J-SOXにおけるIT統制の全体像｜財務報告を支えるシステム・データ・外部委託の考え方

J-SOX対応におけるIT統制は、情報システム部門だけの論点ではありません。

会計システム、販売管理システム、購買管理システム、在庫管理システム、給与計算システム、連結決算システム、開示資料作成ツール、ワークフロー、クラウドサービス、Excel管理資料。これらのどこかで入力・承認・計算・集計・連携・修正・出力が行われ、その結果が財務諸表や開示資料に反映されるのであれば、IT統制は財務報告の信頼性に直結します。

したがって、J-SOXにおけるIT統制を考えるときに重要なのは、「システムがあるかどうか」ではありません。

重要なのは、財務報告に影響するデータが、どのシステムで発生し、どこで承認され、どのように会計へ連携され、誰が修正でき、どの証跡によって後から説明できるのかという点です。

改訂後の内部統制基準・実施基準においても、「ITへの対応」は内部統制の基本的要素の一つとして位置づけられており、IT環境への対応と、ITの利用及び統制から成るものとされています。あわせて、クラウドやリモートアクセス等を利用する場合には、サイバーリスクの高まりを踏まえ、情報システムに係るセキュリティの確保が重要である点も示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

この記事では、J-SOXにおけるIT統制の全体像を、財務報告に関係するシステムとデータの信頼性を支える仕組みとして整理します。

IT統制は「システム管理」ではなく「財務報告データの信頼性」を支える仕組み

J-SOX対応でIT統制という言葉が出ると、アクセス権限、パスワード、バックアップ、システム変更管理といった情報システム管理の話に寄ってしまうことがあります。

もちろん、それらは重要です。しかし、J-SOXの文脈では、それだけでは十分ではありません。

J-SOXにおけるIT統制の目的は、あくまで財務報告の信頼性を支えることにあります。金融商品取引法上の内部統制報告制度は財務報告の信頼性を確保することを目的とする制度であり、経営者には、財務報告に係る内部統制の有効性を評価し、外部に報告することが求められています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

そのため、IT統制の検討では、次のような問いが出発点になります。

• 財務報告に使われるデータは、どのシステムから生まれているか
• そのデータは、誰が入力し、誰が承認し、誰が修正できるか
• マスタ情報は、誰が登録・変更・削除できるか
• 業務システムから会計システムへの連携は、網羅的かつ正確か
• CSVやExcelを介した手作業の加工がある場合、修正履歴やレビュー証跡は残っているか
• クラウドサービスや外部委託先を利用している場合、会社として統制状況をどう把握しているか
• 障害、サイバー攻撃、データ破損が起きた場合、決算・開示への影響をどう抑えるか

つまりIT統制とは、情報システム部門だけが管理する技術論ではありません。経理・財務・開示・業務部門・内部監査・情報システム部門が共通認識を持つべき、財務報告インフラの論点です。実務の場面でも、会計財務業務とIT部門との連携は、システム設計を考えるうえで欠かせない視点になります。

J-SOXにおけるIT統制の3つの階層

J-SOX上のIT統制は、大きく次の3つの階層で整理すると理解しやすくなります。

1つ目は、IT全社統制です。
2つ目は、IT全般統制です。
3つ目は、IT業務処理統制です。

この3つは、別々に存在するものではありません。財務報告に関係するシステムとデータを、会社全体としてどう管理し、システム基盤としてどう保全し、個別業務の中でどう正しく処理するかという、階層関係にあります。

IT全社統制

IT全社統制は、会社全体としてITをどのように利用し、どのように管理するかに関する統制です。

たとえば、次のような論点が含まれます。

• ITに関する方針や計画があるか
• 財務報告に関係するシステムの範囲を会社として把握しているか
• 情報セキュリティ、アクセス権限、外部委託、クラウド利用に関する基本方針があるか
• 重要なシステム変更や新システム導入について、経理・IT・業務部門が連携しているか
• 障害やインシデントが発生した場合に、経営層、経理部門、内部監査、監査法人へ必要な情報が伝わる仕組みがあるか

ここで重要なのは、IT方針や情報セキュリティ規程が存在すること自体ではありません。

その方針が、財務報告に関係するシステムの範囲、重要なデータ、アクセス権限、変更管理、外部委託先管理、障害対応と、実際につながっているかどうかです。

規程はあるものの、経理部門がどのシステムに依存しているかをIT部門が把握していない。IT部門はシステムを管理しているが、どのデータが開示資料に使われているかを知らない。内部監査はIT統制を評価しているが、財務報告リスクとの関係までは十分に見ていない。

このような状態では、IT全社統制は形だけのものになりやすくなります。

IT全般統制

IT全般統制は、個別システムが安定して、正しく、権限に基づいて運用されるための基盤統制です。

代表的には、次の領域があります。

• アクセス管理
• プログラム変更管理
• システム運用管理
• バックアップ・リカバリ
• 障害管理
• 外部委託先管理
• 情報セキュリティ管理

たとえば、販売管理システムで売上データが自動生成され、会計システムへ連携されている場合を考えてみます。その自動処理を信頼するためには、販売管理システム自体が適切に管理されていなければなりません。

誰でも売上データを修正できる。
退職者のIDが残っている。
本番環境に直接プログラム修正できる。
システム変更の承認記録がない。
バックアップは取得しているが、復旧テストをしていない。
障害発生時の経理・開示への影響が整理されていない。

このような状態では、たとえ業務処理統制が設計されていても、その前提となるシステムの信頼性に不安が残ります。

IT全般統制は、IT業務処理統制を信頼するための土台なのです。

IT業務処理統制

IT業務処理統制は、個別の業務プロセスに組み込まれたシステム上の統制です。

たとえば、次のようなものが該当します。

• 得意先マスタに登録された取引先だけ受注入力できる
• 承認済みの発注データだけ仕入計上に進める
• 出荷入力に基づいて売上データが生成される
• 販売管理システムから会計システムへ売上データが自動連携される
• 入力エラーや不整合データが例外リストとして出力される
• 権限者の電子承認がなければ支払処理に進めない
• 給与計算システムの計算結果が会計仕訳へ連携される

IT業務処理統制は、販売、購買、在庫、固定資産、人件費、資金、決算・開示などの業務プロセス統制と、一体で考える必要があります。

たとえば売上プロセスであれば、受注、出荷、検収、売上計上、請求、入金消込のどこでシステム処理が入り、どこで人による確認が入り、どの証跡が残るのかを整理しなければなりません。業務フローを理解することは、内部統制の整備と全体最適化の前提になります。

IT統制の評価範囲は「すべてのシステム」ではなく「財務報告に影響するシステム」から考える

IT統制の範囲を考えるときに、よくある誤解があります。

それは、会社に存在するすべてのシステムをJ-SOX評価対象にしなければならない、という誤解です。

J-SOXにおいて重要なのは、財務報告に重要な影響を及ぼすシステムとデータです。したがって、IT統制の範囲を検討するときは、まず財務報告に至るデータの流れをたどる必要があります。

一般的には、次のようなシステムが検討対象になりやすくなります。

• 会計システム
• 販売管理システム
• 購買管理システム
• 在庫管理システム
• 固定資産管理システム
• 給与計算システム
• 経費精算システム
• ワークフローシステム
• 連結決算システム
• 開示資料作成ツール
• データ連携基盤
• 会計仕訳に連携されるクラウドサービス
• 重要なExcel・EUCツール

ただし、対象になるかどうかは、システム名だけでは決まりません。

同じ販売管理システムでも、売上計上に直接使われている場合と、営業管理上の参考データにとどまる場合とでは、J-SOX上の重要性は異なります。給与計算システムについても、人件費計上に直接連携されている場合と、外部委託先から結果データだけを受領して会計処理している場合とでは、確認すべき統制が変わってきます。

したがって、IT統制の評価範囲を決める際には、少なくとも次の観点を確認します。

• そのシステムが重要な勘定科目に影響しているか
• そのシステムで生成されたデータが会計仕訳や開示資料に使われているか
• そのシステム上のマスタ変更が売上、原価、在庫、債権債務、給与、固定資産などに影響するか
• 手作業で補正・加工・再入力される箇所があるか
• システム連携の失敗、重複、欠落が財務報告上の虚偽表示につながる可能性があるか
• 外部委託先やクラウド事業者が財務報告に関係する処理を担っているか
• 障害や停止が決算・開示スケジュールに影響するか

ここを整理しないまま、アクセス権限一覧やシステム台帳だけを確認しても、J-SOX上のIT統制の範囲は見えてきません。

IT統制で最初に作るべきものは「システム台帳」だけではない

IT統制対応の初期段階では、システム台帳を作ることがあります。これは重要な作業です。

ただし、システム台帳だけでは足りません。

システム台帳には、システム名、利用部門、管理部門、ベンダー、利用目的、保守状況などを記載します。しかし、J-SOX対応で本当に必要なのは、そのシステムが財務報告のどこに影響しているのかを説明できることです。

そのためには、システム台帳に加えて、財務報告データの流れを整理する必要があります。

たとえば販売管理システムについては、単に「販売管理に利用」と記載するだけでは不十分です。

• 得意先マスタは誰が登録するのか
• 受注データはどこで入力されるのか
• 出荷データは誰が確定するのか
• 売上データはどのタイミングで生成されるのか
• 売上データは会計システムへ自動連携されるのか
• 連携前にCSVを加工しているのか
• エラーがあった場合、誰がどのシステムで修正するのか
• 修正履歴は残るのか
• 請求書発行、入金消込、売掛金残高管理とどうつながっているのか

この粒度で整理してはじめて、IT統制と業務プロセス統制を接続できます。

J-SOX対応で手戻りが多い会社では、システム台帳はあるものの、財務報告データの流れが見えていないことがあります。その結果、監査法人から「このデータはどこから来たのか」「誰が修正できるのか」「連携の網羅性はどう確認しているのか」と問われたときに、説明が詰まりやすくなります。

IT統制と業務プロセス統制は分けすぎない

IT統制は、ITテーマとして独立して整理する必要があります。

一方で実務上は、IT統制と業務プロセス統制を分けすぎると、かえって本質を見失うことになります。

販売プロセスであれば、売上計上リスクは業務上のリスクです。しかし、その売上データが販売管理システムで生成され、会計システムに連携されるのであれば、IT上の統制も同時に確認しなければなりません。

購買プロセスであれば、発注、検収、請求書照合、支払承認は業務統制にあたります。しかし、ワークフローで承認され、購買システムから会計システムへ仕入・債務データが連携されるのであれば、アクセス権限、マスタ管理、連携エラー、支払データの改ざん防止も重要になります。

在庫プロセスであれば、実地棚卸や棚卸差異分析は業務統制です。しかし、在庫数量、品番マスタ、単価マスタ、倉庫間移動データがシステムで管理されている場合には、そのシステムの入力権限、変更履歴、棚卸データの取込、理論在庫と実地棚卸結果の差異処理も確認対象になります。

つまりJ-SOXにおけるIT統制は、業務プロセス統制の横に置くものではなく、業務プロセス統制の中に組み込まれているものとして見る必要があります。

手作業・Excel・CSV連携は「ITではない」とは言えない

IT統制を考えるうえで、見落とされやすいのがExcelやCSVです。

システムから出力したデータをExcelで加工し、会計システムへ取り込む。連結パッケージをExcelで作成する。開示基礎資料をExcelで集計する。売上データ、在庫データ、人件費データをCSVで出力し、担当者が形式を整えて取り込む。

こうした処理は、多くの会社で日常的に行われています。

問題は、ExcelやCSVを使うこと自体ではありません。問題は、その加工・修正・取込が財務報告上重要であるにもかかわらず、統制が設計されていないことです。

特に注意すべきなのは、次のような状態です。

• システム上のエラーを、元システムではなくCSVで直接修正している
• Excelの計算式や参照範囲を誰もレビューしていない
• ファイルの版管理がなく、どれが最終版かわからない
• 会計システムへの取込件数・金額の照合をしていない
• 連結パッケージの修正履歴が残らない
• 開示基礎資料の数値がどのシステムから来たものか追跡できない

J-SOX上は、システムから出力された後の手作業領域も重要です。

むしろ、システムと人手作業の境界にこそ、虚偽表示リスクや手戻りが生じやすいと考えるべきでしょう。

クラウド・外部委託を使っても、会社の説明責任はなくならない

近年は、会計、経費精算、請求書管理、給与計算、販売管理、在庫管理、ワークフロー、連結決算、開示資料作成など、多くの領域でクラウドサービスや外部委託が使われています。

クラウドサービスや外部委託の活用自体は、内部統制上マイナスではありません。むしろ適切に設計されていれば、属人化の低減、証跡の保存、承認フローの明確化、アクセス権限管理の強化につながることもあります。

ただし、外部に委託したからといって、財務報告に係る内部統制上の責任が会社から消えるわけではありません。財務報告に係る内部統制の有効性評価は原則として連結ベースで行うものとされており、外部に委託した業務の内部統制についても評価範囲に含める旨が示されています。
出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準

外部委託・クラウド利用時には、少なくとも次の点を整理する必要があります。

• 委託している業務は何か
• その業務は財務報告に関係するか
• 会社側に残る確認・承認・レビューは何か
• 委託先の処理結果を会社側でどのように検証しているか
• 委託先のアクセス権限、変更管理、障害対応をどう把握しているか
• サービス障害やデータ消失が決算・開示に与える影響は何か
• 契約、SLA、報告書、問い合わせ履歴、障害通知などをどのように保管しているか
• 受託業務に係る内部統制の保証報告書を利用できる場合、会社側の相補的統制を把握しているか

保証業務実務指針3402が想定する受託業務としては、給与計算業務、アプリケーションサービスプロバイダー、クラウドサービス、経理代行業務、電子決済業務などが挙げられています。情報システムへの依存度が高い受託業務では、IT全般統制が記述書の対象に含まれることがある点も押さえておきたいところです。
出典：日本公認会計士協会｜受託業務に係る内部統制の保証報告書に関するQ&A（実務ガイダンス）

また、クラウドサービス等の外部委託利用の増加に伴い、委託業務管理の重要性は年々増しています。こうした状況を踏まえ、受託業務に係る内部統制の保証報告書への理解向上と活用推進を目的とした研究文書も公表されています。
出典：日本公認会計士協会｜テクノロジー委員会研究文書第12号『受託業務に係る内部統制の保証報告書の発行状況に関する研究文書』の公表について

クラウドや外部委託を利用している会社ほど、「外部サービスだから大丈夫」ではなく、「どこまでを委託先が担い、どこからを会社が確認するのか」を明確にする必要があります。

サイバーリスクはJ-SOX上、どこまで見ればよいか

サイバーセキュリティ全般を、J-SOX評価で網羅的に扱う必要があるわけではありません。

ただし、サイバーリスクが財務報告や決算・開示に影響する場合には、J-SOX上も無視できません。

たとえば、ランサムウェアによって会計システム、販売管理システム、在庫管理システム、連結決算システムが利用できなくなれば、決算処理が遅延する可能性があります。データが改ざんされたり、バックアップから復旧できなかったりすれば、財務報告データの完全性・正確性に影響します。開示基礎資料が参照できなければ、有価証券報告書や決算短信の作成にも支障が生じます。

J-SOX上のIT統制としては、サイバーリスクそのものを広く論じるのではなく、財務報告に関係するシステムとデータについて、次の点を確認することが重要です。

• 重要システムが停止した場合、決算・開示にどのような影響があるか
• バックアップは取得されているか
• 復旧可能性は確認されているか
• 重要なデータの改ざんや消失を検知できるか
• 特権IDや管理者権限は適切に管理されているか
• インシデント発生時に経理、IT、内部監査、経営層へ情報が伝達されるか
• 外部委託先やクラウドサービス側の障害・インシデントを会社側が把握できるか

ここでも重要なのは、過剰に広げすぎないことです。

サイバーセキュリティ全般の成熟度評価と、J-SOX上の財務報告リスク評価は同じではありません。J-SOXでは、財務報告に重要な影響を与えるシステムとデータに焦点を当て、リスクの発生可能性と影響度を踏まえて、必要な統制を設計・評価することが重要になります。

IT統制でよくある失敗

J-SOXにおけるIT統制では、次のような失敗が起こりがちです。

1. 財務報告に関係するシステムの洗い出しが不十分

会計システムだけを対象にしてしまい、販売管理、在庫管理、給与計算、経費精算、ワークフロー、連結パッケージ、開示基礎資料の作成ツールが漏れているケースです。

特に、Excel、CSV、部門管理システム、子会社側のローカルシステムは見落とされやすい領域です。

2. アクセス権限レビューが形式化している

アクセス権限一覧を出力して確認印を押しているものの、実際には職務分掌や退職・異動、特権ID、兼務状況、不要権限が確認されていないケースです。

J-SOX上必要なのは、一覧を見た事実ではなく、財務報告リスクに照らして権限が適切かを確認した証跡です。

3. システム変更管理が現場任せになっている

会計処理、売上計上、在庫評価、給与計算、連結処理に影響するシステム変更について、経理部門が十分に関与していないケースです。

IT部門としては問題ない変更でも、財務報告上は重要な影響を与えることがあります。変更管理では、業務影響、会計影響、テスト、承認、本番反映、事後確認という流れが必要です。

4. データ連携の網羅性・正確性が確認されていない

業務システムから会計システムへデータを取り込んでいるものの、件数、金額、エラー、二重取込、未取込の確認が不十分なケースです。

自動連携だから安全とは限りません。自動連携を信頼するためには、連携処理そのものの統制と、例外処理の管理が必要です。

5. 外部委託先・クラウドサービスを評価対象外としている

給与計算、経費精算、請求書発行、決済、在庫管理、会計処理、連結決算などを外部サービスに依存しているにもかかわらず、委託先の統制状況や、会社側に残る確認手続が整理されていないケースです。

外部委託先の処理結果を会社がどのように検証するかは、J-SOX上重要な論点です。

6. 電子証跡が「残っているつもり」になっている

ワークフロー上で承認している、システム上にログがある、クラウド上に履歴がある。これだけでは十分とは限りません。

誰が、何を、いつ、どの内容で承認したのか。承認後に変更できるのか。ログを誰が閲覧できるのか。保存期間は十分か。監査法人や内部監査が検証可能な形で出力できるか。

電子証跡は、存在しているだけでなく、後から説明できる形で利用できることが重要です。

IT統制の整備は、どこから始めるべきか

IT統制の整備を進める際、最初からすべてを完璧にしようとすると、現場が疲弊してしまいます。

まずは、財務報告に重要な影響を与えるシステムとデータの流れを整理することが出発点です。

実務上は、次の順番で進めると整理しやすくなります。

1. 財務報告に関係するシステムを洗い出す

会計システムだけでなく、売上、仕入、在庫、固定資産、人件費、資金、連結、開示に関係するシステムを洗い出します。

この段階では、システム名だけでなく、どの勘定科目、どの業務プロセス、どの開示資料に関係するかを併せて整理します。

2. 重要なデータの流れを確認する

どのシステムでデータが発生し、どこで承認され、どのように会計へ連携され、どこで決算・開示資料に反映されるかを確認します。

特に、システム間連携、CSV加工、Excel集計、手入力、修正仕訳の箇所は重点的に確認します。

3. IT全般統制の対象システムを決める

財務報告に重要な影響を与えるシステムについて、アクセス管理、変更管理、運用管理、バックアップ、障害対応などのIT全般統制をどこまで評価するかを検討します。

ここで評価範囲を広げすぎると、運用負荷が大きくなります。一方で、重要な会計データを生成するシステムを外してしまうと、監査法人との認識齟齬や、後日の手戻りにつながります。

4. IT業務処理統制を業務プロセスと結びつける

システム上の自動処理、入力制限、承認ワークフロー、マスタ管理、エラーチェック、データ連携を、業務プロセス統制と結びつけます。

IT業務処理統制だけを切り出すのではなく、販売、購買、在庫、給与、決算などの業務フローの中で、どの財務報告リスクに対応しているかを整理することが重要です。

5. 会社側に残る確認手続を明確にする

外部委託やクラウドサービスを利用している場合は、委託先が実施する処理と、会社側が実施する確認を分けて整理します。

たとえば給与計算を外部委託している場合でも、会社側では人事マスタ変更、勤怠データ、計算結果、支払データ、会計仕訳の確認が必要になることがあります。

6. 証跡として何を残すかを決める

統制を実施しているだけではなく、評価・監査に耐える証跡を残す必要があります。

アクセス権限レビューであれば、権限一覧、確認者、確認日、確認観点、修正内容。システム変更であれば、変更申請、承認、テスト結果、本番反映記録。データ連携であれば、取込件数、金額照合、エラー処理、レビュー記録です。

証跡は、後から見た人が「何を確認し、なぜ問題ないと判断したのか」を理解できることが重要です。

IT統制は、過剰統制ではなく「説明できる統制」にする

J-SOX対応では、IT統制を厚くすればするほどよい、というわけではありません。

すべてのシステムに同じレベルのアクセスレビュー、変更管理、ログ確認、バックアップテストを求めれば、現場は回らなくなります。結果として統制が形骸化し、確認印だけが残る状態になりかねません。

一方で、重要なシステムについて統制が弱ければ、財務報告の信頼性に疑義が生じます。

必要なのは、過剰統制ではありません。重要性とリスクに応じた、説明できる統制です。

• 重要な財務報告データを生成するシステムか
• 手作業による補正や加工があるか
• システム変更が会計処理に影響するか
• 権限設定の誤りが不正や誤謬につながるか
• 障害が決算・開示遅延につながるか
• 外部委託先の処理結果を会社側で検証できるか

このような観点から、統制の強度を決めていく必要があります。

J-SOXにおけるIT統制は、「システムを安全に管理しています」と説明するためのものではありません。「このシステムとデータを前提に作成された財務報告は、どの統制によって信頼できると言えるのか」を説明するためのものです。

監査法人との協議で整理しておきたいIT統制の論点

IT統制は、監査法人との認識合わせが重要です。

特に、次の論点は早い段階で整理しておくべきでしょう。

• IT統制の評価対象とするシステム
• IT全般統制の対象範囲
• IT業務処理統制として評価する自動統制
• EUC、Excel、CSV処理の扱い
• クラウドサービス、外部委託先の扱い
• 委託先の保証報告書の利用可否
• 相補的な会社側統制の内容
• アクセス権限レビューの粒度
• システム変更管理の対象
• 運用評価で必要となる証跡
• サイバー・障害発生時の財務報告影響

これらを年度末に確認しようとすると、手戻りが大きくなります。

IT統制は、評価時点で急に整えるものではありません。日常運用の中で証跡が残っていなければ、後から評価することが難しい領域です。

そのため、J-SOX対応の初期段階、少なくとも評価計画を作成する段階で、監査法人との協議対象に含めておくことが望まれます。

IT統制を経営管理体制につなげる

IT統制は、J-SOX対応のためだけに整えるものではありません。

財務報告に関係するシステムとデータの流れを整理することは、決算早期化、開示品質の向上、子会社管理、業務標準化、権限移譲にもつながります。

たとえば、売上データの発生から会計連携までが整理されれば、売上計上の誤りを減らすだけでなく、月次決算の早期化にもつながります。

在庫データの入力・修正・棚卸差異処理が整理されれば、棚卸資産評価の信頼性だけでなく、在庫管理や資金繰りの改善にもつながります。

子会社の会計システム、連結パッケージ、Excel管理資料、クラウドサービスの利用状況が整理されれば、親会社としての子会社管理も強化されます。

つまりIT統制は、守りの制度対応で終わるものではありません。会社が数字を早く、正確に、同じ前提で把握し、後から説明できる状態を作るための、経営管理基盤でもあるのです。

IT統制の整理で専門家に相談すべき場面

次のような状況がある場合、IT統制の範囲や設計を社内だけで整理するのは難しくなりやすいところです。

• 財務報告に関係するシステムの範囲が整理できていない
• 監査法人からIT統制の範囲や証跡について指摘を受けている
• 会計システム以外の業務システムが財務報告に影響している
• CSV、Excel、手入力、手修正が多い
• クラウドサービスや外部委託先の統制評価が曖昧
• 子会社ごとにシステムや運用が異なり、親会社として把握しきれていない
• IPO準備や上場後運用を見据えて、IT統制の水準を引き上げたい
• 決算早期化や開示品質向上とあわせて、IT統制を見直したい

このような場合には、単にチェックリストを埋めるのではなく、財務報告リスク、業務フロー、システム構成、データ連携、証跡、監査法人対応を一体で整理する必要があります。

犬飼公認会計士・税理士事務所では、J-SOX対応を形式的な文書化作業ではなく、決算・開示・業務プロセス・IT・証跡管理をつなぐ「説明できる会社づくり」として整理する支援を行っています。

IT統制の対象範囲、クラウド・外部委託の扱い、業務システムから会計システムへのデータ連携、監査法人からの指摘対応、IPO準備段階での内部管理体制整備などに課題がある場合は、現在の状況を一度整理するところから始めることが有効です。

J-SOXにおけるIT統制を、自社の決算・開示・経営管理にどう接続すべきかを確認したい場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。

出典・参考情報

出典：金融庁｜財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準
出典：金融庁｜「内部統制報告制度に関するQ&A」等の改訂について
出典：金融庁｜企業内容等開示ガイドライン等
出典：日本公認会計士協会｜受託業務に係る内部統制の保証報告書に関するQ&A（実務ガイダンス）
出典：日本公認会計士協会｜テクノロジー委員会研究文書第12号『受託業務に係る内部統制の保証報告書の発行状況に関する研究文書』の公表について

重要事項の振り返り

論点	重要な考え方
IT統制の目的	システム管理そのものではなく、財務報告に使われるデータの信頼性を支えること
IT全社統制	IT方針、システム範囲、情報セキュリティ、外部委託、インシデント情報の伝達など会社全体の管理基盤
IT全般統制	アクセス権限、変更管理、運用管理、バックアップ、障害対応など、システムを信頼するための基盤統制
IT業務処理統制	入力制限、自動計算、承認ワークフロー、データ連携、エラーチェックなど業務プロセスに組み込まれた統制
評価範囲	すべてのシステムではなく、財務報告に重要な影響を与えるシステムとデータから判断する
Excel・CSV	手作業加工、取込、修正履歴、レビュー証跡が財務報告リスクに直結する場合は統制対象になり得る
クラウド・外部委託	外部に任せても会社の説明責任は残るため、委託先統制と会社側の確認手続を整理する
サイバーリスク	J-SOX上は、財務報告に関係するシステム停止、データ改ざん、復旧不能、決算・開示遅延への影響を中心に見る
実務上の出発点	システム台帳だけでなく、財務報告データの発生・承認・連携・修正・出力の流れを可視化する
最終的な目標	IT統制を、監査対応だけでなく、決算早期化、開示品質、子会社管理、経営管理体制の強化につなげること