IT全般統制の監査にかかる時間は年間450時間、財務報告にかかわる総監査時間は以前の1.77倍――。日本公認会計士協会（JICPA）は2008年6月3日、監査・保証実務委員会研究報告第18号「監査時間の見積りに関する研究報告（以下、研究報告）」の改正版を公表した。同文書では、08年4月期以降に始まる事業年度から適用される、内部統制監査と四半期ごとの財務諸表のレビュー（以下、四半期レビュー）を考慮した監査時間と監査計画を見積もっている。

　研究報告によると、内部統制監査と四半期レビューを含む財務報告にかかわる監査時間は1社あたり8042時間。2006年に公表された改正前の研究報告は4541.5時間だったので、1.77倍になる計算だ。監査の対象として想定している企業は、本社以外に支店10カ所、国内子会社10社、工場6カ所、海外子会社4社、持分法適用会社3社、物流センター1カ所としている。このうち内部統制監査の対象となる重要な拠点は親会社、国内販売会社1社、国内製造子会社1社となっている。

　研究報告では監査時間の内訳を付録として提示している。四半期レビューにかかる時間は明示しているが、内部統制監査の監査時間は明示していない。内部統制監査は財務諸表監査と一体として行うため、内部統制監査だけを分離するのは難しいからだ。

　ただし「IT全般統制の評価」については、「統制リスクの評価」の一環として監査時間の明細を示している。IT全般統制は、財務報告にかかわる情報システム自体の信頼性を確保するために整備・運用することをいう。研究報告では、IT全般統制の評価全体には合計450時間かかると見込んでいる。

　450時間の内訳は、整備状況に関する監査時間が1基盤あたり65時間、運用状況に関する監査時間が同85時間、残りが全社的な監査チームとシステム監査部門との打ち合わせなどとしている。ここでいう基盤とは、オープン系サーバーやメインフレームといったハードウエアを指す。IT全般統制の評価・監査は基盤一つひとつ、つまりハードウエア1台ごとに実施する。研究報告は、公認会計士など外部監査人向けの文書であり、企業が自社内で実施する有効性評価の時間は含んでいない。

　内部統制監査、四半期レビューとも、金融商品取引法により08年4月以降に始まる事業年度から上場企業に対し実施が義務づけられている。内部統制監査は、企業に財務報告の信頼性を担保する目的で実施する。

　研究報告では「企業の状況によって見積もりは大きく異なる」と注意を促している。さらに、「内部統制監査および四半期レビューが円滑に実施されるようになった状況を想定して見積もりを行っており、制度導入初年度の特有の事情は考慮していない」と説明。初年度は監査計画の立案などに時間がかかるとみられ、監査時間はより増える可能性が高い。