IT業務処理統制は、システムが自動的に行う処理そのものです。入力の制限、自動計算、自動照合といった処理が該当し、人が行う統制と違って実施のばらつきがありません。
評価では設定を確かめますが、設定を見るだけでは実際に働いているかは分かりません。テスト用のデータで動かしてみると確実になります。
この記事では、統制の種類と評価の方法、動かして確かめる手順、依拠できるかの判断、手作業が残る部分、過年度の結果の利用を整理します。
- IT業務処理統制の6つの種類と評価の方法
- 設定を見るだけでなく動かして確かめる理由
- 自動照合で一致しなかった場合の扱いを確かめる意味
- 依拠できる場合とできない場合の判断
- 期中にシステムを入れ替えた場合の評価の分け方
- 自動化された処理の前後に残る手作業の統制
図 IT業務処理統制に依拠するための条件
📌 結論 設定を見て、動かして確かめる
IT業務処理統制は、システムが自動的に行う処理そのものです。入力の制限、自動計算、自動照合、自動承認といった処理が該当します。人が行う統制と違い、実施のばらつきがありません。
評価では、まず設定を確かめます。どういう条件で何が制限され、何が計算されるのかを、システムの設定画面や定義から確認します。ただし設定を見るだけでは、実際にその設定が働いているかは分かりません。テスト用のデータで動かしてみると確実になります。
設定の確認に加えて、実際に動かしてみると確実になる
🧭 動かして確かめる
与信限度を超えた受注を入力できないという統制であれば、限度を超えた金額を入力してみて、実際にエラーになるかを確かめます。テスト環境があればそこで行い、なければ本番環境で入力の途中まで進めて確認するという方法もあります。
設定を見るだけで終わらせず、動かしてみるのが確実
自動計算であれば、システムが出した金額を自分でも計算してみて一致するかを見ます。単価と数量から金額を出すという単純な処理でも、端数の処理や税率の適用に誤りがあることがあります。
自動照合であれば、一致しなかった場合にどうなるかを確かめます。処理が止まるのか、警告が出るだけで進めるのか、警告を無視できるのかという点です。警告が出るだけで担当者が無視できる状態であれば、統制としては弱くなります。
この確認は、初年度に丁寧に行っておけば、翌年度以降は設定が変わっていないことの確認で足りるようになります。初年度の投資が後で効いてくる領域です。
依拠の条件の整理から確認の手順まで、実務に落とす形をご提案します。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の導入、内部監査対応を行っている公認会計士・税理士が直接対応します。初回のご相談は無料です。
📊 依拠できるかの判断
業務処理統制の評価を簡素化できるのは、IT全般統制が有効な場合に限られます。プログラムと設定が期を通じて変わっていないことが、全般統制によって担保されているという関係です。
依拠できるかは全般統制の評価結果で決まる
変更管理に不備があれば、期の途中でプログラムが変わっていた可能性が否定できません。この場合、業務処理統制が期を通じて同じ結果を出していたとは言えず、期間にわたって個別に評価するか、手作業の統制で補うことになります。
アクセス管理に不備がある場合も同様です。設定を変更できる権限が広く与えられていれば、設定が変えられた可能性が残ります。設定変更の履歴が残っていれば、それを確かめることで補える場合もあります。
期中にシステムを入れ替えた場合は、入替の前後で分けて評価します。前のシステムについては入替までの期間、新しいシステムについては入替後の期間を対象にします。新しいシステムの全般統制は、稼働直後は整っていないことが多いため、丁寧に確かめます。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら
🗂 手作業が残る部分
自動化された処理の前後には、必ず手作業が残ります。データを入力する作業、出力された結果を確認する作業、例外的な処理を判断する作業といったものです。
入力が誤っていれば、いくらシステムが正しく計算しても結果は誤ります。したがって、入力の正確性を担保する統制が別に必要になります。二重入力による照合、入力後の確認、システム間の連携による自動取り込みといった方法があります。
出力の確認も同様です。システムが出した数値を誰も見ていないという状態では、設定の誤りに気づけません。月次で前期比較を行う、異常値を抽出して確認するといった手作業の統制が、システムの誤りを検出する役割を果たします。
評価では、この手作業の部分も含めて統制の全体を見ます。自動化されているから安心という整理にはならず、自動と手作業の組み合わせでリスクがカバーされているかを確かめることになります。
⚖️ 過年度の結果の利用
業務処理統制についても、過年度の評価結果を利用できる場合があります。システムに変更がなく、全般統制が有効で、前年度の評価で不備がなかったという条件です。
利用する場合でも、当年度に設定が変わっていないことは確かめます。設定の画面を出力して前年度のものと比較する、変更管理の記録にそのシステムの変更がないことを確かめるといった方法があります。
この確認を仕組みにしておくと、毎年の作業がかなり軽くなります。初年度に設定の出力を調書に保存しておけば、翌年度は比較するだけで済みます。自動化された統制の数が多い会社ほど、この積み重ねが効いてきます。
❓ よくある質問
A. 設定を見るだけでは実際に働いているかは分かりません。テスト用のデータで動かしてみると確実になります。
A. テスト環境があればそこで行います。なければ本番環境で入力の途中まで進めて確認するという方法もあります。
A. システムが出した金額を自分でも計算して一致するかを見ます。端数の処理や税率の適用に誤りがあることがあります。
A. 一致しなかった場合にどうなるかです。処理が止まるのか、警告が出るだけで進めるのか、警告を無視できるのかを確かめます。
A. IT全般統制が有効であることです。プログラムと設定が期を通じて変わっていないことが担保されている必要があります。
A. 入替の前後で分けて評価します。新しいシステムの全般統制は稼働直後は整っていないことが多いため、丁寧に確かめます。
A. 前後に必ず手作業が残ります。入力が誤っていれば結果も誤るため、入力の正確性を担保する統制が別に必要になります。
A. システムに変更がなく、全般統制が有効で、前年度に不備がなかった場合に利用できます。設定が変わっていないことは当年度に確かめます。
📄 まとめ
IT業務処理統制の評価は、設定を確かめたうえで実際に動かしてみるのが確実です。
自動照合では、一致しなかった場合の扱いまで確かめます。警告を無視できる状態では統制として弱くなります。
依拠できるかはIT全般統制の評価結果で決まります。変更管理やアクセス管理に不備があれば依拠できません。
自動化された処理の前後には手作業が残ります。入力の正確性と出力の確認を含めて統制の全体を見ます。
初年度に設定を調書に保存しておけば、翌年度は比較するだけで済みます。この積み重ねが作業を軽くします。
公認会計士・税理士 鈴木佑也（鈴木佑也公認会計士税理士事務所／東京都台東区入谷）。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンス、企業価値評価、IFRS影響度調査、不正調査、フォレンジックに携わりました。現在は上場申請書類（Ⅰの部・Ⅱの部）の作成支援、内部統制の導入と内部監査対応、新収益認識基準やIFRSの導入支援、社内諸規程の整備を行っています。
本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。実際の制度設計や運用にあたっては、監査法人および主幹事証券会社にご確認ください。
制度の全体像
評価範囲の決定
文書化
評価の実施
IT統制
- IT統制の4つの分類
- IT全般統制の評価
- IT業務処理統制の評価（この記事）
不備と改善
整備と設計
報告と立て直し
