[論文レビュー] Risk Assessment For Spreadsheet Developments: Choosing Which Models to Audit

Raymond J. Butler|ArXiv.org|May 27, 2008

Spreadsheets and End-User Computing参考文献 7被引用数 11

ひとこと要約

本論文では、エラー発生確率と影響度を評価することで、監査対象のスプレッドシートモデルをリスクベースで優先順位付けする監査手法SpACEを提案する。この手法により監査担当者は高リスクのモデルに集中でき、監査コストと時間を削減しながら保証水準を向上させることができる。HM Customs & Exciseでの実用応用による検証を通じて、スプレッドシート利用のベストプラクティスフレームワークが構築された。

ABSTRACT

Errors in spreadsheet applications and models are alarmingly common (some authorities, with justification cite spreadsheets containing errors as the norm rather than the exception). Faced with this body of evidence, the auditor can be faced with a huge task - the temptation may be to launch code inspections for every spreadsheet in an organisation. This can be very expensive and time-consuming. This paper describes risk assessment based on the "SpACE" audit methodology used by H M Customs & Excise's tax inspectors. This allows the auditor to target resources on the spreadsheets posing the highest risk of error, and justify the deployment of those resources to managers and clients. Since the opposite of audit risk is audit assurance the paper also offers an overview of some elements of good practice in the use of spreadsheets in business.

研究の動機と目的

• スプレッドシートアプリケーションに広く見られるエラーがしばしば検出されず、高コストであるという問題に対処すること。
• 組織内のすべてのスプレッドシートを監査する負担を軽減し、最もリスクの高いモデルを特定すること。
• 均等に監査するのではなく、リスクに基づいて監査リソースを配分する正当で体系的なアプローチを提供すること。
• 財務的または運用的影響が最も大きいモデルに注力することで、監査の保証水準を向上させること。
• リスク評価手法と併せて、スプレッドシートの良好な運用慣行を促進するフレームワークを提供すること。

提案手法

• HM Customs & Exciseが税務検査に使用したSpACE監査手法を応用する。
• 複雑さ、データの機密性、業務への影響度といったリスク要因に基づき、各スプレッドシートモデルを評価する。
• 構造化されたリスクスコアリングシステムを用いて、エラーを含む可能性と潜在的影響の深刻度を順位付けする。
• 監査の重点を高リスクモデルに集中させることで、監査投資のリターンを最大化する。
• リスク評価を監査計画に統合し、説明可能で繰り返し可能な監査意思決定を保証する。
• 組織がスプレッドシートガバナンスプロセスにリスクベース監査を組み込むためのフレームワークを提供する。

実験結果

リサーチクエスチョン

• RQ1 監査担当者は、どのスプレッドシートモデルがエラーを含む可能性が最も高いかをどのように効率的に特定できるか？
• RQ2 リスクに基づいてスプレッドシートモデルを監査の優先順位付けする客観的基準として何が使えるか？
• RQ3 監査コストを削減しながら保証水準を維持するため、監査リソースをどのようにより効果的に配分できるか？
• RQ4 リスク評価は、スプレッドシートアプリケーションの品質と信頼性をどのように向上させるか？
• RQ5 組織は、繰り返し可能で説明可能な方法で監査対象モデルを選定するためのプロセスをどのように実装できるか？

主な発見

• SpACE手法により、監査担当者はリスクに基づいてスプレッドシートモデルを体系的に優先順位付けでき、完全な点検を要するモデル数を顕著に削減できる。
• 高リスクモデルに注力することで、監査時間とコストは削減されるが、保証水準は損なわれない。
• この手法は、監査リソース配分の説明可能で正当な根拠を提供し、管理職およびクライアントの承認を支援する。
• フレームワークにより、高リスクモデルの特定と、その開発・使用におけるベストプラクティスの促進を通じて、スプレッドシートガバナンスの向上が可能になる。
• 本手法はHM Customs & Exciseの実際の現場環境で検証され、実用的かつ効果的であることが示された。
• 本研究は、すべてのスプレッドシートが同等に注目を受ける必要はなく、リスクベースの選定により監査がより効率的かつ効果的になることを強調している。