テクノロジーリスク

EYのチームは監査、検証、認証、評価する各種業務の提供により、企業のテクノロジー導入と利用から生じるリスクを特定し、その理解、評価、管理、軽減を支援しています。

データとテクノロジーの信頼性について社会的に注目が集まる中、テクノロジーを導入・利用する際のリスクを理解することが、ビジネスのパフォーマンスを加速し、持続可能な成長を実現する上でますます重要になっています。
こうしたリスクを正しく把握し、ビジネス部門とIT部門の間で生じるギャップを埋める能力こそが、EYのプロフェッショナルの最大の強みです。
また、ITの専門知識が、監査の品質を保つことや内部統制を保護する上で必要不可欠になっています。
EYのチームは、第三者機関として、内部統制と規制コンプライアンスについて報告を行うことで、企業の意思決定者が、顧客(およびその外部監査人)、投資家、経営陣、規制当局、その他のステークホルダーから信頼を獲得できるようサポートをします。

EYができること

  • IT監査

    質の高い情報技術(IT)監査手続きを実施することは、投資家の保護と資本市場の信頼性向上というコミットメント達成のための基礎を構築することにほかなりません。これには、財務諸表監査や財務報告に係る内部統制監査のサポートとして、ビジネスやITプロセスの各段階でテクノロジーがどう影響するかを把握することも含まれます。

    EYのプロフェッショナルは、独立性、誠実性、客観性、および職業的懐疑心を持って高品質の監査手続きを実行することで、公共の利益と、持続可能で長期的な価値創造に貢献しています。

    また、EYのチームは、多分野にわたって高度に複雑な問題に対処できる専門知識を備えており、確立されたグローバル監査手法、EYのグローバル監査ツール、最新のインサイトをもって、世界中で一貫した品質の監査を提供しています。

    インサイトや率直な見解、業務の提供により、企業はテクノロジーの利用や導入から生じるビジネスリスクについての認識を深め、情報に基づいた意思決定を行うことができます。

    IT監査業務には以下を含みます:

    • 統合監査
    • 財務諸表監査
    • 法定監査
  • 受託業務に係る内部統制の保証業務(SOCR)とアテステーション(検証)

    受託業務に係る内部統制の保証業務(SOCR)を利用することで、企業は顧客(およびその外部監査人)、投資家、経営陣、規制当局、その他のステークホルダーに対して、内部統制に焦点を当てた信頼性のある情報を提供できます。これにより、受託会社はリスクに関する信頼性の高い情報を求める顧客ニーズに効率的に対応できます。

    SOC1は、情報システムを運用して財務報告を支援するビジネスプロセス業務を提供する企業(受託会社)が、顧客やその外部監査人に提出する報告書であり、自社の業務提供プロセスと統制に対する信頼の構築をサポートします。
     

    SOC2/SOC3は、企業のシステムにおけるセキュリティ、プライバシー、機密保持、可用性、処理のインテグリティに影響を及ぼす企業の統制について、情報と保証を必要とする幅広いユーザーのニーズに応えます。


    SOC for Cyberは、企業の全社的なサイバーセキュリティリスク管理プログラムに関する情報と保証を必要とする、幅広いユーザーのニーズに応えます。

    SOC for Supply Chainは、商品の生産、製造、流通について企業のシステムと統制に関する情報と保証を必要とするステークホルダーのニーズに応える報告書で、サプライチェーンにおけるリスクの理解を深めます。

    EYのチームは、限定的保証業務またはSOC報告書などの合理的保証業務の実施に先立ち、システム記述のような保証の対象に関わるドラフト文書の事前評価業務も提供しています。

    合意された手続き(AUP : Agreed Upon Procedures)業務は、企業と報告を受ける第三者との間で合意された統制テストやその他の手続きを実施し、独立した立場から結果を報告するものです。

    企業は、AUPにより、統制テストやその他の手続きに関する独立かつ事実に基づいた結果について、報告を受ける第三者に提示することができます。EYのチームは、企業と第三者が合意した一連の手続きを実施し、その結果と関連する所見を報告します。

    ISAE3000は、監査人、企業、第三者が合意した監査に関連する手続き(非財務情報に関連するもの)についての報告です:

    • ISAE3000統制テスト - 手続きと統制テストを実施し、ISAE3000規格に従った保証報告書を作成する
    • ISAE3000実行支援とトレーニング - 手続きの実行に関するトレーニングを提供し、ISAE3000規格に従った保証報告を作成する
  • ISOマネジメントシステム認証、導入支援およびトレーニング

    ISOマネジメントシステム認証、導入支援およびトレーニング業務は、ISO規格およびその他の確立された認証の枠組みに従って、マネジメントシステムの導入支援および認証業務を提供します。

    EY CertifyPoint B.V.は、2002年に設立されたEYの事業体であり、オランダに本部を置く、認定済みの独立性と公正性を備えた認証機関です。EY CertifyPointを通じて、EYのチームはリード・インプレメンターとリード・オーディターのコースを提供し、複数のISO規格に関する企業内の人材の認定を行っています。

    EYのチームは、企業の管理システムの効率性と有効性を向上することで、企業の目標達成をサポートします。ビジネスを中心に据え、世界的に認知された標準に準拠した、体系的で独立した認証アプローチによって、冗長性、ボトルネック、効率向上の可能性がある領域を特定します。

    以下の規格をカバーしています:

    • ISO 9001: 品質マネジメントシステム
    • ISO 14001:環境マネジメントシステム
    • ISO/IEC 20000-1:ITサービスマネジメントシステム
    • ISO 22301:事業継続マネジメントシステム
    • ISO/IEC 27001:情報セキュリティマネジメントシステム
    • ISO/IEC 27017:ISMSクラウドセキュリティ認証
    • ISO/IEC 27018:パブリッククラウド上における個人情報保護に関する認証
    • ISO/IEC 27701:プライバシー情報マネジメントシステム
    • ISO 37001:贈収賄防止マネジメントシステム
    • ISO/IEC 42001:AIに関するマネジメントシステム
    • ISO 45001:労働安全衛生マネジメントシステム
    • ISO 50001:エネルギーマネジメントシステム
    • 世界宝くじ協会(WLA)認証
    • CSA STAR認証(CSA – 米国)
    • NEN 7510-1:健康情報セキュリティマネジメントシステム(NEN – オランダ)
    • 健康データホスティング認証(HDS – フランス)
    • 多層クラウドセキュリティ(MTCS - シンガポール)
    • GDPR
    • CISPE行動規範認定モニタリング機関(CISPE – 欧州)
    • ISO/IEC 27001:2013とISAE3402の組み合わせなど、ISAE3402、SOC、その他の検証報告書との統合アプローチ
  • システムおよびプロセスの評価

    システムおよびプロセスの評価には、SAP S/4HANAといったERP、アプリケーション、プロセスのアップグレードや導入の一環として、内部統制の評価が含まれます。

    これらの業務は、企業の現在または将来の内部統制の状態を独立した立場から評価し、経営陣の検討のために、先進事例に基づいた提案をするものです。システムやプロセスのアップグレード、実装の評価は、企業が以下を行うことに役立ちます:

    • 内部統制に関する懸念が適切に対処されているという信頼が得られます。
    • 複雑なビジネスプロセスを把握できます。
    • プロセスやテクノロジーの変更によって発生する新たなリスクや統制上のギャップを特定し、先進事例に基づく改善策が提案できます。
    • プロセスの自動化や改善、GRC(ガバナンス、リスク管理、コンプライアンス)の統合、レポーティング、継続した統制のモニタリングなどの、新しいプロセスやテクノロジーへの投資により得られた機能を、企業がより有効に活用できるようにします。

    限定的保証業務や合理的保証業務(例:SOC報告書)の実施に先立ち、システム記述のような、保証業務の対象に関するドラフト文書を事前評価することは、企業にとって以下のような利点があります:

    • どのように保証対象に評価基準を適用するかが理解できる
    • 保証対象の開示要求事項を理解できる(例:SOC報告書の経営者の説明)
    • 保証対象または/および統制を評価するために実施される手続きが理解できる
  • ITコンプライアンスと規制の保証

    ITコンプライアンスと規制の保証業務では、急速に変化する法律、規制、専門的な基準を企業が理解し、準備し、適切な報告が行えるよう支援します。

    この保証業務を通して、企業がより持続的かつ効率的に、規制および業種(政府、ヘルスケア、金融サービスなど)固有のテクノロジーコンプライアンス要件に対処できるよう支援します。例えば、以下の要件の遵守をサポートします:

    • AI関連規制(例:EU AI Act)
    • サイバーセキュリティ(例:EU サイバーレジリエンス法、米国 サイバーセキュリティ成熟度モデル認証、EU ネットワーク・情報セキュリティ(NIS2)指令)
    • データセキュリティ(例:欧州データ法)
    • デジタル・レジリエンス(例:EU デジタルサービス法、EU デジタル市場法、EU デジタルオペレーションレジリエンス法)
    • 業種固有の要件(例:HITRUST、SWIFT、TISAX)
    • ESG報告におけるデータとITの管理

アシュアランスサービス

監査チームは、独⽴性、完全性、客観性、職業専⾨家としての懐疑⼼をもってアナリティクス主導型の質の⾼い監査を提供し、公共の利益に貢献しています。

 

詳細ページへ

お問い合わせ

詳細をご希望の場合はお問い合わせください。