内部統制の問題点を見極め、どのように問題か、そして、それが財務報告書に与えるインパクトを検討する。財務諸表に誤述が起きる可能性をもとに、その誤述がどの程度のリスクを企業にもたらすかを測定する。最終的には、内部統制の全問題点を総括し、問題点が集中している業務プロセスや勘定科目を見極める。
ただし、問題点（欠陥）の見方に関して、外部監査人と企業の間にはギャップがあることがある。
ある大手照明機器メーカーは、内部統制には問題がないと判断したが、外部監査人は財務報告書にいくつかの「不備な点」を発見した。外部監査で失格となると証券取引委員会に問題点を開示する必要が出てくる。同社は、自分たちの判断が正しいことを証明するため、翌年は別の監査法人を雇い、本番監査の前にプレ監査を行った。
フェーズ6：報告
企業は、導入されている内部統制に関する情報を証券取引委員会に提出する財務報告書（アニュアル・レポート）に記述する。実際の記述例を、フォードの財務報告書を使い説明する（カッコ内イタリックは原文）。
財務報告に適切な内部統制を導入し、維持していくことに対する経営者の責任の記述
経営陣は、1934年、証券取引法、ルール13a-15(f)で定められている、財務報告に係る適切な内部統制を設定、維持することに責任を負い・・・
（Our management is responsible for establishing and maintaining adequate internal control over financial reporting, as such term is defined in Rule 13a-15(f) under the Securities Exchange Act of 1934,.....）
財務報告の内部統制の有効性を評価するために利用したフレームワークの記述
アセスメントは、トレッドウェイ委員会組織委員会が策定した「内部統制・統合フレームワーク」で設定されている基準に基づき評価を行った。
（The assessment was based on criteria established in the framework Internal Control-Integrated Framework, issued by the Committee of Sponsoring Organizations of the Treadway Commission）
直近の会計年度における財務報告に対する内部統制の有効性評価
CEOとCFOを含む経営陣の参画と監督のもとに、当社は2005年12月31日現在の財務報告に関する内部統制の効果評価を実施した。
（Under the supervision and with the participation of our management, including Chief Executive Officer and Chief Financial Officer, the Company conducted an assessment of the effectiveness of its internal control over financial reporting as of December 31, 2005.）
経営者は財務報告に関する内部統制の評価を行い、内部統制が整備していることを宣誓するが、その宣誓を含む財務報告書を監査した会計企業の宣誓内容に対する見解記述（フォードの外部監査法人は、プライスウォーターハウス・クーパーズ（PｗC）であり、以下はPwCの記述である）
同社マネージメントは、アニュアル・レポートにある財務報告に関する内部統制について当社は2005年12月31日現在の財務報告に係る効果的な内部統制を設定、維持することに責任を負う。効果的内部統制の評価基準は、トレッドウェイ委員会組織委員会が策定した「内部統制・統合フレームワークで設定されている基準に基づく」というステートメントがあらゆる実際的な側面から見て正当に述べられている、というのが我々の意見である。フォードの経営層は財務報告に係る効果的な内部統制を設定、維持することに責任を負う。そして、我々の責任は、我々が行う監査に基づき、同社の財務報告に関する内部統制の効果とマネージメントの評価に対して意見を述べることに責任を負う。
（Also, in our opinion, management’s assessment, included in Management’s Report on Internal Control Over Financial Reporting in this Annual Report, that the Company maintained effective internal control over financial reporting as of December 31, 2005 based on criteria established in Internal Control-Integrated Framework, issued by the Committee of Sponsoring Organizations of the Treadway Commission (COSO), is fairly stated, in all material respects, based on those criteria... ..The Company’s management is responsible for maintaining effective internal control over financial reporting and for its assessment of the effectiveness of internal control over financial reporting. Our responsibility is to express opinions on management’s assessment and on the effectiveness of the Company’s internal control over financial reporting based on our audit. ）
以上がSOX法対応プロセスの一般的なスキームであるが、すべての企業に当てはまる標準的なアプローチは存在していない。企業独特の状況があるため、SOX法の対応プロセスもそれぞれにユニークなものとなる。
次回からは、今回説明した一般的なSOX法対応プロセスをもとに、SOX法コンプライアンスのIT側面からの対応を2回にわけて取り上げる。
日本版SOX法とITの関わり、ツール導入を実践する際の留意点などをまとめた「導入間近に迫る、日本版SOX法ソリューションガイド」もあわせてご覧下さい。
