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、活動に関する情報を記憶している活動情報記憶装置に対して、活動の統制に関する処理を行う統制処理装置からの該活動に関する情報の要求を受け取る要求受取手段と、前記要求受取手段によって受け取られた第１の統制処理装置からの第１の要求の対象と前記要求受取手段によって受け取られた第２の統制処理装置からの第２の要求の対象が同じ場合は、前記第１の統制処理装置又は前記第２の統制処理装置に、該活動に対する統制のコントロールを統合すべきか否かの判断を行わせる指示を通知する統合判断通知手段を備える情報処理装置と、前記情報処理装置と接続されており、活動に対する統制のコントロールを統合すべきか否かの判断指示を前記情報処理装置から受け取る指示受取手段と、前記指示受取手段によって受け取られた指示に基づいて、前記活動に対する統制における年度期間、該活動に対する統制における証憑のサンプリング方法、該活動に対する統制における評価の手続き種別、該活動に対する統制におけるコントロールの目的のうちいずれか１つ以上に基づいて、コントロールを統合すべきか否かの判断を行う判断手段を備える複数の統制処理装置を具備することを特徴とする情報処理システムである。

請求項１記載の情報処理システムによれば、複数の統制処理装置におけるそれぞれの統制活動がなされている場合において、別々に行われているコントロールを統合すべきか否かの判断を行わせることができるようになる。

本実施の形態の構成例についての概念的なモジュール構成図である。 本実施の形態の母集団データ取得監視モジュールによる処理例を示すフローチャートである。 母集団取得履歴ＤＢのデータ構造例を示す説明図である。 本実施の形態の類似コントロール検出モジュールによる処理例を示すフローチャートである。 本実施の形態の母集団データ取得監視モジュールによる処理例を示すフローチャートである。 本実施の形態の他方の類似コントロール検出モジュールによる処理例を示すフローチャートである。 本実施の形態の類似コントロール検出モジュールによる別の処理例を示すフローチャートである。 是正勧告表示画面例を示す説明図である。 担当者テーブルのデータ構造例を示す説明図である。 連絡先テーブルのデータ構造例を示す説明図である。 本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。

まず、本実施の形態の対象となる企業の統制活動の一例として、財務内部統制について説明する。
近年、財務内部統制が求められている。その財務内部統制とは、１９９２年にＣＯＳＯ（トレッドウェイ委員会組織委員会）が発表した「内部統制−統合的枠組み」が、事実上の標準となっており、「（１）業務の有効性・効率性、（２）財務諸表の信頼性、（３）関連法規の遵守の３つの目的を達成するために、合理的な保証を提供することを意図した、取締役会、経営者及びその他の職員によって遂行される１つのプロセス」と定義されている。
財務内部統制において、活動／システム／資源／知識情報などの関係を整理して業務プロセスを文書化する必要がある。財務内部統制の文書としては、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表の４文書がある。

まず、内部統制の「基本４文書」について説明する。
基本４文書とは、財務内部統制の対象となる業務プロセス毎に作成される基本文書のことをいい、具体的には、業務記述書、業務フロー図、ＲＣＭ（リスク・コントロール・マトリックス）、職務分離表がある。
業務記述書とは、ナラティブとも呼ばれる。取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを文書化したものである。人事規定、経理業務規定などの規定書類は、業務記述書の上位文書であり、その改訂は、業務記述書に影響を与える。また、業務マニュアルは、業務記述書の下位文書であり、その改訂に影響を受ける。
業務フロー図とは、取引の開始から最終的な総勘定元帳への記帳、報告へ至るまでの一連の業務の流れを視覚的にフローチャート化したものである。リスクとコントロールもこのフロー上に配置される。
ＲＣＭ（リスク・コントロール・マトリックス）とは、業務プロセスに関連する内部統制活動について、達成されるべき統制上の要点（アサーション）、想定されるリスク、対応する内部統制活動を一覧表としてまとめたものである。つまり、リスクとそれを低減するコントロールのペアを記述したものである。
職務分離表とは、業務プロセスの流れの中で、財務統制上問題となるような、同一の担当者による処理の重複が発生していないかをチェックするためのものである。
なお、アサーションとは、財務情報が信頼性のある情報といえるための前提条件となるものであり、具体的には、実在性、網羅性、権利と義務の帰属、評価の妥当性、期間配分の適切性、表示の妥当性の６項目が一般には使用されるが、各社また監査法人により一部変更があるため、カスタマイズできることが望ましい。また、財務リスクに対して、アサーションの観点でリスクが網羅されていることが必要で、これら６つのアサーションのいずれかに該当するリスクは重要性が高いといえる。
リスクとは、業務プロセス上で想定されるアサーションに対する阻害要因のことをいう。
コントロールとは、リスクに対する内部統制活動のことをいい、統制のタイプとして、防止的、発見的等がある。
また、財務内部統制において、財務に関連した業務を分析しその結果をまとめた文書に対して、その文書の正当性と正確性をチェックする整備評価と文書通りに運用されているかをテストする運用評価の２種類の評価がある。
運用評価は、コントロールに記載される活動が正しく実施されていることを確認することである。運用評価フェーズにおいて実際の企業活動（財務内部統制等においては取引活動等）をサンプリングし、そのコントロールが適切に実施されたことを証明する書類（証憑）を担当者から収集する（又は収集依頼する）ことを行っている。

業務統制の運用テスト負担軽減とＩＴ全般統制の整備コスト負担増加を効果的にバランスさせるには、以下に示す３つの手順で実施する必要がある。
（１）業務統制におけるＩＴシステムを用いた（自動化された）統制の洗い出し。
（２）前記（１）の統制から、重要な統制を選別する。
（３）前記（２）の統制が依存するＩＴシステムの洗い出し。つまり、ＩＴ全般統制の対象を決定する。
しかし、業務統制とＩＴ全般統制はそれぞれ実施担当者が異なり、また統制整備の時期も異なる場合もあるため、ＩＴ全般統制におけるＩＴシステムの対象選択時に前述のフィードバック（前記（３）を行うには前記（１）が必要である）を行うには困難なケースが多く、主観的な選択とならざるを得なかった。本実施の形態は、このような状況、つまり、複数の統制処理装置があり、その運用テストにおける証憑収集が別個に行われており、各担当者が異なるような場合に利用するものである。

以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、コンピュータ・プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、モジュールは機能にほぼ一対一に対応しているが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）の場合にも用いる。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態に応じて、又はそれまでの状況・状態に応じて定まることの意を含めて用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態に応じて、又はそれまでの状況・状態に応じて定まることの意を含めて用いる。

本実施の形態である情報処理システムは、図１の例に示すように、リスクマネジメント装置１１０、母集団データ取得監視モジュール１２０を構成として有する情報処理装置、ＢＰＭ（Ｂｕｓｉｎｅｓｓ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔ ｓｙｓｔｅｍ）１３０を有している。図１の例では、リスクマネジメント装置１１０、ＢＰＭ１３０はそれぞれ複数であるが、ＢＰＭ１３０は１台であってもよいし、リスクマネジメント装置１１０も同じ活動に対してコントロールが異なる場合があるのであれば、物理的な筐体として１台のリスクマネジメント装置１１０であってもよい。ただし、リスクマネジメント装置１１０が物理的な筐体として１台であったとしても、同じ活動に対してコントロールが異なる場合があるのであれば、本実施の形態では複数のリスクマネジメント装置１１０として捉える。なお、リスクマネジメント装置１１０、母集団データ取得監視モジュール１２０、ＢＰＭ１３０は、それぞれ通信回線を介して接続されている。

リスクマネジメント装置１１０は、活動の統制に関する処理を行う。例えば、具体的には、財務内部統制におけるＲＭＳ（Ｒｉｓｋ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）、情報セキュリティマネジメントシステム（Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ、以下、単に「ＩＳＭＳ」ともいう）、品質マネジメントシステム（Ｑｕａｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ、以下、単に「ＱＭＳ」ともいう）等が該当する。例えば、リスクマネジメント装置１１０Ａが財務内部統制におけるＲＭＳであり、リスクマネジメント装置１１０ＢがＩＳＭＳであるように、異なるＲＭＳが並立している。

リスクマネジメント装置１１０は、運用テストにおける統制実施の証憑を収集するために、ＢＰＭ１３０から母集団データを収集する。例えば、より具体的には、ＲＭＳの担当者が、証憑の収集を他の担当者に依頼するために、ＢＰＭ１３０から、対象活動の一覧（以下、母集団データともいう。例えば、財務内部統制などでは取引の一覧等が該当する）を入手する。そして、その一覧からサンプリングを行って収集活動を実施する。なお、証憑とは、コントロール活動の証跡となる証拠であり、紙伝票などではスキャン登録された画像データ等を含んでいてもよい。

ＢＰＭ１３０は、活動に関する情報を記憶している。ビジネスプロセスの運用管理などを支援する情報処理装置であり、例えば、具体的には、ワークフローシステム、ＥＡＩ（Ｅｎｔｅｒｐｒｉｓｅ Ａｐｐｌｉｃａｔｉｏｎ Ｉｎｔｅｇｒａｔｉｏｎ）等が該当する。
ＢＰＭ１３０は、母集団データを記憶しており、リスクマネジメント装置１１０からの要求に応じて、その母集団データをリスクマネジメント装置１１０へ渡す。

母集団データ取得監視モジュール１２０は、要求受取モジュール１２１と統合判断モジュール１２２を有し、リスクマネジメント装置１１０、母集団取得履歴ＤＢ１２５、ＢＰＭ１３０と接続されている。
要求受取モジュール１２１は、類似コントロール検出モジュール１１５とＢＰＭ１３０との間にあり、両者間の通信のやりとりを監視する。つまり、ＢＰＭ１３０に対しての、リスクマネジメント装置１１０からの活動に関する情報の要求を受け取る。
そして、統合判断モジュール１２２は、要求受取モジュール１２１によって受け取られたリスクマネジメント装置１１０Ａからの第１の要求の対象とリスクマネジメント装置１１０Ｂからの第２の要求の対象が同じ場合は、リスクマネジメント装置１１０Ａの類似コントロール検出モジュール１１５Ａ又はリスクマネジメント装置１１０Ｂの類似コントロール検出モジュール１１５Ｂに、その活動に対する統制のコントロールを統合すべきか否かの判断を行わせる指示を通知する。その判断をするために、母集団データ取得監視モジュール１２０は、受け取られたリスクマネジメント装置１１０からの要求の対象を母集団取得履歴ＤＢ１２５に記憶させる。そして、新たにリスクマネジメント装置１１０からの要求を受け取ったときに、母集団取得履歴ＤＢ１２５内に記憶されている要求の履歴から該当する要求を検索して、該当する要求があれば、統合すべきか否かの判断を行わせる指示を類似コントロール検出モジュール１１５Ａ又は類似コントロール検出モジュール１１５Ｂに通知する。母集団データ取得監視モジュール１２０が行う処理については、図２を用いて後述する。

母集団取得履歴ＤＢ１２５は、母集団データ取得監視モジュール１２０からアクセスされる。母集団データ取得監視モジュール１２０が受け取った要求の内容を記憶する。例えば、母集団取得履歴ＤＢ３００を記憶する。図３は、母集団取得履歴ＤＢ３００のデータ構造例を示す説明図である。母集団取得履歴ＤＢ３００は、ＩＤ欄３１０、取得対象アクティビティＩＤ欄３２０、取得日時欄３３０、取得対象期間欄３４０、要求元のＭＳＩＤ欄３５０、要求元のコントロールＩＤ欄３６０、是正勧告済み対象ＩＤ欄３７０を有している。
ＩＤ欄３１０は、リスクマネジメント装置１１０からＢＰＭ１３０への要求を一意に識別するＩＤ（ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）を記憶する。
取得対象アクティビティＩＤ欄３２０は、その要求の内容の一部（母集団データ内における対象とする活動、具体的には、アクティビティ（取引種別））を記憶する。
取得日時欄３３０は、その要求又は要求に対する返信が行われた日時（年、時分秒等を含んでいてもよい）を記憶する。
取得対象期間欄３４０は、その要求の内容の一部（母集団データ内における対象とする活動の期間）を記憶する。
要求元のＭＳＩＤ欄３５０は、その要求を行ったリスクマネジメント装置１１０を一意に識別するＭＳＩＤを記憶する。
要求元のコントロールＩＤ欄３６０は、その要求を行ったリスクマネジメント装置１１０におけるコントロールを一意に識別するコントロールＩＤを記憶する。
是正勧告済み対象ＩＤ欄３７０は、是正勧告が行われた場合に、その要求のＩＤ（ＩＤ欄３１０のＩＤ）に対応する他の要求のＩＤ（ＩＤ欄３１０のＩＤ）を記憶する。

リスクマネジメント装置１１０内の類似コントロール検出モジュール１１５は、指示受取モジュール１１６と判断モジュール１１７を有する。
指示受取モジュール１１６は、母集団データ取得監視モジュール１２０から活動に対する統制のコントロールを統合すべきか否かの判断指示を受け取る。
そして、判断モジュール１１７は、指示受取モジュール１１６によって受け取られた判断指示に基づいて、活動に対する統制における年度期間、その活動に対する統制における証憑のサンプリング方法、その活動に対する統制における評価の手続き種別、その該活動に対する統制におけるコントロールの目的のうちいずれか１つ以上に基づいて、コントロールを統合すべきか否かの判断を行う。
また、類似コントロール検出モジュール１１５内の判断モジュール１１７は、さらに、年度期間の整合、サンプリング方法の整合、手続き種別の統合、コントロールの目的の統合のうちいずれか１つ以上を行うか否かの判断を行うようにしてもよい。類似コントロール検出モジュール１１５が行う処理については、図４等を用いて後述する。

図２は、本実施の形態の母集団データ取得監視モジュール１２０による処理例を示すフローチャートである。概略的な処理として、母集団データ取得監視モジュール１２０は、リスクマネジメント装置１１０によるＢＰＭ１３０への母集団データの取得を監視し、その監視の結果を基に統合可能なコントロールの候補を検出する。なお、ステップＳ２０２の処理は要求受取モジュール１２１によって行われ、ステップＳ２０４からステップＳ２１０までの処理は統合判断モジュール１２２によって行われる。

ステップＳ２０２では、リスクマネジメント装置１１０からＢＰＭ１３０への母集団データ取得要求を受信する。
ステップＳ２０４では、ステップＳ２０２で受信した母集団データ取得要求を母集団取得履歴ＤＢ３００に登録する。より具体的には、その要求の内容を取得対象アクティビティＩＤ欄３２０、取得対象期間欄３４０に記憶させ、要求元のリスクマネジメント装置１１０のＭＳＩＤ、コントロールＩＤをそれぞれ要求元のＭＳＩＤ欄３５０、要求元のコントロールＩＤ欄３６０に記憶させる。そして、その要求を受信した日時（又はＢＰＭ１３０が母集団データ取得要求を返信した日時）を取得日時欄３３０に記憶させる。

ステップＳ２０６では、「要求元のＭＳＩＤ、要求元のコントロールＩＤ」の組が異なり、取得対象アクティビティＩＤ、取得対象期間が同じデータが母集団取得履歴ＤＢにあるか否かを判断する。データがあった場合はステップＳ２０８へ進み、それ以外の場合は処理を終了する（ステップＳ２９９）。つまり、例えば、異なるコントロールから同じアクティビティの母集団データ取得要求がＢＰＭ１３０に対してあった場合には、重複する母集団データ取得要求として検出する。
ステップＳ２０８では、両者のいずれか一方に是正勧告済み対象ＩＤが既にあるか否かを判断する。既にあった場合は処理を終了し（ステップＳ２９９）、それ以外の場合はステップＳ２１０へ進む。つまり、過去に行われた是正勧告にしたがって、コントロールの統合等の修正が行われていた場合は、今回の是正勧告の対象とはしない。
ステップＳ２１０では、同じ母集団データの取得が行われた旨の通知を、ステップＳ２０２で受信した母集団データ取得要求を行ったリスクマネジメント装置１１０へ送信する。また、ステップＳ２０６で同じ取得対象アクティビティＩＤ、取得対象期間の母集団データ取得要求を行ったリスクマネジメント装置１１０へ送信してもよい。

図４は、本実施の形態の類似コントロール検出モジュール１１５による処理例を示すフローチャートである。概略的な処理として、類似コントロール検出モジュール１１５は、母集団データ取得監視モジュール１２０から受け取った通知（重複しているコントロール情報）を基に、そのコントロールの統合を判断し、結果を是正勧告として担当者に通知する。そして、担当者による是正の承認を受けると、類似コントロール検出モジュール１１５は通知した是正勧告に基づきコントロールの統合を実行する。なお、フローチャート内の各判断処理（ステップＳ４０４、ステップＳ４０８、ステップＳ４１２、ステップＳ４１６）は、母集団データ取得監視モジュール１２０から受け取った通知以外に、他のリスクマネジメント装置１１０と通信を行って、他のリスクマネジメント装置１１０で用いている情報と比較してもよい。なお、ステップＳ４０２の処理は指示受取モジュール１１６によって行われ、ステップＳ４０４からステップＳ４２６までの処理は判断モジュール１１７によって行われる。

ステップＳ４０２では、母集団データ取得監視モジュール１２０から同じ母集団データの取得通知を受信する。
ステップＳ４０４では、年度期間が同じであるか否かを判断する。同じである場合はステップＳ４０８へ進み、それ以外の場合はステップＳ４０６へ進む。なお、年度期間とは、統制活動を行う期間（年度）であり、通常はリスクマネジメント装置１１０単位で定められている。
期間整合性はすべての勧告実施の前提条件であるため、他の条件と独立した是正勧告事項とする。それ以外は、下位レベルの整合性として判定し、差異が見つかったレベルでの統合勧告を実施する。
ステップＳ４０６では、期間整合勧告を追加する。この後、ステップＳ４０８へ進む。

ステップＳ４０８では、サンプリング方法が同じであるか否かを判断する。同じである場合はステップＳ４１２へ進み、それ以外の場合はステップＳ４１０へ進む。なお、サンプリング方法とは、母集団データの中から評価を行うために、サンプルを抽出する方式であり、具体的には、ランダムサンプリングや系統的サンプリング（１件目をランダムに選択し、以降等間隔にサンプリング）などがある。また、サンプリングする件数やその他の属性条件（金額が予め定められた額以上など）等を含めてもよい。
ステップＳ４１０では、サンプリング方式整合勧告を登録する。この後、ステップＳ４２２へ進む。

ステップＳ４１２では、手続き種別が同じであるか否かを判断する。同じである場合はステップＳ４１６へ進み、それ以外の場合はステップＳ４１４へ進む。なお、手続き種別とは、評価の際のテストを行う方法であり、具体的には、照合、閲覧、観察、質問等がある。
ステップＳ４１４では、収集活動レベル統合勧告を登録する。この後、ステップＳ４２２へ進む。

ステップＳ４１６では、統制目的が同じであるか否かを判断する。同じである場合はステップＳ４２０へ進み、それ以外の場合はステップＳ４１８へ進む。なお、統制目的とは、コントロールが統制する目的を示し、具体的には、網羅性、正確性、正当性、維持継続性等がある。
ステップＳ４１８では、テストレベル統合勧告を登録する。この後、ステップＳ４２２へ進む。

ステップＳ４２０では、コントロール統合勧告を登録する。つまり、サンプリング方法、手続き種別、統制目的が同じ場合は、コントロールの統合勧告を登録する。
ステップＳ４２２では、是正勧告を送信する。つまり、ステップＳ４０６、ステップＳ４１０、ステップＳ４１４、ステップＳ４１８、ステップＳ４２０の勧告を是正勧告として、他のリスクマネジメント装置１１０の類似コントロール検出モジュール１１５（図２に例示したフローチャート内のステップＳ２０６でＹｅｓとなり、ステップＳ２９９で同じ母集団データの取得通知が送信されなかったリスクマネジメント装置１１０）、母集団データ取得監視モジュール１２０へ送信する。

ステップＳ４２４では、承認されたか否かを判断する。承認された場合はステップＳ４２６へ進み、それ以外の場合は処理を終了する（ステップＳ４９９）。図４の例に示すフローチャートの処理を行ったリスクマネジメント装置１１０の担当者は、ステップＳ４２２で同様の是正勧告を送信した他のリスクマネジメント装置１１０の担当者と協議して、承認するか否かを決定する。類似コントロール検出モジュール１１５は、その決定結果を受け取って、承認か否かを判断する。
ステップＳ４２６では、承認されたコントロールの統合を実行する。例えば、異なったリスクマネジメント装置１１０間で、同じコントロールとして変更する。また、サンプリング方法等の整合を行うようにしてもよい。

図５は、本実施の形態の母集団データ取得監視モジュール１２０による処理例を示すフローチャートである。
ステップＳ５０２では、是正勧告を受信する。より具体的には、図４の例に示すフローチャートのステップＳ４２２で送信された是正勧告を受信する。
ステップＳ５０４では、母集団取得履歴ＤＢ３００内の是正勧告済み対象ＩＤ欄３７０に互いのＩＤを記録させる。つまり、是正勧告を送信したリスクマネジメント装置１１０、その是正勧告を受信したリスクマネジメント装置１１０に対応する是正勧告済み対象ＩＤ欄３７０に、互いのＩＤ（ＩＤ欄３１０）を記録させる。図３の例では、ＩＤ欄３１０が「１」である行の是正勧告済み対象ＩＤ欄３７０に「３」を記録し、ＩＤ欄３１０が「３」である行の是正勧告済み対象ＩＤ欄３７０に「１」を記録している。

図６は、本実施の形態の他方の類似コントロール検出モジュール１１５による処理例を示すフローチャートである。図４の例に示すフローチャートのステップＳ４２２で是正勧告が送信された他のリスクマネジメント装置１１０の類似コントロール検出モジュール１１５が行う処理である。
ステップＳ６０２では、是正勧告を受信する。より具体的には、ステップＳ４２２で送信された是正勧告を受信する。
ステップＳ６０４では、承認されたか否かを判断する。承認された場合はステップＳ６０６へ進み、それ以外の場合は処理を終了する（ステップＳ６９９）。ステップＳ４２４と同等の処理である。
ステップＳ６０６では、コントロールの統合を実行する。ステップＳ４２６と同等の処理である。

図７は、本実施の形態の類似コントロール検出モジュール１１５による別の処理例を示すフローチャートである。図４の例に示すフローチャートでは、期間整合性はすべての勧告実施の前提条件としたが、他のものと同等に扱い、２つ以上の勧告を含む場合があるように処理を行うものである。なお、ステップＳ７０２の処理は指示受取モジュール１１６によって行われ、ステップＳ７０４からステップＳ７２８までの処理は判断モジュール１１７によって行われる。

ステップＳ７０２からステップＳ７０６まで、ステップＳ７０８、ステップＳ７１２、ステップＳ７１６の各処理は、図４の例に示すフローチャートのステップＳ４０２からステップＳ４０６まで、ステップＳ４０８、ステップＳ４１２、ステップＳ４１６の各処理とそれぞれ同等である。
ステップＳ７１０、ステップＳ７１４、ステップＳ７１８の処理が、図４の例に示すフローチャートのステップＳ４１０、ステップＳ４１４、ステップＳ４１８の処理と異なるところは、判断処理（ステップＳ７０８、ステップＳ７１２、ステップＳ７１６）の直後に進む点である。

ステップＳ７２０では、整合勧告又は統合勧告があるか否かを判断する。つまり、ステップＳ７０６、ステップＳ７１０、ステップＳ７１４、ステップＳ７１８のいずれかの処理が行われた場合はステップＳ７２４へ進み、それ以外の場合はステップＳ７２２へ進む。
ステップＳ７２２からステップＳ７２８までの各処理は、図４の例に示すフローチャートのステップＳ４２０からステップＳ４２６までの各処理とそれぞれ同等である。

図８は、類似コントロール検出モジュール１１５が是正勧告を検知又は受信した場合に、リスクマネジメント装置１１０のディスプレイに表示する是正勧告表示画面例８００を示す説明図である。
是正勧告表示画面例８００は、ＭＳＩＤ表示欄８０２、コントロールＩＤ表示欄８０４、取得対象アクティビティＩＤ表示欄８０６、対象期間表示欄８０８、是正勧告内容表示欄８１０、自ＭＳ是正項目表示欄８１２、相手ＭＳ是正項目表示欄８１４、相手ＭＳ担当者表示欄８１６、相手ＭＳ担当者電話番号表示欄８１８、相手ＭＳ担当者メールアドレス表示欄８２０を有している。
つまり、母集団データ取得監視モジュール１２０から受け取った通知に基づいてＭＳＩＤ表示欄８０２から対象期間表示欄８０８を埋め、図４又は図８の例に示したフローチャートの処理結果に基づいて是正勧告内容表示欄８１０から相手ＭＳ是正項目表示欄８１４を埋める。

そして、担当者テーブル９００、連絡先テーブル１０００を用いて、相手ＭＳ担当者表示欄８１６、相手ＭＳ担当者電話番号表示欄８１８、相手ＭＳ担当者メールアドレス表示欄８２０を埋める。図９は、担当者テーブル９００のデータ構造例を示す説明図である。担当者テーブル９００は、ＭＳＩＤ欄９１０、コントロールＩＤ欄９２０、担当者ＩＤ欄９３０を有している。
ＭＳＩＤ欄９１０は、リスクマネジメント装置１１０のＭＳＩＤを記憶する。
コントロールＩＤ欄９２０は、そのリスクマネジメント装置１１０におけるコントロールのコントロールＩＤを記憶する。
担当者ＩＤ欄９３０は、そのコントロールを担当する担当者を一意に識別する担当者ＩＤを記憶する。
図１０は、連絡先テーブル１０００のデータ構造例を示す説明図である。
連絡先テーブル１０００は、担当者ＩＤ欄１０１０、名前欄１０２０、連絡先電話番号欄１０３０、連絡先メールアドレス欄１０４０を有している。
担当者ＩＤ欄１０１０は、担当者の担当者ＩＤを記憶する。
名前欄１０２０は、その担当者の名前を記憶する。
連絡先電話番号欄１０３０は、その担当者の連絡先である電話番号を記憶する。
連絡先メールアドレス欄１０４０は、その担当者の連絡先であるメールアドレスを記憶する。
類似コントロール検出モジュール１１５は、母集団データ取得監視モジュール１２０から受け取った通知内のＭＳＩＤ、コントロールＩＤに基づいて担当者テーブル９００から担当者ＩＤを抽出し、その担当者ＩＤに基づいて連絡先テーブル１０００から名前、電話番号、メールアドレスを抽出して、相手ＭＳ担当者表示欄８１６、相手ＭＳ担当者電話番号表示欄８１８、相手ＭＳ担当者メールアドレス表示欄８２０に記憶させる。

なお、本実施の形態としてのプログラムが実行されるコンピュータ（リスクマネジメント装置１１０、母集団データ取得監視モジュール１２０を構成として有する情報処理装置、ＢＰＭ１３０）のハードウェア構成は、図１１に例示するように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバーとなり得るコンピュータ等である。つまり、具体例として、処理部（演算部）としてＣＰＵ１１０１を用い、記憶装置としてＲＡＭ１１０２、ＲＯＭ１１０３、ＨＤ１１０４を用いている。ＨＤ１１０４として、例えばハードディスクを用いてもよい。母集団データ取得監視モジュール１２０、類似コントロール検出モジュール１１５等のプログラムを実行するＣＰＵ１１０１と、そのプログラムやデータを記憶するＲＡＭ１１０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ１１０３と、補助記憶装置であるＨＤ１１０４と、キーボード、マウス等のデータを入力する入力装置１１０６と、ＣＲＴや液晶ディスプレイ等の出力装置１１０５と、ネットワークインタフェースカード等の通信ネットワークと接続するための通信回線インタフェース１１０７、そして、それらをつないでデータのやりとりをするためのバス１１０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。

前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図１１に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図１１に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図１１に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。

前述の実施の形態においては、ＢＰＭ１３０が１台である場合は、母集団データ取得監視モジュール１２０をＢＰＭ１３０に組み込んで構成してもよい。
前記実施の形態においては、図３、９、１０で示したデータ構造は、これらのデータ構造に限られず、他のデータ構造であってもよい。例えば、テーブル構造ではなく、リンク構造等であってもよい。また、データ項目は、これらに図示したものに限られず、他のデータ項目を有していてもよい。

なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ Ｄｉｓｃ（登録商標））、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して
記録されていてもよい。また、圧縮や暗号化など、復元可能であればどのような態様で記録されていてもよい。

１１０…リスクマネジメント装置
１１５…類似コントロール検出モジュール
１２０…母集団データ取得監視モジュール
１２５…母集団取得履歴ＤＢ
１３０…ＢＰＭ

Claims (1)

1. 活動に関する情報を記憶している活動情報記憶装置に対して、活動の統制に関する処理を行う統制処理装置からの該活動に関する情報の要求を受け取る要求受取手段と、
   前記要求受取手段によって受け取られた第１の統制処理装置からの第１の要求の対象と前記要求受取手段によって受け取られた第２の統制処理装置からの第２の要求の対象が同じ場合は、前記第１の統制処理装置又は前記第２の統制処理装置に、該活動に対する統制のコントロールを統合すべきか否かの判断を行わせる指示を通知する統合判断通知手段
   を備える情報処理装置と、
   前記情報処理装置と接続されており、活動に対する統制のコントロールを統合すべきか否かの判断指示を前記情報処理装置から受け取る指示受取手段と、
   前記指示受取手段によって受け取られた指示に基づいて、前記活動に対する統制における年度期間、該活動に対する統制における証憑のサンプリング方法、該活動に対する統制における評価の手続き種別、該活動に対する統制におけるコントロールの目的のうちいずれか１つ以上に基づいて、コントロールを統合すべきか否かの判断を行う判断手段
   を備える複数の統制処理装置
   を具備することを特徴とする情報処理システム。

Images