IT全般統制の評価範囲は、システムの数から決まるものではありません。どのIT業務処理統制に依拠したいかから逆算して決まります。
自動化された処理に依拠して評価を簡素化したいなら、その処理を行うシステムの全般統制を評価します。手作業の統制だけで組み立てるなら、その必要は小さくなります。
この記事では、範囲の決め方、3領域の評価、過年度の結果の利用、不備があった場合の対応を整理します。
- IT全般統制の範囲を依拠したい処理から逆算する考え方
- 3領域で確かめることと、それぞれの証拠
- 変更管理を両方向で抽出する理由
- 過年度の評価結果を利用できる5つの条件
- 全般統制に不備があった場合の3つの対応
- 全般統制の不備が重要な不備になるかの判断
図 IT全般統制の評価範囲の決め方
📌 結論 依拠したい処理から範囲が決まる
IT全般統制の評価範囲は、システムの数から決まるものではありません。どのIT業務処理統制に依拠したいかから逆算して決まります。
自動化された処理に依拠して業務プロセスの評価を簡素化したいのであれば、その処理を行うシステムのIT全般統制を評価する必要があります。逆に、手作業の統制だけで評価を組み立てるのであれば、そのシステムの全般統制を評価する必要は小さくなります。
依拠したい処理があるシステムだけが、全般統制の評価の対象になる
🧭 3領域の評価
IT全般統制は、開発と変更の管理、運用管理、アクセス管理の3領域で評価します。それぞれについて、整備状況と運用状況を確かめます。
変更管理は両方向で抽出する。記録にない変更は片方向では見つからない
開発と変更の管理では、リリースの記録から申請までさかのぼる方向と、申請書からリリースの記録に到達する方向の両方で抽出します。片方向だけだと、記録に残っていない変更が見つかりません。本番環境の変更履歴を直接確かめられるなら、そこを母集団にするのが確実です。
運用管理では、障害の対応記録とバックアップの復旧テストを見ます。バックアップは取得しているが復旧を試したことがないという状態が多く、この場合は年1回の復旧テストを是正案として示します。
アクセス管理では、権限の一覧と人事の名簿を突き合わせます。基準日をそろえて出力してもらうことが前提で、そろっていないと差分がノイズだらけになります。
依拠したい処理からの逆算で、必要十分な範囲をご提案します。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の導入、内部監査対応を行っている公認会計士・税理士が直接対応します。初回のご相談は無料です。
📊 過年度の結果を利用する
IT全般統制の評価では、前年度の評価結果を利用して当年度の作業を軽くできる場合があります。システムと統制が変わっておらず、前年度の評価で不備がなく、リスクが高くない場合という条件がつきます。
利用できても、変更がないことの確認は毎年必要になる
利用する場合でも、変更がないことを当年度に確かめる作業は必要です。システムの改修がなかったか、担当者が交代していないか、運用の手順が変わっていないかを確かめます。この確認を省くと、前年度の結果を使う根拠がなくなります。
また、何年も続けて過年度の結果を利用することは避けます。数年に一度は通常の評価を行い、統制が実際に機能していることを確かめます。利用の可否と周期については、監査法人と事前にすり合わせておきます。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら
🗂 全般統制に不備があるとき
IT全般統制に不備が見つかった場合、その影響は業務処理統制に及びます。プログラムが勝手に変更され得る状態であれば、そのシステムの処理が期を通じて同じであったとは言えないためです。
この場合の対応は3つあります。1つは、不備を改善して、改善後の期間について評価しなおす方法です。期中の早い時期に見つかれば、これが最も素直な対応になります。
2つ目は、業務処理統制を個別に評価する方法です。全般統制に依拠せず、その処理が正しく行われていたことを期間にわたって確かめます。件数は増えますが、不備が期末近くに見つかった場合には現実的な選択です。
3つ目は、手作業の統制で補う方法です。システムの処理結果を人が検証しているのであれば、その検証を統制として評価するという整理になります。すでに行われている作業であれば、追加の負担なく対応できることがあります。
⚖️ IT全般統制の不備は重要な不備か
IT全般統制の不備が、そのまま開示すべき重要な不備になるかという論点があります。結論としては、それ自体で直ちに重要な不備になるわけではありません。
判断の材料になるのは、その不備によって財務報告に誤りが生じる可能性です。アクセス権限に不備があっても、その権限を使って行われた処理を後工程で検証する統制があれば、誤りが財務諸表に至る可能性は低くなります。
したがって、全般統制の不備が見つかったときは、その影響が業務処理統制と手作業の統制でどこまで補われているかを確かめます。補われていれば、不備ではあるが重要な不備には至らないという整理ができます。補われていなければ、財務報告への影響を金額で見積もり、重要性を判断することになります。
❓ よくある質問
A. 依拠したいIT業務処理統制から逆算します。その処理を行うシステムの全般統制が評価の対象になります。
A. リリースの記録から申請にさかのぼる方向と、申請書からリリースに到達する方向の両方です。片方向だと記録にない変更が見つかりません。
A. 復旧テストの記録が必要です。取得しているが復旧を試したことがないという状態が多く、年1回の実施を是正案として示します。
A. 権限の一覧と人事の名簿の基準日をそろえます。そろっていないと差分がノイズだらけになります。
A. システムと統制が変わっておらず、前年度に不備がなく、リスクが高くない場合に利用できます。変更がないことの確認は毎年必要です。
A. 避けます。数年に一度は通常の評価を行い、統制が実際に機能していることを確かめます。周期は監査法人とすり合わせます。
A. 改善して評価しなおす、業務処理統制を個別に評価する、手作業の統制で補うという3つの対応があります。
A. それ自体で直ちに重要な不備になるわけではありません。その不備によって財務報告に誤りが生じる可能性がどこまで補われているかで判断します。
📄 まとめ
IT全般統制の範囲は、依拠したい業務処理統制から逆算して決まります。システムの数から決めるものではありません。
3領域のうち変更管理は両方向で抽出します。片方向では記録に残っていない変更が見つかりません。
過年度の結果を利用できる場合でも、変更がないことの確認は毎年必要です。数年に一度は通常の評価を行います。
全般統制に不備があれば、改善して再評価する、業務処理統制を個別に評価する、手作業で補うという3つの対応があります。
全般統制の不備がそのまま重要な不備になるわけではありません。財務報告への影響がどこまで補われているかで判断します。
公認会計士・税理士 鈴木佑也（鈴木佑也公認会計士税理士事務所／東京都台東区入谷）。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンス、企業価値評価、IFRS影響度調査、不正調査、フォレンジックに携わりました。現在は上場申請書類（Ⅰの部・Ⅱの部）の作成支援、内部統制の導入と内部監査対応、新収益認識基準やIFRSの導入支援、社内諸規程の整備を行っています。
本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。実際の制度設計や運用にあたっては、監査法人および主幹事証券会社にご確認ください。
制度の全体像
評価範囲の決定
文書化
評価の実施
IT統制
- IT統制の4つの分類
- IT全般統制の評価（この記事）
- IT業務処理統制の評価
不備と改善
整備と設計
報告と立て直し
