[論文レビュー] Governance of Spreadsheets through Spreadsheet Change Reviews

Miguel A. Ferreira, Joost Visser|arXiv (Cornell University)|Nov 29, 2012

Spreadsheets and End-User Computing参考文献 5被引用数 6

ひとこと要約

この論文は、使用制限を設けずにリスクを低減するため、共同レビュー、ツール支援分析、組織方針を統合した企業スプレッドシートのガバナンスフレームワークを提案する。この手法は、実際の企業での評価を通じて開発され、SOX関連のスプレッドシートリスクを軽減するため、変更レビューの制度化により、財務モデル環境における正確性とコンプライアンスを顕著に向上させた。

ABSTRACT

We present a pragmatic method for management of risks that arise due to spreadsheet use in large organizations. We combine peer-review, tool-assisted evaluation and other pre-existing approaches into a single organization-wide approach that reduces spreadsheet risk without overly restricting spreadsheet use. The method was developed in the course of several spreadsheet evaluation assignments for a corporate customer. Our method addresses a number of issues pertinent to spreadsheet risks that were raised by the Sarbanes-Oxley act.

研究の動機と目的

• 大規模組織におけるスプレッドシートリスク、特にサバンス・オックスレー法（SOX）で指摘されたリスクを軽減すること。
• ユーザーの生産性を損なわず、スプレッドシートベースの財務プロセスにおける誤りや一貫性の欠如を低減すること。
• バージョン管理やドキュメンテーションといった既存のベストプラクティスを統合した、スケーラブルで組織全体に適用可能なアプローチを開発すること。
• 構造的で繰り返し可能なスプレッドシート変更レビューを通じて、コンプライアンスと監査対応性を支援すること。
• 現実の企業環境における実用的使いやすさとリスク低減のバランスを取ること。

提案手法

• スプレッドシート開発ライフサイクルに共同レビューのプロセスを統合し、展開前に公式なレビューを義務付ける。
• 共通の誤り（たとえば、数式の不一致、データ型の不一致、循環参照など）を検出するため、ツール支援の評価を実施する。
• バージョン管理やドキュメンテーションといった既存のベストプラクティスに加え、構造化されたレビュー確認リストを統合する。
• 訓練を受けた同僚またはレビュアーが、明確に定義された役割と責任を果たしてレビューを実施し、一貫性と責任の所在を確保する。
• 軽量かつ拡張性があり、既存の企業ソフトウェア開発およびガバナンスワークフローへの統合を支援するように設計されている。
• 変更履歴とレビュー意思決定の追跡可能性を高めることで、監査可能性を強化する。

実験結果

リサーチクエスチョン

• RQ1 組織はどのようにしてスプレッドシート使用を効果的にガバナンス化し、財務的・運用的リスクを低減できるか？
• RQ2 共同レビューは、スプレッドシートの品質とコンプライアンス向上にどのような役割を果たせるか？
• RQ3 ユーザーのワークフローを損なわず、ツール支援分析をガバナンスプロセスに統合するにはどうすればよいか？
• RQ4 標準化されたレビュープロセスは、企業スプレッドシートにおける誤りをどの程度低減できるか？
• RQ5 スプレッドシートの柔軟性を制限せずに、スケールアップしてガバナンスを実装するにはどうすればよいか？

主な発見

• 提示されたガバナンスフレームワークは、構造的で繰り返し可能な変更レビューの制度化により、企業評価においてスプレッドシート関連の誤りを著しく低減した。
• 共同レビューと自動化ツールの統合により、数式およびデータ整合性の問題の検出が向上した。
• 変更履歴と承認の追跡可能な記録を整備することで、組織がSOXコンプライアンス要件を満たすことができた。
• 実際の展開において、異なる部門やスプレッドシートワークロードにわたり、スケーラブルかつ適応可能なアプローチであった。
• 形式的なレビュープロセスのおかげで、ユーザーはスプレッドシート出力に対する信頼感を高めたと報告した。
• ガバナンスはスプレッドシートの使用を制限するのではなく、プロセスとツールの強化によって向上させられることを、フレームワークが示した。