経営者による内部統制運用状況評価（サンプリング）

ひさしぶりにＪ－ＳＯＸ（金融商品取引法上の内部統制報告制度）に関するエントリーであります。先日、ある企業のＣＳＲ部の方よりご質問をいただきました。ご質問内容は以下のとおりであります。

実施基準がサンプリングにおいて最低２５と言っているのは記事にお書きになったとおりですが、この点に関して、実施基準は正規分布を前提すると言っております。
数字に弱いもので、この意味が理解できないでいるのですが、　そのようなことをおっしゃる方はないのでしょうか？何が、正規分布するのでしょうか？エラーの件数？エラーの発生確率？エラーの金額？監査ではエラーの有無を検証するために、属性サンプリングというやり方を採りますが、これは、特に分布を仮定しているわけではないようです。何らかの知見をお持ちでしたら、あるいは、知見をお持ちの方がおられましたら、ブログで解説いただけると幸甚です。

実は私も、昨年11月に実施基準の公開草案がリリースされましてから、このサンプリングのところはよくわからないままになっておりまして、おそらく公認会計士さん方のように、普段の財務諸表監査におけるサンプリングの統計的手法に慣れておりませんと、理解は困難なところなのではないでしょうか。とりあえず、どなたかにお聞きしようと思っておりましたが、どちらかといいますと「全社的内部統制」の整備運用のほうに目が向いておりましたので、私も疑問をそのまま残しておりました。

せっかくのご質問でもあり、また私自身も非常に関心の高いところであること、さらに統計学の素人である「一般経営者」にとりましても、このサンプリングは内部統制の運用状況評価方法として理解しておかなければならないこと（少なくともタテマエとしては・・・、いやホンネとしても・・・でしょうか？）ですから、どなたが参考文献でも結構ですので、このサンプリングについて「なんとなく」理解できそうなものがございましたらご教示いただけませんでしょうか？

現時点でなんとなく理解しておりますのは、以下のとおりであります。

経営者も業務プロセスにおける内部統制の運用状況について、その有効性をサンプリングの手法を用いて評価しなければならない。実際には社内の内部統制評価チームが検討するのであろうが、その統括者として、経営者も評価の全体像については認識しておかなければならない。なお、実施基準には、監査人による監査方法として、統制上の要点ごとに25件以上のサンプルを必要とすると書かれており、経営者の評価手法としては書かれていないが、すくなくとも監査人に要求されるものと同等数のサンプルについては必要である。２５件のサンプルのうち、１件でも問題事項が発見されたのであれば、その対象となっている内部統制には「不備」があると評価せざるをえない。その「不備」が重要な欠陥といえるかどうか、別個の判断を要するが、数値的な判断によって重要な欠陥と評価されるに至るケースは稀少であろう。（参考「内部統制の知識」町田祥弘2007年日経文庫１６５頁以下、企業会計2007年4月号座談会記事　中央経済社　４６頁以下、逐条解説「内部統制基準を考える」八田＝町田　2007年同文館出版１３４頁以下、同１８０頁以下）

とりわけ前記町田先生の「内部統制の知識」を読みますと、アメリカＳＯＸ法下における実際の内部統制監査手法を参考にされているようですので、そちらの方面での監査経験をお持ちの会計士さん方であれば、自明のこととして知悉しておられるのではないか、思います。（いまは業務中でありますので、また続編を書きたいと思っております）