監査対応の証跡探しから脱却。証跡管理が分断する原因と仕組み化の実現方法

「この文書について、誰がいつ承認・決裁したか分かる記録を出してください」
監査の場でそう求められ、紙の稟議書やメールの履歴を何日もかけて探し回った経験はないでしょうか。

証跡管理の重要性は、多くの企業ですでに理解されています。それでも、いざ監査やトラブル対応の場面になると、必要な証跡がすぐに出てこない。そんな状況に悩む担当者は少なくありません。

本記事では、証跡があるはずなのに使えない状態がなぜ生まれるのか、その根本原因を「承認プロセスの分断」という視点からひも解きます。そのうえで、証跡を後から集めるのではなく、日々の業務のなかで自然に残る仕組みをつくる方法を解説します。

監査対応のたびに、証跡集めに追われていないか

証跡管理の課題は、普段の業務では表面化しにくいものです。問題が一気に顕在化するのは、監査やインシデント対応など「過去の記録を提示しなければならない場面」です。

まずは、多くの企業で起きている3つの典型的な状況を見ていきましょう。

内部監査・外部監査で「その承認の証跡はありますか」に即答できない

内部監査や会計監査、ISMS（情報セキュリティマネジメントシステム）の審査、取引先からのセキュリティチェックなど、企業が証跡の提示を求められる機会は少なくありません。

上場企業やIPO準備企業であれば、J-SOX（金融商品取引法に基づく内部統制報告制度）への対応も欠かせません。（参照：「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」の公表について（金融庁））

こうした場面で問われるのは、「誰が・いつ・何を・どのように承認したか」を客観的に示せるかどうかです。

ところが実際には、「承認したはずだが記録がどこにあるか分からない」「担当者が異動していて経緯を説明できる人がいない」といった理由で、即答できないケースが珍しくありません。監査人から指摘を受けて初めて、証跡管理の不備に気づく企業も多いのが実情です。

複数システムのログをかき集めるだけで数日かかる

証跡の提示を求められたとき、該当する記録が一か所にまとまっていないケースも考えられます。

たとえば一件の購買案件でも、稟議は紙の決裁書、見積の確認はメール、発注は購買システム、支払いは会計システム、といった具合に記録が分散しています。担当者はそれぞれのシステムからログを出力し、日付や案件番号を突き合わせながら一連の流れを再構成しなければなりません。

この作業に数日を費やし、本来の業務が止まってしまう。監査のたびにこれを繰り返している企業は、決して少なくないはずです。

承認が口頭・メール・チャットで行われ、記録が残っていない工程がある

さらに深刻なのが、そもそも記録が残っていない工程があるケースです。

「急ぎの案件だったので口頭で了承をもらった」「チャットで上長に確認してOKをもらった」といったイレギュラーな対応は正式な承認記録として残りにくく、後から証明することが困難です。

メールやチャットの履歴が残っていたとしても、個人の受信箱やアカウントに散らばっているため、組織として検索・提示できる状態にはなっていません。退職者のアカウントが削除されていれば、記録そのものが失われてしまうこともあります。

なぜ証跡はあるはずなのに、いざという時に使えないのか

ここまで見てきた状況には、共通する構造があります。それは、「証跡が存在しない」のではなく、「証跡がつながっていない」のです。

この構造を、2つの側面から整理してみましょう。

承認プロセスが紙・メール・チャット・個別システムに分散している

多くの企業では、承認の手段が業務や部門ごとにバラバラです。

承認の手段が分かれていれば、証跡の残り方も当然分かれます。紙の決裁書はキャビネットに、メールは個人の受信箱に、システムのログは各サーバーに、という状態です。

証跡の保管場所がバラバラになるのは、担当者の管理がずさんだからではありません。承認プロセスそのものが分散していることの、いわば当然の帰結なのです。

各システムが個別にログを持ち、一連の流れとして追えない

業務システムの多くは、それぞれ独自に操作ログや承認履歴を記録しています。個々のシステムの中だけを見れば、証跡は残っていると言えるでしょう。

しかし監査で問われるのは、多くの場合「一つの案件が、どのような経緯で承認・実行されたか」という一連の流れです。稟議から発注、検収、支払いまでの流れを示すには、複数システムのログを横断してつなぎ合わせる必要があります。

システムごとにログの形式も、案件を識別する番号の付け方も異なるため、この突き合わせ作業は手作業に頼らざるを得ません。証跡が「点」としては存在していても、「線」としてつながっていない。これが、いざという時に証跡が使えない本当の理由です。

証跡管理の本当の課題は「承認プロセスの分断」

ここまで説明したように、証跡管理がうまくいかない本当の原因は「承認プロセスの分断」にあります。

ここでは、証跡管理において本当に必要な考え方を整理します。

証跡管理ツール・ログ機能を後付けしても分断は解消しない

証跡管理の強化というと、ログ管理ツールや操作記録ツールの導入を検討する企業が多いでしょう。こうしたツールは、PC操作やシステムアクセスの記録には有効です。

ただし、承認プロセスそのものが紙・メール・口頭に分かれたままでは、ツールが記録できる範囲は限られます。口頭で行われた承認や、紙の決裁書への押印は、ログ管理ツールでは捕捉できません。

Excelで承認台帳を整備する方法も、よく取られる対策の一つです。しかし台帳への記入は人の手に依存するため、記入漏れや転記ミスが起こりやすく、後から書き換えられるリスクも残ります。

つまり、記録の手段を後から付け足しても、分断された承認プロセスの上に新たな「点」が一つ増えるだけです。証跡を「線」としてつなぐ根本的な解決にはなりません。

必要なのは、承認プロセスそのものを一つの仕組みに集約すること

証跡の分断を解消するための近道は、証跡を集める方法を工夫することではなく、承認が行われる場所そのものを一つにまとめることです。

申請・承認がすべて同じ仕組みの上で行われれば、「誰が・いつ・何を・どう判断したか」は、業務を進めるだけで同じ形式・同じ場所に記録されていきます。後から証跡を探し回る必要はなくなり、監査で求められたときも、その仕組みの中で該当案件を検索するだけで済みます。

つまり、証跡管理の課題は「記録の問題」ではなく、「業務プロセスの問題」として捉え直す必要があるのです。

証跡管理は「監視」ではなく「担当者を守る仕組み」

証跡管理の強化と聞くと、「社員の行動を監視するための統制強化」と受け止められることがあります。現場から反発が出るのではと懸念する管理職の方もいるでしょう。

しかし、承認プロセスを一元化して証跡が自然に残るようになると、もっとも恩恵を受けるのは現場の担当者自身です。監査のたびに何日もかけて記録を探す作業がなくなり、「あの件はどうなっていたか」という問い合わせにも、画面を開くだけで即答できるようになります。

また、正しい手順で承認を得たことが客観的に記録されていれば、万が一トラブルが起きた際にも「自分は適切に対応していた」と説明できます。証跡管理は、担当者に負担を強いる統制ではなく、担当者を余計な作業や疑いから守り、本来の業務に集中できる状態をつくるための仕組みなのです。

承認プロセスを一元化するワークフローシステム

承認プロセスを一つの仕組みに集約する手段として有効なのが、ワークフローシステムです。

ワークフローシステムとは、社内で行われる各種申請や稟議、報告といった業務の流れを電子化するツールのこと。

ここでは、ワークフローシステムが証跡管理の課題をどのように解決するのかを見ていきましょう。

証跡は自動的に記録される

ワークフローシステムでは、申請から承認、差し戻し、却下、最終決裁までのすべての操作がシステム上で行われます。そのため、「誰が・いつ・どの操作をしたか」という履歴が、特別な作業をしなくても自動的に記録されていきます。

これまで口頭やチャットで済ませていた承認も、ワークフローシステム上のフォームで申請・承認する運用に切り替えれば、記録の抜け漏れがなくなります。申請内容・添付資料・承認者のコメントまでが一つの案件としてひも付いて残るため、後から経緯をたどるのも容易です。

証跡を「残そう」と意識しなくても、業務を進めること自体が証跡を残すことになる。これが、ワークフローシステムによる証跡管理の最大の特長です。

改ざんされにくい形で承認履歴が残る

証跡は、残っているだけでは十分とは言えません。監査で信頼性を認められるには、記録が後から書き換えられていないことを示せる必要があります。

ワークフローシステムでは、承認ステップごとに編集できる項目を制限したり、承認完了後の書類の編集を制御したりできます。システムによっては、書類内容の変更履歴を版管理として保持する機能も備えています。Excelの台帳や紙の書類に比べて、改ざんされにくい形で承認履歴を残せるのが大きな利点です。

また、検索機能を使えば、申請日・申請者・金額・取引先などの条件で該当案件をすぐに絞り込めます。監査人から証跡の提示を求められても、検索と出力で速やかに対応できるようになります。

各種システムと連携し、申請・承認を一元化できる

ワークフローシステムは、基幹システムや業務システムと連携させることで、その効果がさらに高まります。

たとえば、ワークフローシステムで承認された購買申請のデータを会計システムに自動連携すれば、稟議から支払いまでの流れが一つの案件番号でつながります。人事システムと組織情報を連携させれば、異動や組織改編があっても承認ルートが正しく保たれ、「誰が承認権限を持っていたか」という点も明確に示せます。

既存システムを置き換えるのではなく、その前段にある「申請・承認」の部分をワークフローシステムに集約する。そうすることで、証跡が特定のシステムの中だけでなく、業務全体にまたがって一元的に記録される状態をつくれます。

ワークフローシステムで証跡管理を効率化した事例

ここでは、シリーズ累計5,000社超の導入実績を誇るワークフローシステム「X-point Cloud」や「AgileWorks」で承認プロセスを一元化し、証跡管理や監査対応に役立てている企業の事例を紹介します。

証跡管理を強化し株式上場を実現（琉球アスティーダスポーツクラブ）

プロ卓球チームの運営などを手がける琉球アスティーダスポーツクラブ株式会社では、株式上場に向けて監査法人と打ち合わせを重ねるなかで、稟議などの承認ルートが明確に定まっておらず、業務フローにばらつきがあることが課題となっていました。

そこで同社は、柔軟な承認ルートの設定機能に加え、蓄積されたデータを集計・抽出できるクエリ機能など、監査対応に役立つ機能が充実している点を評価して「X-point Cloud」を導入。稟議の種類や承認ルートを整理し、スポンサー契約や経費精算など10種類以上の稟議書類を、明確な業務フローのもとで運用できるようになりました。

承認や報告の証跡が正確に残るようになったことで、社員が適切なフローで業務に取り組むようになり、業務に対する責任感の向上にもつながったといいます。こうして内部統制を強化した同社は、2021年3月に東京証券取引所「TOKYO PRO Market」への上場を果たしました。

承認申請の証跡記録を財務監査などで活用（伊藤忠テクノソリューションズ）

伊藤忠テクノソリューションズ株式会社では、グループ会社との経営統合により、異なる社内ルールや事務処理手続きが混在し、承認申請業務が煩雑化していました。

申請承認業務の統制強化を目指した同社は、「電子証跡が残るなど内部統制の要件を満たしていること」を選定要件の一つに掲げ、10数種類のワークフローシステムを比較検討。複雑な回付ルートの設定や基幹系システムとの連携が可能な点を評価し、「AgileWorks」を導入しました。

リリースから約7ヶ月で16種類の申請書を電子化し、約43,000時間の業務時間と約56,000枚の用紙を削減。さらに、証跡記録機能によって内部統制が強化され、承認申請業務の証跡記録を財務監査などの各種監査における提出資料として活用できるようになりました。現在では約300本の申請書が電子化されています。

まとめ

今回は、証跡管理がうまくいかない根本原因と、その解決策について解説しました。

監査のたびに証跡を探し回ってしまうのは、担当者の管理が不十分だからではありません。承認プロセスが紙・メール・チャット・個別システムに分断されていることで、証跡も分散し、一連の流れとしてつながらなくなっていることが本当の原因です。

この問題を解決するには、承認プロセスそのものをワークフローシステムに集約し、業務を進めるだけで証跡が自然に残る仕組みをつくることが有効です。

証跡管理や監査対応に課題を感じている方は、まず自社の承認プロセスがどこに分散しているのかを洗い出すとともに、ワークフローシステムによる一元化を検討してみてはいかがでしょうか。