インタビュー＆コラム

１．IT全般統制（ITGC）とは？

IT全般統制（Information Technology General Control：ITGC）とは、企業情報の信頼性を確保するために利用するITシステムを、適切に運用管理する仕組みのことです。

金融庁が公表する「財務報告に係る内部統制の評価及び監査の基準」では以下のように定義されています。

IT全般統制とは、業務処理統制が有効に機能する環境を保証するための統制活動を意味しており、通常、複数の業務処理統制に関係する方針と手続をいう。

いくら内部統制に関する優れた機能を持ったシステムを利用していても、運用が適切に行われていなければ統制が取れているとは言えません。システムを適切に運用管理するためにIT全般統制への対応が必要です。

IT全般統制は大きく4つの内容から構成されています。それぞれ具体例を交えて解説します。

ＩＴに係る全般統制の具体例としては、以下のような項目が挙げられる。
・システムの開発、保守に係る管理
・システムの運用・管理
・内外からのアクセス管理などシステムの安全性の確保
・外部委託に関する契約の管理

システムの開発、保守に係る管理とは、システムの開発や変更に伴う承認ルールや手続きの制定、テストの実施、移行計画・移行結果の作成および承認など、開発から保守に関する運用ルールを指します。

運用ルールが何もない状態だと、どのような問題が起こるのでしょうか。たとえば、担当者の判断によってテストが省略され、十分なテストが実施されないまま本番リリースまで進み、本番稼働後に誤った数字で財務情報が生成されてしまう、といった問題が起こりえます。

こういった問題発生のリスクを適切にコントロールするために、開発から保守に関する運用ルールが必要です。

自社開発の場合は、要件定義、設計、開発、テスト、移行といった工程ごとに必要なドキュメントを残し、レビューおよび承認を行うことで統制を図ります。

パッケージソフトやクラウドシステムを導入する場合も自社開発のシステムと同様に運用ルールは必要です。しかし、自社ではシステムを開発せず、保守もベンダーに任せることが一般的なため、自社開発の場合と対応が大きく異なります。

対応の違いは、たとえば下記が挙げられます。
・設計や開発、機能を保証するためのテストが不要
・承認ルールや手続きも自社開発の場合と比べて簡素化することが可能

内部統制に関して金融庁が公表している文書等は、初版が10年以上前であり、当時上場企業で主流だった自社開発システムの利用を前提とした記載になっています（もちろん更新はされています）。
そのためパッケージソフトなどを利用される場合は、対応が異なりますので留意が必要です。

システムの運用・管理とはシステムを安定稼働し続けるために必要な運用ルールを指します。具体的には下記のような管理項目が挙げられます。

● 障害管理
● データ管理
● ソフトウェア管理
● ハードウェア管理
●ネットワーク管理
●構成管理
● 設備管理　など

例えば、ハードウェア管理ではハードウェアを入手してから廃棄するまでの一連の手順を定めます。ソフトウェア管理では管理台帳を作成し、利用しているソフトウェアを一元管理するルールを定めます。

また、通常時の運用に留まらず、サーバーがダウンした場合は関係者へ連絡して手順に沿った対応を行う、データ損失に備えて定期的にデータのバックアップを取得する、といった有事の際を想定した運用ルールや手順を整備することも必要です。

内外からのアクセス管理などシステムの安全性の確保とは、アプリケーション、OS、ネットワーク、データベース、サーバールームなど、社内の情報資産に対するあらゆるアクセス経路において、安全にアクセスするために遵守すべき運用ルールを指します。

最近では特に情報漏えいや不正アクセスの事故が多く、被害規模も大きいため、アクセス管理の徹底は企業の信頼や利益の確保へ繋がる重要な要素です。

具体的に整備すべき運用ルールは下記のとおりです。
●アカウントの新規発行
●アカウントの変更・削除
●アカウントの棚卸
●権限の設定・変更
●権限の棚卸
●特権ID（※）の貸出・付与
●サーバールームへの入退室　など

※マスターデータ等の作成・変更・削除や、プログラムの修正が可能な特別なIDを持ったアカウントのこと。

外部委託に関する契約の管理とは、……

記事提供元

クラウド会計なら勘定奉行のOBC

56万社の豊富な導入実績に加え、過去5年、IPO実現企業の半数以上がご採用。
法改正など業務ご担当者が知っておくべき情報も全国セミナーでタイムリーにご提供。
業務標準化、生産性向上は奉行シリーズにおまかせあれ！

株式会社オービックビジネスコンサルタント