IT全般統制・IT業務処理統制・外部委託｜財務報告リスクにどう接続して評価するか

会計監査や内部統制監査の現場では、IT統制はしばしば「専門家に任せる領域」「ITチームの調書を待つ領域」として扱われます。

しかし、財務報告の観点から見れば、IT統制は技術論だけの問題ではありません。売上、仕入、在庫、固定資産、人件費、資金、連結、決算整理、注記、開示基礎資料は、どのシステムで入力され、どのマスタを使い、どの自動計算を経て、どの帳票として出力され、どのように財務諸表へ流れていくのか。その信頼性を支えているのが、IT全般統制とIT業務処理統制です。

ですから、IT統制評価の本質は、「アクセス権限の棚卸をしたか」「変更管理申請書があるか」「バックアップを取得しているか」といった手続項目の確認ではありません。

監査人が問うべきなのは、次の一点です。

そのIT統制が有効であるという前提に立ったとき、財務報告リスクをどこまで低減できるのか。反対に、そのIT統制が崩れた場合、どの勘定科目、アサーション、監査証拠、内部統制評価、開示に影響するのか。

この記事では、IT全般統制、IT業務処理統制、外部委託・クラウドを、財務報告目的の内部統制として整理します。一般的なサイバーセキュリティ対策全般ではなく、財務諸表監査・内部統制監査において説明可能な判断を形成するための論点に絞ってお話しします。

IT統制は「財務報告の情報の流れ」を支える統制である

IT統制を理解する出発点は、ITそのものではありません。財務報告に至る情報の流れです。

• 販売管理システムで、出荷・請求情報が処理される
• 購買システムで、発注・検収・仕入情報が処理される
• 在庫管理システムで、入出庫、棚卸、評価に関する情報が処理される
• 固定資産システムで、取得、減価償却、除却情報が処理される
• 人事給与システムで、給与、賞与、社会保険料、退職給付の基礎情報が処理される
• 会計システムで、仕訳、残高、試算表が作成される
• 連結・開示システムで、連結修正、注記、開示基礎資料が作成される

この一連の流れのどこかで、データの入力、処理、集計、転送、出力、承認、修正が誤れば、財務諸表に重要な虚偽表示が生じる可能性があります。

監査基準報告書315の実務ガイダンスでも、監査人は、取引の開始から記録、処理、報告に至る業務プロセスのうちITが利用されている部分を識別するために、ITアプリケーションの構成を理解し、情報のインテグリティのリスクに直接対応する情報処理に関連した内部統制を識別・評価するものとされています。
出典：日本公認会計士協会｜監査基準報告書315実務ガイダンス第1号 ITの利用の理解並びにITの利用から生じるリスクの識別と対応に関する監査人の手続に係るQ&A（実務ガイダンス）

つまり、IT統制評価は、システム一覧を眺める作業ではありません。財務報告に至る情報の流れの中で、どこにITが関与し、どの処理に虚偽表示リスクがあり、どの統制がそのリスクを防止・発見・是正しているのかを整理していく作業です。

業務フローを理解するときも同じです。典型的な業務フローを把握したうえで、なぜそのフローが必要なのか、どのリスクに対応しているのかを考える。そこが、内部統制の整備・評価の出発点になります。

IT全社的統制・IT全般統制・IT業務処理統制の関係

財務報告目的でIT統制を整理する場合、少なくとも次の三層を区別しておく必要があります。

区分	役割	典型的な論点
IT全社的統制	組織全体のIT方針、体制、計画、リスク管理を支える	IT方針、情報セキュリティ方針、システム投資管理、IT人材、委託先管理方針
IT全般統制	IT業務処理統制が継続的に機能するための基盤を支える	開発・変更管理、アクセス管理、運用管理、バックアップ、障害対応、外部委託管理
IT業務処理統制	業務プロセス内で個別取引・データを直接処理する	入力チェック、自動計算、マスタ参照、エラー処理、連番管理、インターフェース、出力帳票

経済産業省の財務報告に係るIT統制ガイダンスでは、IT業務処理統制はアプリケーション・システムにおいて処理される財務情報の信頼性に直接関係するものであり、IT全般統制はそのIT業務処理統制が有効に機能するために必要なIT基盤の統制活動である、と整理されています。あわせて、財務報告に係る内部統制におけるIT業務処理統制とIT全般統制は、財務情報を処理するアプリケーション・システムとIT基盤の信頼性確保という範囲に絞られる一方、企業のIT統制全体が財務報告の信頼性だけのために構築されるものではない点にも留意が必要とされています。
出典：経済産業省｜システム管理基準 追補版（財務報告に係るIT統制ガイダンス）

ここで大切なのは、IT全般統制とIT業務処理統制を同列に扱わないことです。

IT業務処理統制は、たとえば「出荷実績がない売上を計上できない」「与信限度を超えた受注を自動停止する」「検収データがない仕入を計上できない」「マスタに登録されていない取引先には支払できない」といった形で、財務報告リスクに直接対応します。

一方でIT全般統制は、そうした自動統制やシステム生成帳票が、年間を通じて変更されず、権限のない者に改竄されず、障害時にも復旧可能である、という前提そのものを支えています。

したがって、IT全般統制に不備がある場合には、個別のIT業務処理統制やシステム生成帳票に依拠できるかどうかが問題になります。

IT統制評価の出発点は「システム名」ではなく「財務報告リスク」

IT統制評価でよくある失敗は、システム一覧から評価を始めてしまうことです。

会計システム、販売管理システム、購買システム、在庫管理システム、給与システム、経費精算システム、ワークフロー、連結システム、開示システム、BIツール、クラウドストレージ。これらを並べ、「重要そうなシステム」を選んで統制を確認する。それだけでは、監査上の説明としては十分ではありません。

評価の順序は、次のように逆算していくべきものです。

判断の順序	検討内容
1	重要な勘定科目・注記・開示項目を識別する
2	関連するアサーションを整理する
3	重要な虚偽表示リスクを識別する
4	そのリスクに関係する業務プロセスを把握する
5	その業務プロセスで利用されるITアプリケーションとデータフローを把握する
6	IT業務処理統制を識別する
7	そのIT業務処理統制を支えるIT全般統制を識別する
8	統制評価の結果を、統制リスク、実証手続、不備評価、開示への影響に接続する

たとえば、売上の期間帰属リスクを評価する場合、販売管理システムが存在することだけでは何も言えません。出荷日、検収日、請求日、売上計上日、返品・値引・リベート、締日処理、会計システムへの連携、そして期末後の修正処理まで追う必要があります。

棚卸資産の実在性・評価も同じです。在庫管理システムの入出庫データ、棚卸差異、滞留在庫、標準原価、評価減計算、会計仕訳連携まで確認して、初めて評価が成り立ちます。

IT統制は、システム単位ではなく、財務報告リスク単位で理解する。そうでなければ、監査計画、内部統制評価、監査証拠、監査調書に接続できません。

IT全般統制1｜アクセス管理は「誰が何をできるか」の統制である

アクセス管理は、IT全般統制の中でも、財務報告リスクに直結しやすい領域です。

その目的は、単にユーザー一覧を整備することではありません。財務報告に影響するデータ、プログラム、マスタ、承認ワークフロー、帳票、インターフェースについて、権限のない者が作成・変更・削除・承認できない状態を維持することにあります。

評価上の着眼点は、次のとおりです。

領域	確認すべき統制
ユーザー登録	新規ユーザー登録が申請・承認に基づいているか
異動・退職	異動・退職時に不要権限が適時に削除されるか
権限設定	職務分掌に応じて権限が限定されているか
管理者権限	特権ID、システム管理者IDが限定され、利用ログが確認されているか
共有ID	共有IDが原則禁止され、やむを得ない場合の利用者特定が可能か
定期棚卸	ユーザー権限の定期レビューが実施され、不要権限が是正されているか
ログ監視	重要マスタ、仕訳、設定変更、承認処理のログが確認されているか

アクセス管理が弱い場合、監査上は次のようなリスクが生じます。

• 売上単価マスタや得意先マスタを不正に変更できる
• 支払先口座を権限なく変更できる
• 在庫数量や評価情報を修正できる
• 承認権限を持たない者が承認できる
• 決算仕訳を起票・承認・削除できる
• ログが残らず、後から原因を追跡できない

アクセス管理は、それ自体が財務諸表の数値を作る統制ではありません。しかし、ここが崩れると、IT業務処理統制やシステム生成帳票の信頼性そのものが揺らぎます。

とりわけ管理者権限や緊急IDについては、付与の理由、利用期間、利用内容、事後レビューが重要になります。「IT部門だから管理者権限が必要」という説明だけでは、財務報告上の説明可能性としては足りません。

IT全般統制2｜変更管理は「システムが意図した処理を続けているか」の統制である

変更管理は、システムやプログラムが、承認された目的どおりに変更され、テストされ、適切に本番へ反映されることを確保する統制です。

財務報告に関連するシステム変更には、たとえば次のようなものがあります。

• 収益認識基準対応に伴う売上計上ロジックの変更
• 消費税率・税区分・インボイス対応の変更
• 標準原価計算や配賦ロジックの変更
• 固定資産の減価償却ロジックの変更
• 給与計算、賞与計算、社会保険料計算の変更
• 会計システムへの仕訳連携ロジックの変更
• 連結パッケージ、組替、注記集計の変更
• 外部システムとのAPI・EDI連携の変更
• クラウドERPのバージョンアップや設定変更

内部統制の実施基準においても、ITに係る全般統制の評価にあたり、財務報告に関連して新たにシステムやソフトウェアを開発・調達・変更する場合には、事前承認、開発手法、導入前テスト、利用部門・IT部門による承認、変更過程の記録・保存、データ移行時の誤謬・不正防止、利用者教育などに留意すべきことが示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

変更管理で問われるのは、「変更申請書があるか」ではありません。見るべきは、次のような点です。

• 変更理由が財務報告上のリスクと結びついているか
• 変更内容が会計処理・業務処理にどのような影響を与えるか
• 利用部門が受入テストを行い、結果を承認しているか
• 本番移行時に、開発者が直接本番環境を変更できないようになっているか
• 緊急変更が、通常変更と同じ水準で事後承認・検証されているか
• 変更後、システム生成帳票やインターフェースに影響が出ていないか
• 変更前後の統制記録が更新されているか

変更管理が弱い場合、過年度に有効と評価した自動統制や帳票について、当期も同じように依拠できるとは限りません。特に、期中に重要なシステム改修、クラウド更新、会計基準対応、業務フロー変更があった場合には、変更前後の統制有効性を分けて評価する必要があります。

IT全般統制3｜運用管理・バックアップは「処理が止まらず、データが失われない」ための統制である

運用管理は、日々のシステム処理が予定どおり実行され、エラーや障害が識別・解決され、必要なデータが保持されることを支える統制です。

監査現場では、この領域が軽視されることがあります。しかし、財務報告プロセスにおいて運用管理に不備があれば、決算遅延、データ欠落、二重処理、未処理取引、インターフェース不整合、帳票誤りにつながっていきます。

確認すべき主な統制は、次のとおりです。

領域	具体的な確認事項
ジョブ管理	バッチ処理、夜間処理、締処理が予定どおり実行されているか
インターフェース	販売・購買・在庫・給与等から会計システムへのデータ連携が監視されているか
エラー管理	エラーが検知され、原因分析、再処理、承認が行われているか
障害対応	障害発生時の記録、原因分析、復旧、再発防止が管理されているか
バックアップ	重要データ・プログラムが定期的に保存され、復旧可能性が確認されているか
災害復旧	決算・開示に重要なシステムについて復旧優先順位が定められているか

実施基準においても、システムの運用・管理に関して、重要なデータやソフトウェアについて障害や故障によるデータ消失等に備えて内容を保存し、迅速な復旧を図る対策が取られていること、障害や故障の状況把握、分析、解決等が適切に行われていることが、確認事項として示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準

バックアップは、「取得しています」と回答されやすい統制です。しかし、監査上はそれだけでは足りません。

• バックアップ対象に、財務報告上重要なデータ、マスタ、プログラム、設定情報、ログが含まれているか
• バックアップ頻度は、決算・開示スケジュールに照らして妥当か
• 復旧テストが実施されているか
• クラウドサービスでは、事業者側のバックアップと、会社側で必要なエクスポート・保管の分担が明確か
• 障害時に、どの時点のデータへ戻すかを判断できるか
• 復旧後に、欠落・重複・再処理の確認が行われるか

決算日前後に障害が発生した場合、それは単なるITトラブルでは済みません。売上、仕入、在庫、決算整理、開示資料の作成に影響し、監査スケジュール、監査証拠、後発事象、開示遅延リスクにまで波及していく可能性があります。

IT全般統制4｜システムの安全性は、財務データの改竄・破壊を防ぐ視点で見る

財務報告目的のIT統制において、サイバーセキュリティ全般を無制限に評価対象とするわけではありません。

ただし、サイバー攻撃、不正アクセス、ランサムウェア、内部不正、データ改竄、システム停止が、財務データの完全性・正確性・可用性に影響する場合には、財務報告リスクとして検討対象になります。

たとえば、次のような場面です。

• 売上データや請求データが改竄された
• 在庫データが破壊され、棚卸差異の把握ができない
• 会計システムが停止し、決算締めが遅延した
• バックアップから復旧したが、復旧時点以降の取引が欠落した
• マスタが不正変更され、支払先が変更された
• ログが消去され、原因追跡ができない
• 外部委託先の障害により、財務データが利用できない

実施基準では、システムの安全性の確保として、データ、システム、ソフトウェア等の不正使用、改竄、破壊等を防止するため、財務報告に係る内部統制に関連するシステム等について、適切なアクセス管理等の方針を定めているかを確認することが示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準

問われているのは、「サイバーセキュリティ対策をしているか」ではありません。「財務報告に重要なデータと処理を守る統制があるか」です。

IT業務処理統制は、アサーションに直接つながる

IT業務処理統制は、業務プロセスに組み込まれた自動統制、あるいは情報処理統制です。

典型的には、入力、処理、出力、マスタ管理、インターフェース、アクセス制限に関する統制として現れます。実務では、IT統制を全般統制と業務処理統制に分類したうえで、業務処理統制を入力・処理・出力の観点から把握していく整理が有効です。

種類	例	関連するアサーション
入力統制	必須項目チェック、桁数チェック、重複入力防止、承認済みデータのみ登録	発生、網羅性、正確性
処理統制	自動計算、単価マスタ参照、消費税計算、減価償却計算、与信チェック	正確性、評価、期間帰属
出力統制	例外リスト、エラーリスト、未処理一覧、売上計上リスト、仕訳連携結果	網羅性、正確性、表示
マスタ統制	得意先、仕入先、品目、単価、勘定科目、承認ルート、税区分	正確性、分類、評価
インターフェース統制	サブシステムから会計システムへの連携照合、件数・金額照合	網羅性、正確性
アクセス制限	承認権限、起票権限、マスタ変更権限の限定	発生、正確性、不正リスク

実施基準では、ITに係る業務処理統制の評価として、入力情報の完全性・正確性・正当性、エラーデータの修正と再処理、仕入先・販売先等のマスタ・データの維持管理、システム利用に関する認証・操作範囲の限定等のアクセス管理が例示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準

IT業務処理統制を評価する際に落とし穴となるのが、「自動化されているから信頼できる」という思い込みです。

自動計算は、設定・マスタ・プログラムが正しければ、たしかに強力な統制になります。しかし、単価マスタ、税区分、承認ルート、勘定科目マッピング、締日、配賦率、換算レート、原価計算ロジックが誤っていれば、自動化された処理は、その誤りを一貫して反復してしまいます。

そこで、IT業務処理統制の評価では、次の観点が必要になります。

• その自動統制は、どの財務報告リスクに対応しているか
• 処理ロジックは、会計処理・業務実態と整合しているか
• 利用するマスタやパラメータは適切に管理されているか
• 例外データは検出され、再処理されているか
• 出力帳票は完全かつ正確か
• インターフェースで欠落・重複・変換誤りが起きていないか
• その自動統制を支えるIT全般統制は有効か

システム生成帳票は「出力されたから証拠」ではない

監査現場で特に重要になるのが、システム生成帳票の信頼性です。

売掛金年齢表、売上明細、在庫受払表、滞留在庫一覧、固定資産台帳、減価償却計算表、仕入先別残高、支払予定表、給与一覧、仕訳一覧、連結パッケージ、注記集計表。いずれも、監査証拠として頻繁に利用されるものです。

しかし、システムから出力された帳票であるというだけでは、その帳票が完全かつ正確であるとはいえません。

監査基準報告書315の実務ガイダンスでは、データフロー図やシステム仕様書、ユーザーマニュアル、入力原票と出力帳票の照合、入力画面・照会画面の閲覧や入力操作の観察、インターフェース元・先システムのデータ照合、アクセスログ・操作ログの閲覧などを通じて、データを含めた処理の流れやシステム帳票の生成過程を理解することが示されています。
出典：日本公認会計士協会｜監査基準報告書315実務ガイダンス第1号

監査調書上は、システム生成帳票について、少なくとも次の点を説明できる必要があります。

• 帳票の元データは何か
• 対象期間、対象会社、対象取引は網羅されているか
• 抽出条件やフィルターは適切か
• 出力後にExcel等で加工されていないか
• 加工がある場合、その加工過程を再実施できるか
• 帳票作成に使用されたマスタや変換テーブルは正しいか
• 帳票出力者に必要な権限があり、不正加工の余地がないか
• IT全般統制が有効で、帳票生成ロジックが当期中に不適切に変更されていないか

とりわけ、BIツール、データウェアハウス、手作業エクスポート、CSV加工、連結パッケージ、開示基礎資料では、システムから出力された後の加工が、監査証拠の信頼性を弱めてしまうことがあります。

外部委託・クラウドは「委託したから責任が移る」わけではない

近年、財務報告に関連するIT環境は、外部委託やクラウドに大きく依存するようになりました。

クラウドERP、SaaS型販売管理システム、給与計算サービス、経費精算システム、電子契約、電子決済、物流システム、外部倉庫、会計BPO、連結・開示システム、データセンター、共同システムセンター。財務報告プロセスの一部が会社の外部で処理されることは、いまや珍しくありません。

ここで押さえておきたいのは、会社が業務を外部委託しても、財務報告に対する経営者の責任や、監査人の監査判断責任が外部へ移るわけではない、ということです。

監査基準報告書402では、委託会社が受託会社の業務を利用する場合、委託会社監査人の目的は、重要な虚偽表示リスクの識別と評価の基礎を得るために、受託会社が提供する業務の種類と重要性、委託会社の内部統制システムに与える影響を理解し、当該リスクに対応する監査手続を立案・実施することとされています。
出典：日本公認会計士協会｜監査基準報告書402 業務を委託している企業の監査上の考慮事項

実施基準においても、経営者が外部の受託会社に委託した業務が評価対象となる業務プロセスの一部を構成している場合には、受託会社が実施している内部統制、受託会社の業務に対して企業が実施している内部統制、受託会社から入手した内部統制の整備・運用状況に関する報告書等が十分な証拠を提供しているかを検討すべきことが示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準

外部委託・クラウド評価の基本は、次の三点に集約されます。

観点	検討内容
何を委託しているか	取引処理、データ保管、計算、承認、帳票生成、決算資料作成のどこを委託しているか
どの財務報告リスクに影響するか	委託業務が重要な勘定科目・注記・開示にどう影響するか
どの統制でリスクを低減しているか	受託会社の統制、会社側の補完統制、契約・SLA、監視、保証報告書で説明できるか

クラウドサービスを利用している場合も、「大手クラウドだから問題ない」という説明では足りません。監査上は、財務報告に関連する範囲、会社側とサービス提供者側の責任分担、データ抽出・保管・復旧、アクセス管理、変更管理、障害対応、ログ取得、契約上の監査権限や報告権限を確認していく必要があります。

3402報告書・SOC報告書は「入手したこと」ではなく「使えること」が重要

外部委託やクラウドに関連して、受託会社の内部統制保証報告書、いわゆる3402報告書やSOC1報告書を利用する場面があります。

保証業務実務指針3402に関するQ&Aでは、3402が想定する業務として、給与計算業務、アプリケーションサービスプロバイダー、クラウドサービス、経理代行業務、電子決済業務、共同システムセンター業務などが挙げられています。情報システムへの依存度が高い受託業務では、ITの利用領域・範囲に応じて、全般統制を記述書の対象に含めることがあるとされています。
出典：日本公認会計士協会｜受託業務に係る内部統制の保証報告書に関するQ&A（実務ガイダンス）

また、保証業務実務指針3402では、受託会社監査人は、記述書が適正に表示されているか、内部統制が適切にデザインされ、有効に運用されているかについて合理的な保証を得るための手続を計画・実施する旨の文例が示されています。
出典：日本公認会計士協会｜保証業務実務指針3402 受託業務に係る内部統制の保証報告書に関する実務指針

ただし、3402報告書を入手すれば十分、というわけではありません。

監査人としては、次の事項を確認する必要があります。

確認事項	実務上の意味
報告書の対象業務	自社が利用しているサービス範囲と一致しているか
報告書の対象期間	自社の会計期間・評価期間をカバーしているか
タイプ1・タイプ2	デザインのみか、運用状況まで対象か
統制目的	自社の財務報告リスクに対応しているか
例外事項	例外が自社の財務報告に影響するか
除外・限定	対象外システム、再委託先、サブサービスがないか
相補的統制	会社側で実施すべき統制が実際に運用されているか
ブリッジ期間	報告期間外の期間について追加証拠が必要か
利用制限	委託会社・監査人が利用できる報告書か

とりわけ重要なのが、相補的統制です。

受託会社のシステムは、委託会社側で一定の統制を実施していることを前提に設計されている場合があります。受託会社にデータを送る前に、会社側が取引を承認する。会社側がユーザー権限を適切に申請・削除する。会社側が例外リストをレビューする。会社側が月次で処理結果を会計残高と照合する。こうした統制が会社側で運用されていなければ、受託会社の報告書だけでは、リスクを十分に低減することはできません。

本社集中・グループ集中は効率化になるが、説明責任も集中する

グループ会社でIT統制を評価する場合、すべての拠点で同じ深度のIT統制評価を行うことが合理的だとは限りません。

共通ERP、共通会計システム、グループ共通ワークフロー、親会社IT部門によるアクセス管理、親会社主導の変更管理、共通クラウド基盤。こうした環境があるならば、本社または親会社に重要なIT統制を集中させることで、評価・監査を効率化できる場合があります。

内部統制報告制度に関する事例集でも、IT統制のうち重要性の高いものについて本社に権限を集中させることにより、IT全般統制や業務処理統制の整備・運用状況の評価及び監査を本社のみで実施でき、効率的な評価・監査が可能となった事例が紹介されています。
出典：金融庁｜内部統制報告制度に関する事例集

ただし、IT統制の本社集中は、単なる省力化策ではありません。

本社で集中管理しているのであれば、本社は、各子会社・拠点における利用実態、ローカル設定、例外処理、独自システム、手作業補完統制、データ連携、権限付与・削除の運用まで把握しておく必要があります。

「本社が管理しているから有効」ではなく、「本社が管理することで、どのリスクがどの範囲で低減されているか」を説明できること。そこが要になります。

IT全般統制が有効なら、運用評価を合理化できる場合がある

ITを利用した統制は、適切に設計され、変更されず、IT全般統制が有効に機能している限り、同じ処理を一貫して反復します。

この特性は、監査の効率化にもつながります。

実施基準では、ITを利用した内部統制は一貫した処理を反復継続するため、整備状況が有効であると評価された場合には、IT全般統制の有効性を前提として、人手による内部統制よりもサンプル数を減らす、対象期間を短くするなど、一般に運用状況の検討作業を減らすことができるとされています。さらに、変更がなく、障害・エラー等がなく、関連する全般統制が有効に機能していると判断できる場合には、その結果を記録することで、過年度の検討結果を継続して利用できる場合があるとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準

ただし、これは「IT統制は一度見ればよい」という意味ではありません。

過年度の結果を利用するには、少なくとも次の検討が必要です。

• 対象となる自動統制や帳票に変更がないか
• 関連するプログラム、設定、マスタ、インターフェースに変更がないか
• 重要な障害、エラー、インシデントが発生していないか
• アクセス管理、変更管理、運用管理が当期も有効か
• 利用部門の業務フローが変わっていないか
• 会計基準、取引条件、契約形態に変更がないか
• 外部委託先やクラウドサービスの対象範囲・報告期間に変更がないか

効率化とは、判断過程を省略することではありません。効率化の根拠を説明できる状態にすることです。

IT統制の不備は、どの範囲に影響するかで評価する

IT統制の不備を識別したとき、「ITGC不備あり」と記録するだけでは足りません。

その不備が、どのアプリケーション、どの自動統制、どの帳票、どの期間、どの勘定科目、どのアサーション、どの監査証拠に影響するのか。そこまで評価する必要があります。

たとえば、次のように考えていきます。

不備	影響評価の観点
退職者IDが削除されていない	不正アクセスの可能性、利用ログ、対象システム、財務データ変更の有無
管理者権限が過大	プログラム変更、マスタ変更、仕訳削除、ログ改竄の可能性
変更管理の承認証跡がない	変更内容、テスト結果、本番反映日、影響する自動統制・帳票
インターフェースエラーの再処理が未承認	欠落・重複データ、対象期間、会計仕訳への影響
マスタ変更レビューがない	単価、支払先、税区分、勘定科目、承認ルートへの影響
外部委託先の3402報告書に例外がある	例外内容、対象期間、会社側補完統制、追加手続の要否
バックアップ復旧テストがない	データ消失時の復旧可能性、決算・開示遅延リスク

不備評価では、実際に発生した誤謬だけを見るのではなく、潜在的な虚偽表示の可能性まで考えます。

IT全般統制の不備が広範囲に及ぶ場合、複数のIT業務処理統制やシステム生成帳票への依拠が難しくなります。財務諸表監査では、実証手続の追加、代替証拠の入手、手続範囲の拡大が必要になります。内部統制監査では、不備の重要性、補完統制、是正状況、評価範囲、開示すべき重要な不備への該当性を検討していくことになります。

監査調書では、IT統制を「監査判断の一部」として説明する

IT統制に関する監査調書で弱くなりやすいのは、IT専門家の調書と監査チームの調書が分断されてしまうことです。

IT専門家の調書には、アクセス管理、変更管理、運用管理の評価結果が記載されている。監査チームの調書には、売上、在庫、固定資産、給与、決算、開示の手続が記載されている。けれども、両者の接続が見えない。これでは、審査担当者やレビュー担当者に対して、なぜそのIT統制に依拠できるのか、どこまで実証手続を軽減できるのかを、十分に説明することができません。

監査調書では、少なくとも次の流れを明確にしておく必要があります。

• 重要な財務報告リスクを識別した
• そのリスクに関連する業務プロセスを把握した
• 業務プロセスで利用されるITアプリケーションを識別した
• 関連するIT業務処理統制を識別した
• そのIT業務処理統制を支えるIT全般統制を識別した
• アクセス管理、変更管理、運用管理、外部委託管理の整備・運用を評価した
• IT統制の不備がある場合、その影響範囲を評価した
• 財務諸表監査のリスク対応手続に反映した
• 内部統制監査上の不備評価に反映した
• 監査役等、経営者、審査担当者への説明事項を整理した

また、実施基準では、監査人がIT専門家の業務を利用する場合、単なるIT知識だけでなく、情報システムに関係する財務報告に重要な影響を及ぼすリスクの評価に必要な知識を有しているか、その業務が十分な客観性を有しているかを考慮するものとされています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに実施基準

IT専門家を利用する場合であっても、最終的な監査判断は監査チームが説明できなければなりません。IT調書を参照するだけで終わらせず、財務報告リスクとの接続を監査調書上で明確にしておくことが大切です。

IT統制評価で陥りやすい実務上の落とし穴

IT統制評価では、次のような問題が起こりやすくなります。

• IT統制をシステム部門任せにし、財務報告リスクとの関係を監査チームが説明できない
• IT全般統制を評価しているが、どのIT業務処理統制・帳票を支えているのかが不明である
• 自動統制に依拠しているが、変更管理やアクセス管理の結果を確認していない
• システム生成帳票を監査証拠として利用しているが、生成過程や抽出条件を検証していない
• クラウドサービスの3402報告書を入手しているが、対象業務・対象期間・例外事項・相補的統制を読んでいない
• 本社集中のIT統制を前提にしているが、子会社・拠点で独自運用されているローカル処理を把握していない
• マスタ変更の権限・承認・レビューが不十分である
• 緊急変更、特権ID、共有ID、手作業CSV加工が評価対象から漏れている
• 決算・開示システムやEUCが、業務システムより軽く扱われている
• IT統制不備が、実証手続、不備評価、監査役等報告、審査対応に接続されていない

これらはいずれも、単なるIT部門の管理課題ではありません。監査品質、内部統制評価、開示の信頼性に関わる論点です。

IT統制に不安がある場合に整理すべきこと

IT全般統制、IT業務処理統制、外部委託・クラウドに不安がある場合、最初に作るべきものは、詳細なチェックリストではありません。

まずは、次の対応関係を整理することです。

• 重要な勘定科目・開示項目
• 関連するアサーション
• 業務プロセス
• 利用システム
• システム間インターフェース
• 重要マスタ
• 自動統制・システム生成帳票
• 関連するIT全般統制
• 外部委託・クラウドの範囲
• 委託先報告書・契約・SLA・会社側補完統制
• 不備があった場合の財務報告影響

この対応関係が整理されていれば、監査人、会社、監査役等、審査担当者の間で、IT統制を監査判断の一部として議論することができます。

反対に、この対応関係がないまま、アクセス権限表、変更申請書、バックアップ記録、委託契約書だけを集めても、後から説明できる監査判断にはなりません。

犬飼公認会計士・税理士事務所では、会計監査・内部統制・財務報告の実務判断に関するご相談を承っています。IT統制の評価範囲、J-SOX文書化、クラウド・外部委託先統制、システム生成帳票の信頼性、監査法人からの指摘事項への対応、内部統制不備の評価に課題を感じておられる場合は、お問い合わせページよりご相談ください。

振り返り｜IT全般統制・IT業務処理統制・外部委託の要点

論点	実務上の意味	監査上確認すべき観点
IT統制の位置づけ	財務報告に至る情報の流れを支える統制	取引の開始、記録、処理、報告のどこでITが利用されているか
IT全社的統制	組織全体のIT方針・体制を支える	IT方針、リスク管理、委託先管理、IT人材・組織体制
IT全般統制	IT業務処理統制が継続的に機能する前提	アクセス管理、変更管理、運用管理、バックアップ、外部委託管理
IT業務処理統制	業務プロセス内で財務情報を直接処理する統制	入力、処理、出力、マスタ、インターフェース、アクセス制限
アクセス管理	権限のない者による作成・変更・削除・承認を防ぐ	ユーザー登録、退職者削除、権限棚卸、特権ID、ログ確認
変更管理	システムが意図した処理を継続することを確保する	変更承認、テスト、本番移行、緊急変更、変更履歴
運用管理	日常処理が予定どおり実行されることを確保する	ジョブ管理、エラー管理、障害対応、インターフェース監視
バックアップ・復旧	データ消失・障害時の財務報告影響を抑える	バックアップ対象、頻度、復旧テスト、決算・開示への影響
システム安全性	財務データの改竄・破壊・不正使用を防ぐ	不正アクセス、ログ、マスタ変更、管理者権限
システム生成帳票	監査証拠として利用される会社作成情報	元データ、抽出条件、加工過程、完全性・正確性
外部委託・クラウド	財務報告プロセスの一部が外部で処理される	委託範囲、受託会社統制、会社側補完統制、契約・SLA
3402報告書・SOC報告書	委託先統制を評価するための重要な証拠	対象業務、対象期間、例外事項、相補的統制、ブリッジ期間
本社集中	IT統制の評価・監査を効率化できる場合がある	子会社・拠点の利用実態、ローカル処理、例外処理を把握する
不備評価	IT統制不備は複数の統制・帳票に波及し得る	影響システム、対象期間、勘定科目、アサーション、追加手続
監査調書	IT統制を監査判断の一部として説明する文書	リスク、システム、統制、証拠、不備評価、結論の接続