注:本記事は(2022年3月1日)に公開された(Automating SOX and Internal Controls Monitoring with Snowflake)を翻訳して公開したものです。
IPOの急増、めまぐるしく変化するビジネス環境、増加する規制要件の下で、SOX(米国連邦上場企業会計改革および投資家保護法)コンプライアンス報告はますます時間とコストがかかる業務になっていますが、実効性のあるインサイトに基づく効果的でデータドリブンな分析アプローチを実践すれば、コンプライアンスおよびリスク管理タスクの効率性と信頼性を高めることができます。Snowflakeでは、データクラウドがSOXコンプライアンスおよび内部コントロールタスクへの対応に不可欠な存在となっています。
データセットのボリュームが増えその変動幅が拡大すると、監査、リスク、コンプライアンス機能によるコントロール運用効率の特定や監視が困難になります。さらに、従来の監査手法は時間のかかる証拠収集やサンプリングを伴うため、コストのかかる例外や非効率性に対して十分なリスクカバレッジやリアルタイムの可視性を得ることができません。
課題が見られることの多い代表的なユースケース:
また内部監査チーム、会計検査官、コンプライアンスチームにはリアルタイムに行動し対応する能力が備わっていません。リアルタイムデータ分析とアラート体制が整備されていないため、外部監査で初めて不備が明らかになることもよくあります。
社内でのIPOの取り組みとSOX対応システム整備に着手したところ、主要なコントロールの遂行とテストの両方に大量の手動アクティビティが存在することが判明しました。そこで、Snowflakeのコアバリューの1つである「全体像で考える」を実践した結果、対象となる財務報告プロセスの一般的なSOCコントロールの一部をSnowflakeで自動化できることに気づきました。
Snowflakeの優れた拡張性とコスト効率を活かして半構造化データを含む多様なデータを1か所に取り込んで保管すれば、コントロール効率のモニタリングが円滑化され、ほぼリアルタイムでのクエリ、例外事項のフラグ、アラート、コンプライアンスポスチャのモニタアリングが可能になります。そこで、以下の条件に合致するいくつかのユースケースに焦点を当てて、数週間にわたりでSOXコントロールのモニタリング用Snowflakeアナリティクスの構築に取り組みました。
現在、SOXコントロールのモニタリングの自動化には以下のアーキテクチャを使用しています。どのようにデータを取り込み、どのようにリアルタイムアラートに基づいて例外を分析するかを示します。
上記のステップを使用して、以下の3つのユースケースを自動化しました。
このセクションでは、これらのユースケースそれぞれに対応するSnowflakeソリューションから得たいくつかの課題と価値に焦点を当てて説明します。
データ分析は、特に複雑なERP、複数のデータソースまたは補助元帳、あるいは大量のデータを扱う際の仕分入力と修正に関わるプロセスや管理の把握に不可欠です。そのためのいくつかのツールが市場化されていますが、それらを利用してもなお、データを取り込んで潜在的なエラーや不正をリアルタイムで分析するのは時間がかかります。私たちはSnowflakeのコアコンピューティング機能を利用して、複数の仕訳入力源からの200万件を超えるトランザクションをわずか数秒で分析することに成功しました。
その中でも、仕訳入力管理に関わる監査懸念事項への対応とオペレーションの非効率性に関するインサイト取得の面で非常に大きな効果が得られたユースケースをいくつか以下に紹介します。
Snowflakeの仕訳入力ダッシュボードの例
重要なシステムへの不正アクセスによるインサイダー脅威あらゆる組織にとって大きなリスクであり、企業イメージや業績に重大な損害をもたらします。Snowflakeを使用してリアルタイム例外をフラグ付けするクエリを構築することで、SOXアクセス管理コントロールのモニタリングの自動化を実現しました。この実装では、まずユーザーアクセスのログを取り込んでから、例外の監視とアラートのロジックを構築しました。このロジックの設計において重要であったのは、アプリケーション内のアクセスデータモデル(特定のロール、認証概念、アクセスなど)と関連するアクセスポリシーについての正しい理解でした。
自動化した主なユースケースは以下のとおりです。
Snowflakeを使用したアクセス管理ダッシュボードの例
これらのダッシュボードは、SOX違反が発生する前にチームが修正を実施するのに役立ちます。また、特定のアプリケーションのコントロール設計とアクセスポリシーにおける潜在的なプロセス改善の可視化にも役立ちます。たとえば、主要な販売アプリケーションの1つでアクセスロールとシステム機能を再検討したことで、四半期ごとのユーザーアクセスレビューのプロセスの効率が大幅に向上しました。
職務分掌(SoD)統制の実装とテストは、内部統制フレームワークの重要な要素であり、外部監査機関が主に焦点を当てる部分でもあります。包括的なSoDポリシーと数千ものアプリケーションのアクセスポイントにわたる違反をきめ細かに検出し分析する機能がなければ、SoDの実装、テスト、改善、軽減は非常に困難な作業になります。
ここでSnowflakeがその威力を発揮します。内部監査の一環として、主要アプリケーション内の高リスクルールを特定し、ロールとユーザーレベルの両方に隠れたSoDの競合を検出しました。その後、それらのルールをSnowflake内に構成し、定義済みのSoDルールに違反するロール/ユーザーを特定するクエリを作成しました。ここではITルールとビジネスSoDルールの両方をカバーしました。
Snowflakeを使用したSoDダッシュボードの例
SoDダッシュボードの実装により現在の環境でのSoDの競合を特定し、必要に応じてアクセスを更新することで迅速に問題を修正できました。
データ分析に基づくSOX監視の自動化は、データとテクノロジーだけの話ではありません。信頼できる自動化には、監査手法への組み込み、適切なスキルを持った人材による例外の設計・構築・モニタリングなど、ビジネス価値の提供も求められます。さらに、適切なコントロール体制が整備されていることも、監査チームや経営陣が上述のメリットを実現するうえでの重要な要素です。
信頼できる自動化に求められる主な要件は以下のとおりです。
Snowflakeを使用したアクセス管理の監視からの例外アラートの例
Snowflakeの30日間無料トライアルで、他のソリューションに内在する複雑さ、コスト、制約の課題を解決するデータクラウドを体験できます。