ITGC（IT全般統制）の4領域と、経理が決める評価対象

ITGC（IT全般統制）の整備を情報システム部門（以下、情シス）に任せきりにすると、申請書やログはそろっても、それが財務の数字とどうつながるのかを誰も説明できない状態になるおそれがある。筆者は、ITGCは情シスの運用だけでは整わないと考えている。どのシステムのどの権限が数字を動かすのかを、経理が決めることが出発点になる。対象と権限を決めるのは経理で、決めた内容を日々運用するのが情シスである。

ITGC（IT全般統制）とは

ITGCは IT General Controls の略で、日本語ではIT全般統制と呼ぶ。金融庁の企業会計審議会が定めた実施基準では「ITに係る全般統制」と書かれており、業務処理統制が有効に機能する環境を保証するための統制活動で、通常、複数の業務処理統制に関係する方針と手続をいうと定義されている。

具体例として、実施基準は次の4つを挙げている。

• システムの開発、保守に係る管理
• システムの運用・管理
• 内外からのアクセス管理などシステムの安全性の確保
• 外部委託に関する契約の管理

この記事では、この4つを順に「開発・変更管理」「運用管理」「アクセス管理」「外部委託管理」と呼ぶ。

IT全般統制（ITGC）が要る理由も、実施基準に書かれている。システムに一度適切な統制を組み込めば、意図的に手を加えない限り継続して機能する。しかし、その後のシステムの変更で必要な統制が組み込まれなかったり、プログラムに不正な改ざんや不正なアクセスが行われたりすると、組み込んだ統制の有効性が保証されなくなる可能性がある。

内部統制・J-SOXとの関係

内部統制の基本的要素は6つあり、その1つが「ITへの対応」である。J-SOX（内部統制報告制度）では、経営者が財務報告に係る内部統制を評価し、監査人がその評価を監査する。ITの統制は全般統制と業務処理統制に分けられ、実施基準は、経営者はこの両者を評価する必要があるとしている。

内部統制の全体の中でのITGCの位置を図にした。

実施基準は、J-SOXにおけるITの統制は財務報告の信頼性を確保するために整備するもので、それ以外の目的のためのITの統制の整備と運用を直接的に求めるものではないとも述べている。

ITACとの違い

ITACは IT Application Controls の略で、実施基準の「ITに係る業務処理統制」に当たる。業務を管理するシステムで、承認された業務がすべて正確に処理、記録されることを確保するために、業務プロセスに組み込まれた統制である。実施基準は例として、入力情報の完全性・正確性・正当性を確保する統制、例外処理（エラー）の修正と再処理、マスタ・データの維持管理、システムの利用に関する認証や操作範囲の限定などのアクセスの管理を挙げている。

2つは片方だけでは足りない。実施基準は、全般統制が有効に機能していると評価されても、それだけで業務処理統制も有効だという結論にはならないとしている。逆に、全般統制に不備があれば、業務処理統制が有効に整備されていても、その運用を継続的に維持できない可能性がある。

評価対象のシステムをどう選ぶか

評価の対象は、会計に数字が流れるシステムから選ぶ。金融庁のQ&Aは、企業の利用するすべてのシステムが評価対象となるのではなく、財務報告に係る内部統制に関連するシステムが評価対象となるとしている。

選び方の順序も、実施基準とQ&Aに示されている。取引の発生から集計、記帳までの会計処理の過程を確認し、財務諸表の重要な勘定科目がどの業務プロセスとシステムに関連しているかを整理する。そのうえで、重要な虚偽記載のリスクを低減するための業務処理統制と、それに関連する全般統制を、評価の対象として識別する。

この順序の前半を決められるのは経理である。どの勘定科目が重要か、その数字がどのシステムを通って会計システムに入るか、途中のどの自動処理に頼っているかは、決算を組んでいる側が知っている。

設例で考える。売上高と売掛金を評価範囲に入れた会社で、受注と出荷は販売管理システム、請求と入金消込は債権管理の機能、仕訳は会計システムで処理しているとする。販売管理システムが出荷の実績から売上の仕訳を自動で作り、経理がその自動計上に頼っているなら、販売管理システムと会計システムの両方が対象になる。入金消込の自動処理に頼っているなら、債権管理の機能も対象に入る。社内の連絡に使うチャットや、数字が会計に流れない営業支援のツールは対象から外れる。

評価単位について、実施基準は例を示している。販売、購買、物流のシステムをシステム部が管理し、会計システムは経理部が市販のパッケージ・ソフトウェアを導入して管理している場合、評価単位は「システム部」と「経理部」の2つとして識別する。

4つの領域

4つの領域ごとに、何を確かめる統制なのかを見る。実施基準は、経営者が評価する観点としても、監査人が検討する項目としても、同じ4つを挙げている。以下の留意点は、監査人が検討する際の例として実施基準に書かれたものである。

開発・変更管理

新しいシステムの導入と、既存のシステムやプログラムの変更を管理する統制である。実施基準は、企業が財務報告に関連してシステムやソフトウェアを開発、調達、変更する場合に、承認と導入前の試験が適切に行われているかを監査人が確認するとしている。留意点の例には、事前に経営者または適切な管理者の承認を得ていること、導入に当たり十分な試験が行われ、その結果が利用部門の適切な管理者とIT部門の適切な管理者により承認されていること、開発や変更の過程が記録され保存されていること、データを移行する場合に誤謬や不正を防止する対策が取られていることが挙がっている。

この留意点の例では、IT部門の管理者に加えて、利用部門の管理者の承認も挙がっている。会計システムの変更なら、利用部門は経理である。販売管理など他部門のシステムでも、会計の数字に影響する変更は経理が確かめる形を筆者は勧める。

運用管理

稼働しているシステムを安定して動かすための統制である。実施基準が留意点の例に挙げるのは2つある。重要なデータやソフトウェアについて、障害や故障によるデータの消失に備えて内容を保存し、迅速な復旧を図る対策が取られていること。障害や故障が発生した場合に、状況の把握、分析、解決などの対応が適切に行われていること。

経理の側では、システム間のデータ連携が止まったときに、会計の数字への影響を誰がどう確かめるかを決めておく。

アクセス管理

データ、システム、ソフトウェアの不正使用、改ざん、破壊を防止するための統制である。実施基準は、財務報告に係る内部統制に関連するシステムやソフトウェアについて、適切なアクセス管理等の方針を定めているかを監査人が確認するとしている。

実務で扱う対象は、筆者の整理では3つある。利用者IDの付与・変更・削除、強い権限を持つ特権IDの管理、権限の定期的な見直しである。誰にどの権限を与えてよいかは、業務の分担を知っている側が決める。伝票の入力と承認を同じ人に持たせない、仕入先マスタの変更と支払の実行を分ける、といった判断である。

外部委託管理

システムの開発、運用、保守を外部に委託している場合の統制である。実施基準は、企業が財務報告に関連してITに係る業務を外部委託している場合、適切に外部委託に関する契約の管理を行っているかを監査人が検討するとしている。2023年の改訂では、ITに関する業務を外部組織に委託するケースもあり、ITの委託業務に係る統制の重要性が増しているという記述が加わった。

委託しても、責任は委託した側に残る。実施基準は、委託業務に関しては委託者が責任を有しており、委託業務に係る内部統制も評価の範囲に含まれるとしている。

監査で見られる証跡と、よく出る不備

4つの領域について、統制の例、確かめに使う証跡、不備の例を表にまとめた。

4つの領域と証跡の対応を1枚にすると、次のようになる。

不備が見つかった場合の扱いも押さえておく。実施基準は、ITに係る全般統制の不備は、財務報告の重要な事項に虚偽記載が発生するリスクに直接につながるものではないため、直ちに開示すべき重要な不備と評価されるものではないとしている。ただし、これは不備を放置してよいという意味ではない。経営者は、代替的または補完的な他の内部統制により、財務報告の信頼性という目的が達成されているかを検討する。監査の側の記述でも、直ちに開示すべき重要な不備と評価されないのは、業務処理統制が現に有効に機能していることが検証できている場合とされ、不備はすみやかに改善することが求められている。Q&Aは、プログラムの変更に適切な承認を得る仕組みがない場合でも、事後的に、業務処理統制に係る実際のプログラムに変更がないことを確認できたような場合には、当該システムの内部統制は有効に機能していると位置づけることができると考えられるとしている。不備を見つけたら、是正と並行して、数字へ影響する変更がなかったかを確かめる。

ERPを入れ替えるときのITGC

ERPを入れ替える年は、4つの領域のすべてが動く。開発・変更管理では、新システムの試験と承認、旧システムからのデータ移行が評価の対象になる。実施基準は、新たなシステムにデータを移行する場合に誤謬、不正等を防止する対策が取られていること、利用者である従業員が適切な計画に基づき教育研修を受けていることを、留意点の例に挙げている。

SAPのようなERPでは、筆者は次の3点を経理が先に決めておくことを勧める。

1つ目は権限である。どの取引をどの担当に持たせ、どの組み合わせを同じ人に持たせないかを、ロールを設計する段階で決める。筆者は、稼働した後に分けるほうが手間がかかると見ている。考え方はSAPの権限設計と職務分掌（SoD）、内部統制を仕組みで担保する実務と判断基準で扱った。

2つ目は移送である。SAPでは、勘定の決定などの設定変更を、開発機から検証機、本番機へ移送して反映する。設定の変更は、その設定を使う、その後の伝票すべてに効く。どの変更に経理の承認が要るかを決めておく。詳しくはSAPの設定変更（トランスポート）は誰が承認すべきか、移送の運用と統制に書いた。

3つ目は特権IDである。稼働の直後は、障害対応のために強い権限を使う場面が増えることがある。誰に、どの手続で貸し、使った後に誰が記録を点検するかを決める。運用の作り方はSAPの緊急時特権ID（Firefighter）は誰にいつ渡すか、本番の強い権限の運用にまとめた。

稼働の時期も、評価の日程と合わせて決める。経営者による評価の基準日は期末日である。金融庁のQ&Aは、内部統制監査を実施しにくくなることをもって、期末日前の一定の期間にシステム変更等を行うべきでないと監査人が結論づけることは適切でないとしている。下期のシステム変更が内部統制に重要な影響を及ぼす場合でも、経営者は重要な変更部分についてのみ追加手続の実施を検討すれば足りる。一方で、期末日の直後に切替を予定している場合でも、期末日に存在する変更前のシステムの統制は評価の対象であり、評価を省略することはできない。

監査法人にシステムの参照権限を渡す場合の判断は監査法人にSAPの参照権限を渡すと、監査対応の工数は実際どこまで減るのかで、統制をシステムの仕組みに置き換える設計はS/4HANAで内部統制を効かせる方法、証跡・承認ワークフロー・例外検知の設計で扱った。

クラウドサービスを使うときの見方

会計や経費精算、給与計算にクラウドサービスを使う場合、サーバーの運用やプログラムの変更は事業者の側で行われる。ここで使えるのが、事業者（受託会社）の内部統制について監査人が保証した報告書である。

実施基準は、委託業務が重要な業務プロセスの一部を構成している場合、経営者は受託会社の内部統制の有効性を評価しなければならないとしている。評価の方法として挙げられているのは、委託業務の結果を自社でサンプリングして検証する方法と、受託会社から評価結果を記載した報告書等を入手して代替手段とする方法である。後者の場合、経営者は、その報告書等が十分な証拠を提供しているかどうかを検討しなければならない。

日本では、日本公認会計士協会の保証業務実務指針3402がこの報告書を定めている。同協会の実務ガイダンスは、想定される受託業務の例にクラウドサービスを挙げている。海外の事業者が出すSOC 1報告書も、米国公認会計士協会の枠組みで、利用する会社の財務報告に係る内部統制に関連する受託会社の統制を対象にした報告書である。報告書には2つの種類がある。

報告書を入手したら、筆者は次の3点を読むことを勧める。

• 対象の期間が、自社の事業年度をどこまで覆っているか。覆っていない期間があれば、その間の変更の有無を事業者に確かめる。実務ガイダンスは、委託会社の監査人の手続として、対象期間の後の変更の有無を記載した書面（ロールフォワード・レター、ブリッジ・レター）を入手して検討することも考えられるとしている。筆者は、利用する会社の側でも同じ書面を事業者に求めるのがよいと考えている。
• 運用評価手続の結果に、自社が頼っている統制に関わる指摘が記載されていないか。
• 「委託会社の相補的な内部統制」として何が書かれているか。これは、利用する会社の側で整備されることを事業者が想定している統制である。利用者IDの管理や、出力された結果の確認は、利用する会社に残ることがある。

報告書を入手しても、自社に残る統制の評価は要る。なお、金融庁のQ&Aは、受託会社の評価結果を利用する場合でも、報告の内容や様式は業務等の状況に応じて適切に判断すべきで、保証業務実務指針3402に基づく報告書がいつも必要になるわけではないとしている。

経理と情シスの分担

ITGCの仕事を、決めることと運用することに分けると、分担が見えやすい。筆者の整理を表にした。

筆者が特に注意しているのは、権限の見直しである。情シスは利用者と権限の一覧を出力できるが、その権限が本人の今の仕事に合っているかは、業務を知っている部門が判断する。一覧を情シスが出し、経理の管理者が自部門の分を確かめて記録を残す形にする。

変更の承認も同じである。変更で勘定の行き先や金額の計算が変わるかどうかは、経理が判定する。変更申請の様式に「会計の数字に影響するか」の欄を設け、影響するものは経理の承認を経る流れにしておくと、判定の漏れを減らせる。内部統制を文書化した資料の更新を変更の申請に連動させる考え方は内部統制の3点セットの作り方と更新、形だけの文書にしない運用で扱った。

よくある質問

ITGCの対象システムは

財務報告に係る内部統制に関連するシステムである。会社が使うすべてのシステムではない。重要な勘定科目から、取引の発生、集計、記帳までの過程をたどり、数字が通るシステムと、頼っている業務処理統制を特定する。そのシステムを支えるIT基盤が、全般統制の評価単位になる。

ITACとの違いは

ITACは、入力時のチェックや自動計算のように、個々のシステムに組み込まれて取引を正しく処理する統制である。ITGCは、その統制が働き続ける環境を保つ統制で、プログラムの変更、システムの運用、アクセス、外部委託を管理する。実施基準は、経営者は両者を評価する必要があるとしている。

J-SOXとの関係は

ITGCは、J-SOXで経営者が評価する内部統制の一部である。内部統制の基本的要素の1つに「ITへの対応」があり、ITの統制は全般統制と業務処理統制に分けられる。J-SOXで評価するのは、財務報告の信頼性に関わる範囲のITの統制である。

非上場でも要るか

内部統制報告書の提出が義務づけられているのは、金融商品取引法第24条の4の4第1項が定める、上場会社などである。非上場の会社に、同じ制度としての評価の義務はない。ただし、上場を準備している会社は、上場後にこの制度の対象になる。筆者は、ERPを入れ替える会社とIPOを準備する会社は、権限と変更管理の設計を早い段階で始めるのがよいと考えている。過去の期間の記録は、後から作れないからである。

評価の頻度は

ITを利用した内部統制の評価は、原則として毎期実施する。ただし、実施基準には例外の定めがある。IT全般統制の項目のうち、財務報告の信頼性に特に重要な影響を及ぼす項目を除き、前年度の評価結果が有効で、前年度の整備状況と重要な変更がない項目は、その旨を記録することで前年度の運用状況の評価結果を継続して利用できる。この取扱いは、IT環境の変化を踏まえて慎重に判断し、必要に応じて監査人と協議して行うべきもので、特定の年数を機械的に適用すべきものではないとされている。