ITに関する統制は、IT全社統制、IT全般統制、IT業務処理統制、EUC統制の4つに分けて考えます。この4つは並列ではありません。
IT全般統制が土台となり、それが有効であってはじめてシステムが行う処理を信頼できるという構造になっています。
この記事では、4つの分類、IT全般統制の3領域、業務処理統制への依拠、見落とされやすいEUC、着手の順序を整理します。
- IT統制の4つの分類と、それぞれの対象
- IT全般統制の3つの領域とよくある不備
- 業務処理統制の評価を簡素化できる条件
- IT全般統制に不備があるとどうなるか
- 表計算による処理という見落とされやすい領域
- システムの一覧づくりから始める着手の順序
図 IT統制の4つの分類の判定
📌 結論 全般統制が土台になる
ITに関する統制は、4つに分けて考えます。会社全体のITの方針と体制に関するIT全社統制、システムを支える環境に関するIT全般統制、個々のシステムが行う処理に関するIT業務処理統制、そして利用部門が作る表計算などに関するEUC統制です。
この4つは並列ではありません。IT全般統制が土台となり、それが有効であってはじめて、システムが行う処理を信頼できるという構造になっています。プログラムが正しく作られ、勝手に変更されず、限られた人しか触れないという状態が保たれていれば、そのシステムの処理は期を通じて同じ結果を出すと考えられます。
全般統制が土台となり、その上で業務処理統制が信頼できる
🧭 IT全般統制の3領域
IT全般統制は、開発と変更の管理、運用管理、アクセス管理の3つの領域に分かれます。この3つが有効であれば、業務処理統制の評価を大きく軽くできます。
この3領域が有効なら、業務処理統制の評価を大きく軽くできる
開発と変更の管理では、本番環境への反映が承認を経ているかを確かめます。テスト環境で確認したうえで、承認を受けて本番に反映するという流れが定められ、記録が残っているかを見ます。緊急対応で先に反映した場合の事後承認も、期限と記録の有無を確かめます。
運用管理では、障害の対応、バックアップの取得と復旧の確認、ジョブの実行管理を見ます。バックアップは取得の記録だけでなく、復旧できることを確かめた記録があるかが論点になります。
アクセス管理では、権限が職務に応じて与えられているか、退職者や異動者の権限が適時に見直されているか、特権的な権限の使用が管理されているかを確かめます。実務で不備が見つかりやすいのは、この領域です。
システムの一覧づくりから依拠の判断まで、負担の小さい設計をご提案します。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の導入、内部監査対応を行っている公認会計士・税理士が直接対応します。初回のご相談は無料です。
📊 業務処理統制とその依拠
IT業務処理統制は、個々のシステムが行う処理そのものです。与信限度を超えた受注を入力できないようにする、単価と数量から金額を自動計算する、発注と検収のデータを自動で照合するといった処理が該当します。
システムの一覧づくりが出発点。使っているものが漏れやすい
これらの処理は、人が行う統制と違って、実施のばらつきがありません。プログラムが同じであれば、1回目も1000回目も同じ結果を出します。したがって、プログラムが変更されていないことをIT全般統制で確かめられれば、業務処理統制の評価は設定の確認と少数のサンプルで足ります。
逆に、IT全般統制に不備があれば、この依拠はできません。誰でもプログラムを変更できる状態であれば、期を通じて同じ処理が行われていたとは言えないためです。この場合、業務処理統制を期間にわたって個別に評価するか、手作業の統制で補うことになります。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら
🗂 EUCという盲点
見落とされやすいのがEUC統制です。利用部門が自分で作った表計算のファイルで、集計や計算を行っているという状態を指します。決算の作業では、システムから出力したデータを表計算に取り込み、そこで調整計算をして仕訳を作るという流れがよく見られます。
表計算のファイルは、システムの管理の外にあります。計算式が誤っていても気づきにくく、誰でも編集でき、更新の履歴も残りません。金額に直結する計算をこの形で行っているのであれば、統制として何らかの手当てが必要になります。
手当ての方法としては、計算式の入ったセルを保護する、ファイルの保管場所と編集できる人を限定する、計算結果を別の方法で検証する、重要なものは一覧を作って管理するといったものがあります。すべてのファイルを管理することは現実的ではないため、財務報告に直結するものを特定して対象にします。
⚖️ どこから手をつけるか
上場準備の段階では、まずシステムの一覧を作ります。財務報告に関わる業務でどのシステムを使っているかを洗い出すと、評価の対象が見えます。クラウドのサービスや、部門が独自に導入したものが漏れやすいところです。
次に、IT全般統制の3領域について現状を確かめます。アクセス管理は不備が見つかりやすいため、権限の棚卸しを先に行っておくと、評価の段階で慌てずに済みます。
そのうえで、業務処理統制として依拠したい処理を特定します。自動化された処理に依拠できれば評価の負担が減るため、どの処理に依拠するかを決めてから、その処理を支えるIT全般統制を重点的に整えるという順序が効率的です。
❓ よくある質問
A. IT全社統制、IT全般統制、IT業務処理統制、EUC統制の4つです。IT全般統制が土台となる構造になっています。
A. 開発と変更の管理、運用管理、アクセス管理の3領域です。この3つが有効であれば業務処理統制の評価を軽くできます。
A. アクセス管理です。退職者のIDが残っている、異動後も前の部署の権限が付いたままといった状態が見つかります。
A. 復旧できることを確かめた記録があるかが論点になります。取得だけでは復旧できる保証になりません。
A. プログラムが同じであれば結果も同じだからです。プログラムが変更されていないことをIT全般統制で確かめられれば、設定の確認と少数のサンプルで足ります。
A. 業務処理統制への依拠ができません。期間にわたって個別に評価するか、手作業の統制で補うことになります。
A. 金額に直結する計算を行っているなら対象になります。計算式の保護、保管場所と編集権限の限定、結果の検証といった手当てが必要です。
A. 財務報告に関わるシステムの一覧づくりからです。クラウドのサービスや部門が独自に導入したものが漏れやすいところです。
📄 まとめ
IT統制は4つに分かれ、IT全般統制が土台になります。この構造を押さえると評価の設計が決まります。
IT全般統制は開発と変更の管理、運用管理、アクセス管理の3領域です。不備が見つかりやすいのはアクセス管理です。
IT全般統制が有効であれば、業務処理統制の評価を設定の確認と少数のサンプルに絞れます。
表計算による処理は管理の外にあり、見落とされやすい領域です。財務報告に直結するものを特定して手当てします。
着手はシステムの一覧づくりからです。依拠したい処理を決めてから、それを支えるIT全般統制を重点的に整えます。
公認会計士・税理士 鈴木佑也（鈴木佑也公認会計士税理士事務所／東京都台東区入谷）。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンス、企業価値評価、IFRS影響度調査、不正調査、フォレンジックに携わりました。現在は上場申請書類（Ⅰの部・Ⅱの部）の作成支援、内部統制の導入と内部監査対応、新収益認識基準やIFRSの導入支援、社内諸規程の整備を行っています。
本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。実際の制度設計や運用にあたっては、監査法人および主幹事証券会社にご確認ください。
制度の全体像
評価範囲の決定
文書化
評価の実施
IT統制
- IT統制の4つの分類（この記事）
- IT全般統制の評価
- IT業務処理統制の評価
不備と改善
整備と設計
報告と立て直し
