寓話
金庫の一年四季の鍵記録は、開業当日よりも偽装が難しい
銭荘が開業した後、街の銀はますます増えた。開店の日に検めた厚い扉は今もあり、二人の鍵も壁に掛かっている。店主は信頼はもう安定したと思っていた。
半年後、ある大店の主人が尋ねた。「これらの決まりは毎日実行されているのか？夜回りに漏れはなかったか？新しい使用人が辞めた後、鍵は回収されているか？事故訓練は本当に行われたのか？」
店主は開業報告書を出した。大户は首を振って言った。それはある一日だけ金庫がまともだったことを示すにすぎない。私が知りたいのは、この期間にコントロールが継続的に稼働していたかどうかだ。
そこで外部監査人が戻り、もはや扉と錠だけを見ない。彼は数か月分のアクセス記録、退職者リスト、バックアップテスト、アラート処理、変更承認、例外クローズを抜き取り検査する。
よくできた記録もあれば、欠落が露呈した箇所もある。夜間巡回に署名が一度なく、臨時雇いの権限回収が二日遅れ、バックアップテストが失敗した後の補修記録が不完全だった。
店主は最初緊張したが、後に報告は物語の完璧さを求めるのではなく、統制が監査期間中に有効に運用されたことを証明する十分な証拠を持ち、例外も識別・処理されることを求めるのだと理解した。後に管事はこの経験を日常の規則に書き入れた：まず場面を見て、次に境界を見て、最後に失敗時に誰が引き継げるかを見る。これらすべてが明確になって初めて、美しいデモは納品可能な仕事になる。
報告が完成すると、大旦那が見るのはもはや開業当日の設えではなく、一期間全体にわたる行動のサンプルだった。銭荘の信頼性はそれによって実際の運営に近づく。そこで銭荘は日常の証拠を習慣にした。引き継ぎの署名、演習の結果、アラート対応、変更の承認、いずれも発生時に痕跡を残す。大旦那が尋ねに来たとき、信頼性はその場で整理したものではなく、過去一年毎日残してきたものだった。
店主は店員に言った、最も難しいのは統制を書き出すことではなく、忙しさ、人の入れ替わり、誤り、修復の中で、なお統制が連続した証拠を残すことだ。監査人はさらに例外をどう収束させるかを問い詰める。鍵の回収が遅れたと分かったとき、「既知悉」と書くだけでは足りず、誰が補救し、いつ完了し、その後どう再発を防ぐかを見なければならない。