会計システム、販売管理、購買管理、給与計算、経費精算、ワークフロー、連結決算、開示支援、電子契約、請求書発行、支払管理。
いまや、財務報告に関係する業務の多くが、クラウドサービスや外部委託先に支えられています。自社サーバーを持たず、SaaSを利用すること自体は、もはや珍しいことではありません。
むしろ、上場会社や上場準備会社にとっても、クラウドを前提に業務を標準化し、証跡を残し、決算を早期化することは、現実的な選択肢になっています。
しかし、J-SOXの観点では、ここで一つ大きな誤解が起こります。
・「クラウドだから、IT統制はベンダー側の問題である」
・「外部委託しているから、自社では評価しなくてよい」
・「SOCレポートを入手しているから、それで十分である」
・「大手クラウドサービスだから、監査上も問題ないはずである」
いずれも、そのままでは危うい理解です。
クラウドや外部委託先を利用していても、財務報告に係る内部統制について説明責任を負うのは、会社自身です。委託先が処理している業務であっても、それが財務諸表や開示事項の作成基礎に重要な影響を与えるのであれば、J-SOX上の評価対象となり得ます。
金融庁の内部統制報告制度Q&Aにおいても、外部に委託した業務が財務報告の信頼性に影響を及ぼすものであれば、評価範囲に含めるかどうかを検討する必要があるとされています。そして、取引の承認、実行、計算、集計、記録、情報システムの開発・運用・保守等に関するものは、財務報告の信頼性に影響を及ぼす委託業務に含まれ得る、と整理されています。
出典：金融庁｜内部統制報告制度に関するQ&A
この記事では、クラウド・外部委託先利用時のIT統制を、単なるセキュリティチェックやベンダー管理としてではなく、J-SOX上「どのリスクに対して、誰が、どの証跡で、どこまで説明するか」という実務判断の問題として整理していきます。
クラウド・外部委託しても、内部統制責任はなくならない
まず押さえておきたい原則は、明確です。
クラウドサービスや外部委託先を利用しても、財務報告に係る内部統制の整備・運用・評価に関する会社の責任は、なくなりません。
経済産業省の「財務報告に係るIT統制ガイダンス」でも、IT業務を外部に委託する場合があることを前提としつつ、内部統制の整備・運用は企業の責任であるため、外部委託についてもIT統制の評価の一部として検証するとされています。
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）
この点は、実務上とても重要です。
たとえば、給与計算を外部委託している場合、その計算結果は、人件費、未払費用、預り金、社会保険料、源泉所得税といった財務数値に影響します。
会計システムをクラウドで利用している場合であれば、仕訳入力、承認、マスタ管理、アクセス権限、バックアップ、ログ保存が、そのまま財務報告の信頼性に関わってきます。
販売管理SaaSから会計システムへ売上データを連携している場合には、売上計上、売掛金、返品、値引、期間帰属、インターフェースエラーの管理が問題になります。
こうした業務について、「ベンダーがやっているから分からない」という説明では、監査法人にも、内部監査にも、経営層にも通用しません。
もっとも、J-SOX上の実務判断として、外部委託先の統制そのものをすべて自社で再実施する必要があるわけではありません。ただし、少なくとも次の問いには答えられる状態が求められます。
・どの業務を外部委託しているのか
・その業務は、どの勘定科目・開示項目に影響するのか
・委託先のどの処理に依存しているのか
・委託先の統制状況をどのように把握しているのか
・自社側に残る統制は何か
・障害、誤処理、データ消失、委託先変更が起きた場合にどう対応するのか
・その判断過程をどの証跡で説明できるのか
外部委託は「責任の移転」ではなく、「統制の分担」と捉えるべきものです。
評価対象となる外部委託業務とは何か
J-SOX上、すべての外部委託先を評価対象にする必要はありません。
重要なのは、その委託業務が財務報告の信頼性に重要な影響を及ぼすかどうかです。
金融庁Q&Aでは、財務諸表や開示事項の作成基礎となる取引の承認、実行、計算、集計、記録等に関するもの、そして情報システムの開発・運用・保守等に関するもののうち、財務報告に対する影響が重要であるものが内部統制評価の対象になる、と整理されています。
出典：金融庁｜内部統制報告制度に関するQ&A
実務上、評価対象になり得るものとしては、たとえば次のようなものが挙げられます。
| 区分 | 例 | 財務報告への主な影響 |
|---|---|---|
| 会計・ERPクラウド | 会計システム、ERP、仕訳承認、決算機能 | 仕訳、残高、承認、マスタ、決算締め |
| 販売・購買SaaS | 販売管理、請求、購買、発注、検収 | 売上、売掛金、仕入、買掛金、期間帰属 |
| 給与・人事システム | 給与計算、勤怠、社会保険、年末調整 | 人件費、未払費用、預り金、個人情報 |
| 経費精算・ワークフロー | 経費申請、稟議、支払承認 | 費用計上、承認権限、証跡 |
| 連結・開示システム | 連結パッケージ、開示支援、XBRL関連 | 連結財務諸表、注記、開示基礎資料 |
| データセンター・IaaS | サーバー、DB、バックアップ、運用監視 | 可用性、データ保全、アクセス管理 |
| 決算・税額計算委託 | 税効果、退職給付、株式報酬、税額計算 | 見積り、重要な決算整理、注記 |
| 決済・支払サービス | 電子決済、振込データ、収納代行 | 現預金、売掛金、支払債務、資金移動 |
一方で、財務報告に重要な影響を与えない一般的な事務サービスや、単なる備品購入先、通常の仕入先・得意先についてまで、J-SOX上の委託業務として内部統制評価を求めるわけではありません。
金融庁Q&Aでも、重要な業務プロセスを構成している委託業務の委託先を除き、企業集団外の取引先企業は内部統制の評価範囲に含まれない、とされています。
出典：金融庁｜内部統制報告制度に関するQ&A
評価範囲の線引きは、「委託先かどうか」ではなく、「財務報告リスクにどう関係するか」で行う。この視点を持っておくと、判断がぶれにくくなります。
グループ会社への委託は「外部委託」とは限らない
もう一つ、実務で混乱しやすいのが、グループ会社への業務委託です。
親会社が子会社に経理業務を委託している。シェアードサービス会社が給与計算や会計処理を担っている。海外子会社がグループ共通システムを運用している。
このような場合、形式的には「委託」ですが、J-SOX上の整理としては、企業集団内部における業務として扱う必要があります。
金融庁Q&Aでは、連結財務諸表を構成する子会社や関連会社に重要な業務プロセスを構成する業務を委託する場合、それは実施基準でいう外部に委託した業務ではなく、企業集団内部における本来の業務として、財務報告に係る内部統制の評価範囲に含まれる、とされています。
出典：金融庁｜内部統制報告制度に関するQ&A
つまり、グループ会社が担っているから評価不要、ということにはなりません。
むしろ、親会社はグループ全体の財務報告責任を負う立場にあります。子会社やシェアードサービス会社の業務・IT・証跡・権限・モニタリングについて、説明できる状態にしておく必要があります。
この点は、グループJ-SOX、連結決算、子会社管理の論点にもつながっていきます。
クラウド利用時に見落とされやすい「責任分界」
クラウド統制で最も重要なのは、責任分界です。
クラウドサービスを利用すると、サーバー、ネットワーク、データセンター、アプリケーション、バックアップ、セキュリティ、障害対応などの一部を、サービス提供者が担うことになります。しかし、すべてをサービス提供者が担うわけではありません。
たとえば、SaaS型の会計システムであっても、次のような事項は自社側の責任として残ることが多いものです。
・ユーザーIDの発行・削除・権限付与
・承認ルートの設定
・マスタ登録・変更の承認
・仕訳入力・承認
・決算締め処理
・CSV取込データの作成・確認
・外部システムとの連携設定
・証跡の出力・保存
・ログ保存期間の確認
・重要データのエクスポート
・バックアップ取得の要否判断
・退職者・異動者のアクセス削除
・設定変更やバージョンアップの影響確認
一方、サービス提供者側が担うことが多いのは、データセンター運用、基盤インフラ、システム稼働監視、物理的セキュリティ、プログラム保守、標準的なバックアップ、障害時復旧などです。
ただし、これもサービス形態、契約内容、利用プラン、オプションによって異なります。
そのため、クラウド利用時のIT統制では、次のように整理しておくことが欠かせません。
| 項目 | サービス提供者側の統制 | 自社側に残る統制 |
|---|---|---|
| アクセス管理 | 認証基盤、ログイン機能、権限管理機能の提供 | ID申請・承認、退職者削除、権限棚卸 |
| 変更管理 | アプリケーション更新、障害修正、リリース管理 | バージョンアップ影響確認、業務手順更新 |
| 運用管理 | 稼働監視、バックアップ、障害対応 | 障害連絡の確認、代替手続、証跡保存 |
| データ保全 | 標準バックアップ、冗長化、復旧機能 | エクスポート、保存期間確認、復元テスト要否 |
| 証跡・ログ | ログ機能、承認履歴、監査ログの提供 | 必要ログの保存、閲覧権限、運用評価時の提示 |
| セキュリティ | 暗号化、脆弱性対応、物理的保護 | 利用者教育、端末管理、共有ID禁止 |
| 連携処理 | API、CSV取込機能、連携基盤 | 連携件数・金額の照合、エラー処理 |
もちろん、クラウドサービスの利用によって統制が強くなる面もあります。承認履歴、ログ、変更履歴、ワークフロー、権限設定、データバックアップが標準化されるからです。
しかし、責任分界を整理しないまま利用すると、誰も見ていない統制領域が生まれます。
J-SOXで問題になるのは、まさにこの「空白」です。
SOCレポートは有効だが、それだけで十分とは限らない
クラウド・外部委託先のIT統制を評価する際、よく利用されるのがSOCレポートです。
J-SOX実務で特に関係するのは、財務報告に関連する受託業務の内部統制を対象とするSOC1レポートです。日本では、日本公認会計士協会の保証業務実務指針3402「受託業務に係る内部統制の保証報告書に関する実務指針」に基づく報告書が、実務上参照されています。
JICPAのQ&Aでも、保証業務実務指針3402の対象として、給与計算業務、アプリケーションサービスプロバイダー、クラウドサービス、経理代行業務、電子決済業務、共同システムセンター業務などが想定されています。
出典：日本公認会計士協会｜受託業務に係る内部統制の保証報告書に関するQ&A（実務ガイダンス第4号）
ただし、SOCレポートには限界もあります。
SOCレポートを受け取っただけで、J-SOX上の評価が完了するわけではありません。少なくとも、次の点は確認しておく必要があります。
・SOC1か、SOC2か、SOC3か
・Type1か、Type2か
・対象期間は自社の評価期間をカバーしているか
・対象サービスは自社が利用しているサービスと一致しているか
・対象業務は自社の財務報告リスクに関係しているか
・除外事項付意見や例外事項がないか
・再委託先が一体方式か除外方式か
・相補的な利用者側の内部統制が記載されているか
・自社側で実施すべき統制を実際に運用しているか
・監査法人がその報告書をどの範囲で利用できると考えているか
JICPAの保証業務実務指針3402では、受託会社の保証報告書は、受託会社のシステムが委託会社によってどのように財務報告に使用されているかを理解している者に対して、内部統制を含む当該システムに関する情報を提供する目的のものとされています。
出典：日本公認会計士協会｜保証業務実務指針3402 受託業務に係る内部統制の保証報告書に関する実務指針
つまりSOCレポートは、「読める人が、目的に沿って利用する」ことを前提とした資料です。入手しただけで安心できる性質のものではありません。
SOC1 Type2を入手しても、自社側の統制は残る
J-SOX実務で特に注意しておきたいのは、SOC1 Type2レポートを入手していても、自社側の統制は残るという点です。
多くのSOCレポートには、「相補的な利用者側の内部統制」、またはこれに相当する記載があります。これは、受託会社側の統制だけでは統制目的を達成できず、委託会社側でも一定の統制が適切に設計・運用されていることを前提としている、という意味です。
たとえば、クラウド会計システムのSOCレポートがあっても、次のような自社側統制は残ります。
・利用者IDの申請・承認
・退職者・異動者の権限削除
・管理者権限の棚卸
・承認ルートの設定確認
・仕訳承認の実施
・マスタ変更の申請・承認
・取込データの照合
・エラー処理
・証跡の保存
・異常ログや例外処理の確認
「SOCレポートがあるから、自社ではアクセス権限の棚卸をしなくてよい」という判断には、なりません。
私自身の整理としても、SaaS等のクラウドサービスであっても、すべてのIT全般統制をSOC1に依拠できるわけではないと考えています。アプリケーションレベルの特権ユーザーを含めたID管理、バージョンアップ時の影響度検討、日常的なアプリケーションデータのバックアップと復旧に関する統制などは、自社側で整備・運用し、評価すべき領域です。
SOCレポートは、委託先統制の評価を効率化する手段です。自社側統制を不要にする免罪符ではありません。
SOCレポートがない場合の評価方法
中小規模のクラウドサービス、特定業務のアウトソーシング先、海外ベンダー、専門家への決算支援委託などでは、SOC1 Type2レポートを入手できないこともあります。
この場合でも、ただちに利用できないというわけではありません。
金融庁Q&Aでは、受託会社における内部統制の評価について、委託者が自ら実施する方法、または受託会社が実施した評価結果を利用する方法のいずれでも可能であるとされています。そして、報告の内容や様式は業務等の状況に応じて適切に判断すべきものであり、必ず保証業務実務指針3402に基づく報告書が必要になるわけではない、と整理されています。
出典：金融庁｜内部統制報告制度に関するQ&A
SOCレポートがない場合には、次のような方法を組み合わせていきます。
| 方法 | 内容 | 留意点 |
|---|---|---|
| 契約書・SLA確認 | 業務範囲、責任分界、サービス水準、障害対応を確認 | 契約に書いてあるだけで運用確認にはならない |
| 委託先アンケート | セキュリティ、アクセス、変更管理、BCP等を質問 | 回答の裏付け資料が必要になる場合がある |
| 委託先訪問・ヒアリング | 実際の運用、担当者、証跡を確認 | 監査権・協力義務が契約上必要 |
| 委託先報告書 | 月次報告、障害報告、運用報告、処理件数を確認 | 財務報告リスクとの対応づけが必要 |
| 自社による再計算・サンプリング | 委託先処理結果を一部検算・照合 | 母集団、抽出方法、証跡を残す |
| 第三者認証の確認 | ISO/IEC 27001、ISMAP等を補助情報として確認 | J-SOXの財務報告統制を直接保証するものではない |
| 監査法人との協議 | 代替手続の十分性を事前確認 | 評価前に認識合わせを行う |
外部委託業務の評価方法としては、委託業務結果の報告書と基礎資料との整合性を検証し、必要に応じて一部項目を自社で検算する方法や、受託会社の評価結果を利用する方法が考えられます。
実務上は、「SOCレポートがないから評価不能」ではなく、「どのリスクを、どの代替証跡で説明するか」を設計することが重要です。
契約書・SLAに入れるべき統制上の観点
クラウド・外部委託先のIT統制は、契約段階から始まっています。
契約書やSLAに何も定めていない場合、障害、データ消失、ログ提供、監査対応、再委託、サービス終了時のデータ返還などが問題になったときに、会社側が必要な情報を取得できないことがあります。
外部委託業務の管理目的は、求めるサービスレベルが達成されず、業務処理統制が適切に機能しなくなることを防ぐ点にあります。
その観点から、委託先の選定基準・管理手続、セキュリティ要件、定期報告、監査権、そしてクラウド利用時のサービス品質・セキュリティ管理・サービス継続性などは、外部委託業務管理に係る全般統制として整理しておくべきものと考えています。
契約書・SLAでは、少なくとも次の観点を確認します。
| 項目 | 確認すべき内容 |
|---|---|
| 業務範囲 | 委託する処理、対象データ、対象システム、成果物 |
| 責任分界 | 委託先が担う統制、自社が担う統制、障害時の責任 |
| セキュリティ要件 | アクセス管理、暗号化、脆弱性対応、ログ管理 |
| データ保全 | バックアップ、復元、保存期間、データ削除、返還 |
| 障害時対応 | 障害通知、復旧目標、代替手続、報告内容 |
| 変更管理 | システム変更、仕様変更、バージョンアップ通知 |
| 再委託 | 事前承認、再委託先管理、再々委託の扱い |
| 監査・報告 | SOCレポート、運用報告、監査権、質問対応 |
| 証跡提供 | ログ、承認履歴、操作履歴、データ抽出の可否 |
| 契約終了時 | データ返還、移行支援、削除証明、保存期間 |
| 法令対応 | 個人情報保護、電子帳簿保存、秘密保持、国外移転 |
| サービス継続 | BCP、DR、サポート体制、サービス終了時対応 |
契約書は、法務部門だけの文書ではありません。
J-SOX上は、証跡を取得できるか、監査法人に説明できるか、障害時に決算・開示を継続できるか、という内部統制上の意味を持ちます。
データ保全と障害時対応は「決算が止まるか」で考える
クラウドサービスのリスクを考えるとき、どうしても情報漏えいに目が行きがちです。しかし、J-SOX上は、データの保全と可用性も同じくらい重要です。
たとえば、次のような状況を想定してみてください。
・月次決算中に会計システムへアクセスできない
・四半期決算中に連結システムが停止した
・給与計算データが委託先側で破損した
・支払データ送信後、結果ログを取得できない
・開示基礎資料がクラウドストレージ上で消失した
・電子承認履歴が退職者アカウント削除とともに見られなくなった
・クラウドサービス終了により過年度証跡が参照できなくなった
これらは、単なるITトラブルではありません。決算遅延、開示遅延、監査対応の手戻り、証跡不足、虚偽表示リスクにつながります。
経済産業省のIT統制ガイダンスでは、財務報告に係るITの評価にあたり、財務情報や財務報告の虚偽記載に与える影響を考慮し、重要なIT統制を重点的に検証するとされています。あわせて、IT統制の評価結果を分析し、リスクの高いものから優先順位を付けて対応策を実施することも示されています。
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）
したがって障害時対応は、抽象的に「クラウドは安全か」と考えるのではなく、次のように具体化していく必要があります。
・決算日に止まった場合、何時間まで許容できるか
・復旧までに代替手続を実施できるか
・データの最終バックアップ時点はどこか
・復旧後にデータの完全性をどう確認するか
・障害報告を誰が受け取り、誰に共有するか
・監査法人に提出する証跡はどう確保するか
・開示スケジュールに影響が出る場合、誰が判断するか
クラウド統制の品質は、通常時よりも、異常時に説明できるかどうかで差が出ます。
個人情報・機密情報の委託先管理も無視できない
J-SOXの主目的は、財務報告の信頼性です。したがって、個人情報保護法やサイバーセキュリティ全般を網羅的に扱う制度ではありません。
しかし、給与計算、勤怠管理、販売管理、顧客管理、支払先管理、株主情報、役員報酬、退職給付、ストック・オプションなど、財務報告に関係するクラウド・委託業務には、個人情報や機密情報が含まれることが多くあります。
個人情報保護委員会のガイドラインでは、個人データの取扱いを委託する場合、委託先において安全管理措置が適切に講じられるよう必要かつ適切な監督を行う必要があるとされています。具体的には、委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握が求められます。
出典：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）
また、再委託についても、委託先から事前報告を受ける、または承認を行うこと、必要に応じて監査を行うことなどにより、委託先が再委託先を適切に監督しているかを確認することが望ましいとされています。
出典：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）
J-SOX対応の文脈でも、個人情報や機密情報の漏えい、改ざん、滅失が起きれば、給与計算、債権管理、支払管理、決算証跡、開示資料に影響することがあります。
したがってクラウド・外部委託先管理では、財務報告リスクと情報管理リスクを分断せず、少なくとも重要な財務報告プロセスに関連する範囲では一体で整理することが現実的です。
クラウド利用時に起こりやすいJ-SOX上の不備
クラウドや外部委託先を利用している会社で、実務上よく見られる不備には、次のようなものがあります。
1. システム台帳にクラウドサービスが載っていない
経理部門や現場部門が個別に導入したSaaSが、情報システム部門の台帳に載っていないことがあります。
経費精算、請求書発行、ワークフロー、電子契約、勤怠管理、スプレッドシート連携ツールなどが、財務報告に影響しているにもかかわらず、J-SOXの評価範囲検討に反映されていない状態です。
これは、いわゆるシャドーITの問題です。
評価範囲を判断するには、財務報告に関係するデータの流れを把握し、どのクラウドサービスが、どの勘定科目・業務プロセス・証跡に関係しているかを整理する必要があります。
2. SOCレポートの対象と自社利用範囲が一致していない
SOCレポートを入手していても、対象サービス、対象期間、対象機能、対象拠点が、自社の利用実態と一致していないことがあります。
たとえば、SOCレポートは標準機能のみを対象としており、自社が利用している追加モジュール、API連携、外部アドオン、海外リージョン、再委託先が対象外になっている場合があります。
この場合、SOCレポートだけでは、自社の財務報告リスクを十分に説明できないことがあります。
3. 相補的な利用者側統制を運用していない
SOCレポートに「利用者側で実施すべき統制」が記載されているにもかかわらず、自社側で運用していないケースがあります。
代表例は、ユーザーIDの棚卸、管理者権限のレビュー、承認ルートの定期確認、取込データの照合、ログ確認、エラー処理です。
SOCレポートを入手したら、まず「自社が実施すべき統制」が何かを抽出し、RCMや評価調書に反映する必要があります。
4. 委託先の障害・変更がJ-SOX文書に反映されていない
クラウドサービスのバージョンアップ、仕様変更、料金プラン変更、データ保存期間変更、ログ仕様変更、連携方式変更が起きても、3点セットやRCMが更新されていないことがあります。
クラウドは便利である反面、サービス提供者側で機能変更が行われるため、会社の統制設計が知らないうちに変わってしまうことがあります。
J-SOXでは、システム変更・業務変更・委託先変更を、文書更新と評価見直しのトリガーとして管理すべきです。
5. ログ・証跡保存期間が評価期間に足りない
クラウドサービスの標準ログ保存期間が短く、J-SOX運用評価の時点で、必要なログが残っていないことがあります。
特に、アクセスログ、管理者操作ログ、承認履歴、変更履歴、API連携ログ、エラーログは、運用評価で必要になる場合があります。
標準機能で保存期間が不足する場合は、定期出力、別保管、証跡PDF化、ログ保管オプションの利用などを検討する必要があります。
6. 契約終了時・サービス終了時のデータ移行を考えていない
クラウドサービスは、永続するとは限りません。
サービス終了、契約解除、ベンダー変更、プラン変更、M&A後のシステム統合により、過年度データや承認履歴が見られなくなることがあります。
J-SOX上は、過年度証跡、監査対応、内部監査、訂正対応、税務・法務対応も踏まえ、必要なデータをどの形式で、どの期間保存するかを決めておく必要があります。
委託先管理は「導入時」より「導入後」が重要である
クラウドサービスの導入時には、機能比較、価格、使いやすさ、導入スケジュールに意識が向きがちです。しかし、J-SOX上は、導入後の運用こそが重要になります。
導入時に確認すべきことは、次のとおりです。
・財務報告に関係する業務か
・重要な勘定科目や開示項目に影響するか
・自動計算、自動連携、自動承認の有無
・自社側と委託先側の責任分界
・SOCレポート等の入手可否
・ログ、証跡、承認履歴の保存期間
・バックアップと復元方法
・障害時対応と連絡ルート
・再委託先の有無
・データ移行・契約終了時対応
・電子帳簿保存法や個人情報保護法との関係
・監査法人に提示可能な資料の有無
導入後に確認すべきことは、次のとおりです。
・契約・SLAどおりにサービスが提供されているか
・障害、仕様変更、セキュリティ通知を把握しているか
・ユーザー権限の棚卸を行っているか
・管理者権限が限定されているか
・ログや証跡が評価時点で取得できるか
・SOCレポートの例外事項を確認しているか
・自社側の相補的統制を運用しているか
・3点セット・RCMに変更を反映しているか
・監査法人との協議事項を記録しているか
委託先管理は、選定時のチェックリストで終わるものではありません。継続的なモニタリング、文書更新、評価、改善までを含めて、はじめて統制と呼べます。
RCMにクラウド・外部委託先統制をどう記載するか
クラウド・外部委託先を利用している場合、RCMに単に「クラウド利用」「委託先管理」と書くだけでは不十分です。
次のような項目を、明確にしておく必要があります。
・委託業務の内容
・関連する業務プロセス
・関連する勘定科目・開示項目
・財務報告リスク
・委託先側の統制
・自社側に残る統制
・利用するSOCレポート等
・自社側で実施する追加手続
・証跡の所在
・実施者
・頻度
・評価方法
・例外発生時の対応
たとえば、給与計算をクラウド・外部委託している場合であれば、次のように整理できます。
| 項目 | 記載例 |
|---|---|
| リスク | 給与計算結果が誤り、人件費・未払費用・預り金が誤って計上される |
| 委託先側統制 | 給与計算システムの処理、計算ロジック、システム運用管理 |
| 自社側統制 | 人事マスタ変更承認、勤怠承認、給与計算結果レビュー、支払承認 |
| 証跡 | マスタ変更申請、勤怠承認履歴、給与計算結果、レビュー記録、SOCレポート |
| 評価方法 | SOC1 Type2確認、自社側統制の運用評価、サンプル検算 |
| 注意点 | 例外事項、相補的統制、対象期間、再委託先を確認 |
RCM上は、「委託先の統制」と「自社の統制」を分けて記載することが重要です。
これを分けておかないと、不備が発生したときに、どこで是正すべきかが分からなくなります。
監査法人と早めに協議すべき論点
クラウド・外部委託先利用時のIT統制は、監査法人との認識合わせが遅れると、手戻りになりやすい領域です。
特に、次の論点は早めに協議しておきたいところです。
・どのクラウドサービス・委託業務をJ-SOX評価範囲に含めるか
・SOCレポートの種類、対象期間、対象範囲は十分か
・SOCレポートがない場合の代替手続は十分か
・相補的な利用者側統制をどう評価するか
・委託先の例外事項・不備を自社の不備評価にどう反映するか
・クラウド上のログ・証跡をどの形式で提示するか
・契約書・SLA・障害報告を評価証跡として利用できるか
・システム変更やサービス変更を3点セットにどう反映するか
・海外ベンダーや再委託先の統制をどこまで把握するか
・評価対象期間とSOCレポート対象期間のズレをどう補完するか
経済産業省のIT統制ガイダンスでも、IT統制評価では必要に応じて外部監査人と協議することが望ましいとされています。特に、評価対象とするITの範囲について認識が異なると、不備指摘や是正時間の不足につながる可能性があるため、事業年度のできる限り早い時期に協議し、認識を一致させておくことが望ましいと示されています。
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）
クラウド・外部委託先の統制は、期末にまとめて確認するものではありません。導入時、評価範囲検討時、SOCレポート入手時、システム変更時と、段階的に協議していくことが、実務上は有効です。
クラウド・外部委託は、過剰統制ではなく「重要リスクへの集中」で管理する
クラウドサービスが増えてくると、すべてを詳細に管理しようとするあまり、現場負荷が過大になることがあります。
しかし、J-SOX上重要なのは、すべてのSaaSを同じ重さで評価することではありません。財務報告に重要な影響を与えるクラウド・委託業務から、優先順位を付けることです。
優先度が高いのは、次のようなものです。
・財務諸表数値を直接生成するシステム
・重要な勘定科目の金額計算に使われるシステム
・会計システムへデータ連携するシステム
・決算・連結・開示資料を作成するシステム
・支払データ・口座情報を扱うシステム
・重要な承認証跡を保存するワークフロー
・マスタ管理に関係するシステム
・障害時に決算・開示が止まるシステム
・個人情報・機密情報を大量に扱う委託業務
反対に、財務報告への影響が軽微で、代替手続も容易なものについては、過度に重い統制を設定する必要はありません。
内部統制は、リスクに応じて設計するものです。すべてのクラウドサービスを同じ水準で評価しようとすると、かえって重要な領域に十分な時間を割けなくなります。
クラウド・外部委託先管理を経営管理に接続する
クラウド・外部委託先のIT統制は、守りの監査対応にとどまるものではありません。
適切に設計すれば、次のような経営管理上の効果につながります。
・決算資料の収集が早くなる
・承認証跡が標準化される
・業務の属人化が減る
・部門別・取引先別の数字を早く把握できる
・子会社や拠点の運用状況を可視化できる
・障害時対応やデータ保全が明確になる
・監査法人対応の手戻りが減る
・IPO準備やM&A後の統合に耐えやすくなる
月次決算では、適時・正確な記帳体制を整えることにより、販売・回収、仕入・支払、経費・生産などの動きを適時に記帳し、自社の経営状態を正しく把握できるようになります。
クラウドサービスは、この適時・正確な記帳体制を支える有力な手段になり得ます。
ただし、IT統制が曖昧なまま導入すると、便利になったように見えて、実際には「誰が承認したか分からない」「どのデータが正しいか分からない」「障害時に復旧できない」「監査で証跡を提示できない」という状態になりかねません。
クラウドを経営基盤にするには、業務・会計・IT・証跡・委託先管理をつなげて設計する必要があります。
相談前に整理しておきたいチェックポイント
クラウド・外部委託先利用時のIT統制について専門家に相談する前に、次の項目を整理しておくと、論点が明確になります。
| 確認項目 | 整理する内容 |
|---|---|
| 利用サービス一覧 | 会計、販売、購買、給与、経費、連結、開示、ワークフロー等 |
| 財務報告への影響 | 関連する勘定科目、開示項目、業務プロセス |
| 契約・SLA | 責任分界、障害対応、データ保全、監査権、再委託 |
| SOCレポート | SOC1/2/3、Type1/2、対象期間、対象範囲、例外事項 |
| 自社側統制 | ID管理、権限棚卸、承認、照合、ログ確認、証跡保存 |
| 変更管理 | バージョンアップ、仕様変更、連携変更、委託先変更 |
| 障害対応 | 復旧目標、代替手続、連絡ルート、影響判断 |
| データ保全 | バックアップ、復元、エクスポート、契約終了時対応 |
| 文書化 | 3点セット、RCM、システム台帳、評価調書への反映 |
| 監査法人協議 | 評価範囲、代替手続、不備判断、証跡提示方法 |
これらが整理されていれば、外部専門家との相談は「クラウドが不安です」という抽象的な話ではなく、「どのサービスの、どの統制を、どの証跡で説明すべきか」という具体的な検討に進むことができます。
クラウド・外部委託先利用時のIT統制で専門家に相談すべき場面
次のような状況がある場合、クラウド・外部委託先利用時のIT統制を見直す余地があります。
・財務報告に関係するクラウドサービスの全体像が把握できていない
・システム台帳と実際の利用サービスが一致していない
・SOCレポートを入手しているが、読み方や評価への使い方が分からない
・SOCレポートの対象範囲と自社利用範囲が一致しているか不安がある
・クラウド利用時の自社側統制がRCMに反映されていない
・ログ保存期間や証跡提示方法が監査法人の確認に耐えるか不安がある
・委託先との契約書に監査権、障害報告、データ返還、再委託管理が明記されていない
・決算・開示に関係するクラウド障害時の代替手続が決まっていない
・IPO準備やM&A後の統合に向けて、IT統制・委託先管理を整えたい
・監査法人からクラウド、SOCレポート、外部委託先管理について指摘を受けている
犬飼公認会計士・税理士事務所では、J-SOX対応を、単なるチェックリストや文書化作業ではなく、決算・開示・業務プロセス・IT・委託先管理・証跡をつなぐ「説明できる会社づくり」として整理する支援を行っています。
クラウドサービスや外部委託先をどこまでJ-SOX評価範囲に含めるべきか、SOCレポートをどのように読み、どの自社側統制を補完すべきか、監査法人にどう説明するかを整理したい場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。
出典・参考情報
出典：金融庁｜内部統制報告制度に関するQ&A
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）
出典：経済産業省｜システム監査制度について
出典：日本公認会計士協会｜保証業務実務指針3402 受託業務に係る内部統制の保証報告書に関する実務指針
出典：日本公認会計士協会｜受託業務に係る内部統制の保証報告書に関するQ&A（実務ガイダンス第4号）
出典：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）
重要事項の振り返り
| 論点 | 実務上のポイント |
|---|---|
| 基本原則 | クラウド・外部委託をしても、財務報告に係る内部統制の説明責任は会社に残る |
| 評価範囲 | 財務諸表や開示事項の作成基礎に重要な影響を与える委託業務を評価対象として検討する |
| グループ会社委託 | 連結グループ内の委託は、外部委託ではなく企業集団内部の業務として評価範囲に含めて考える |
| 責任分界 | ベンダー側統制と自社側統制を分け、自社に残るID管理、承認、照合、証跡保存を明確にする |
| SOCレポート | SOC1 Type2は有用だが、対象期間、対象範囲、例外事項、相補的統制を確認する必要がある |
| SOCレポートがない場合 | 契約、SLA、委託先報告、アンケート、訪問、サンプリング検証などを組み合わせて代替手続を設計する |
| 契約・SLA | 監査権、障害報告、データ保全、再委託、契約終了時対応を統制上の観点から確認する |
| 障害時対応 | 決算・開示が止まるリスクを前提に、復旧目標、代替手続、証跡確保を設計する |
| 個人情報・機密情報 | 財務報告に関係する委託業務に個人情報が含まれる場合、委託先監督や再委託管理も重要になる |
| 経営管理への接続 | クラウド統制を整えることは、決算早期化、証跡標準化、業務属人化解消、監査対応の効率化につながる |
