IT統制・システム・データ管理｜J-SOX対応でシステムとデータを説明できる会社にするための論点地図

J-SOX対応の議論がIT統制に及んだ途端、話が前に進まなくなる。そうした会社は少なくありません。

経理部門は「システムのことは情報システム部門でなければ分からない」と考え、情報システム部門は「会計やJ-SOXのことは経理部門で判断してほしい」と考える。内部監査部門は、アクセス権限、変更管理、ログ、クラウド、システム台帳、ワークフローの証跡を評価しなければなりません。しかし、どのシステムが財務報告に関係するのか、どの証跡を見れば統制が有効といえるのか、その判断まではつきかねる。

こうして、IT統制はいつのまにか「情報システム部門にチェックリストを渡す作業」になっていきます。

けれども、J-SOXにおけるIT統制は、情報システム部門だけの論点ではありません。販売管理、購買管理、在庫管理、固定資産、給与、経費精算、会計、連結、開示、ワークフロー、クラウドストレージ、電子契約、RPA、BIツール。財務報告に用いられるデータが、どのシステムで生成され、どのように承認され、どのように会計処理や開示資料へつながっていくのか。それを説明するための統制です。

この第八テーマでは、J-SOXにおけるIT統制を、会計・業務・システム・データ・証跡・外部委託の接点として整理します。個別の技術論やセキュリティ施策を網羅するのではありません。「どの財務報告リスクに対して、どのシステムとデータが関係し、誰が、どの証跡で、どこまで説明できるべきか」。この視点から、詳細コラムへ読み進めるための論点地図をお示しします。

このテーマで理解できること

このテーマの中心にあるのは、IT統制を「IT部門の管理項目」としてではなく、「財務報告の信頼性を支える経営管理基盤」として捉え直すという発想です。

金融庁は2023年4月に内部統制基準・実施基準の改訂意見書を公表しました。そこでは、内部統制の基本的要素である「情報と伝達」について、大量の情報を扱う状況等において情報の信頼性確保にシステムが有効に機能することの重要性が示されています。あわせて「ITへの対応」では、ITの委託業務に係る統制、そしてサイバーリスクの高まりを踏まえた情報システムのセキュリティ確保の重要性が示されました。
出典：金融庁｜「『財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）』の公表について」

さらに2023年8月には、内部統制報告制度に関するQ&Aおよび事例集も改訂されています。J-SOX対応では、現行の基準・実施基準・Q&Aを前提に、会社の評価範囲、IT統制の設計、証跡、評価手続、監査法人対応を整合させることが欠かせません。
出典：金融庁｜「『内部統制報告制度に関するQ&A』等の改訂について」

ただし、ここで一点、注意しておきたいことがあります。2023年改訂により、内部統制の基本的枠組みにおける目的の表現は「財務報告の信頼性」から「報告の信頼性」へと見直されました。一方で、金融商品取引法上の内部統制報告制度は、あくまで財務報告の信頼性の確保を目的とする点が強調されています。したがって、J-SOX上のIT統制も、サイバーセキュリティ全般を無制限に評価対象へ広げるのではなく、財務報告に影響するシステム・データ・処理・証跡を中心に整理していく必要があります。

第八テーマを読み進めていただくことで、次のような判断ができるようになります。

自社のJ-SOX対応で、どのシステムが評価対象になり得るのか
IT全般統制とIT業務処理統制を、どのように分けて理解すべきか
電子承認やログは、監査上の証跡としてどこまで説明できる必要があるのか
クラウドや外部委託先を利用している場合、会社側に残る責任は何か
経理部門、IT部門、内部監査部門は、どの資料をもとに共通認識を持つべきか

このテーマは、IT統制を「専門用語の理解」で終わらせるのではなく、決算・開示・業務プロセス・証跡・監査法人対応へつなげて考えるための入口です。

IT統制は、業務プロセスと切り離して理解しない

IT統制の失敗は、多くの場合、技術不足だけで起こるわけではありません。むしろ、業務フロー、会計処理、システム処理、承認、証跡が分断されていることによって起こります。

たとえば、販売管理システムから会計システムへ売上データが連携されている場合を考えてみます。このとき、システム連携そのものだけを見ても十分ではありません。受注、出荷、検収、売上計上、請求、入金消込のどこで財務報告リスクが生じるのか。そのリスクに対して、承認、入力制限、マスタ管理、自動計算、エラー処理、照合、レビューがどのように効いているのか。ここまで整理して、はじめて意味を持ちます。

業務フローを理解する目的は、単にフローチャートを作ることではありません。業務上の課題やリスク、それを低減する内部統制を把握し、全体最適化につなげることにあります。業務フローを知らないままリスクを特定するのは、現実にはなかなか難しいものです。まず典型的な業務の流れを理解したうえで、自社に必要な統制と不要な統制を見極めていく。この順序が重要になります。

そのため、第八テーマは、テーマ7「主要業務プロセス統制」と強く接続します。販売、購買、在庫、人件費、固定資産、資金といった業務プロセスのどこにITが組み込まれているのか。ここを理解しなければ、IT統制は実務に落ちません。

推奨する読み進め方

第八テーマは、8-1から8-6までを順番に読むことを基本としています。IT統制は、用語だけを眺めると「全社統制」「全般統制」「業務処理統制」「ログ」「クラウド」「サイバーリスク」と論点が散らばって見えますが、実務上は理解の順番があります。

まず、8-1でJ-SOXにおけるIT統制の全体像を把握します。ここで、IT統制が財務報告に関係するシステムとデータの信頼性を支える統制であることを押さえておきます。そのうえで、8-2でIT全般統制、8-3でIT業務処理統制、8-4で電子証跡、8-5でクラウド・外部委託、8-6で部門連携へと進む構成です。

すでに監査法人から特定の指摘を受けている場合は、該当する記事から読んでいただいても構いません。ただし、アクセス権限や変更管理の指摘であっても、評価対象システムの考え方が曖昧であれば8-1に戻るべきです。電子承認やログの証跡性に悩んでいる場合でも、IT全般統制の理解が不足していれば8-2を先に確認する必要があります。クラウドや外部委託先の統制を考える場合も、8-1から8-4の前提がなければ、責任分界を正しく判断しにくくなります。

8-1. J-SOXにおけるIT統制の全体像

「IT統制の対象範囲が分からない」という方は、まず8-1から読むことを想定しています。

この詳細コラムでは、J-SOXにおけるIT統制を、IT全社統制、IT全般統制、IT業務処理統制に分けて整理します。重要なのは、社内に存在するすべてのシステムを一律にJ-SOX評価対象にすることではありません。財務報告に関係するシステム、データ、業務処理、証跡を特定することです。

経済産業省の「財務報告に係るIT統制ガイダンス」でも、IT統制の評価範囲は、評価対象となる事業拠点のアプリケーション・システムとの関係から整理して把握することが基本とされています。また、事業拠点の組織区分と、アプリケーション・システムやIT基盤が一致しない場合がある点にも留意が必要とされています。
出典：経済産業省｜「システム管理基準追補版（財務報告に係るIT統制ガイダンス）」

8-1は、以後のすべての記事の前提となる記事です。システム台帳、評価範囲、データ連携、外部委託、IT依存統制という言葉が社内で曖昧なまま使われているなら、ここから読むべきです。

8-1の詳細コラムを読む

8-2. IT全般統制｜アクセス権限・変更管理・運用管理

アクセス権限、ID管理、特権ID、変更管理、プログラム修正、ジョブ管理、バックアップ、障害対応に不安がある場合は、8-2が中心になります。

IT全般統制は、IT業務処理統制が継続的に有効に機能するための前提を支える統制です。たとえば、売上計算ロジックが正しく設計されていても、誰でも本番環境を変更できる状態であれば、その自動計算に依拠することは難しくなります。承認ワークフローが適切に設計されていても、承認ルートや権限ロールを無制限に変更できる状態であれば、統制としての信頼性は低下してしまいます。

IT全般統制は、自動化されたIT業務処理統制の有効性を支える前提となり、評価手続の効率化にも影響します。関連するIT全般統制の整備・運用状況が有効であれば、自動化されたIT業務処理統制の評価を効率化できる場合があります。ただしその分、アクセス権限、変更管理、運用管理の設計と証跡が重要になってきます。

8-2では、アクセス権限や変更管理を、単なるシステム管理ではなく、財務報告リスクを支える統制基盤として整理します。

8-2の詳細コラムを読む

8-3. IT業務処理統制と会計システム連携

「システムで処理されているから正しいはず」という説明で済ませてしまっている会社は、8-3を読むべきです。

IT業務処理統制は、入力、処理、出力、インターフェースの正確性を支える統制です。自動計算、マスタ管理、入力制限、承認ワークフロー、データ連携、エラー処理、出力帳票など、業務プロセスの中に組み込まれているIT上の統制を扱います。

J-SOX上、システム処理を説明する際には、「どのシステムを使っているか」だけでは足りません。どのデータが入力され、どの処理ロジックを通り、どの帳票・仕訳・開示基礎資料へ出力されるのか。エラーや例外があった場合に誰が検知し、誰が修正し、どの証跡が残るのか。こうした流れを説明できる必要があります。

8-3は、テーマ7の各業務プロセス統制と密接に接続します。販売、購買、在庫、人件費、固定資産、資金などの業務プロセスを、会計システムや周辺システムと結びつけて理解したい方に向いています。

8-3の詳細コラムを読む

8-4. 電子証跡・ログ・ワークフロー承認の扱い

電子承認やログを「証跡として十分」と言い切れるか不安な場合は、8-4を読むべきです。

紙の押印がなくなり、ワークフロー承認、電子契約、クラウドストレージ、チャットツール、システムログ、タイムスタンプなどが証跡として使われる場面が増えています。電子化は、証跡の取得・保存・検索を効率化してくれる一方で、別の問題も生みます。後から承認内容が分からない、ログの保存期間が短い、誰が確認したか説明できない、出力条件が不明確、改ざん防止の仕組みが弱い。こうした状況です。

J-SOX上の証跡は、「データが存在する」だけでは足りません。誰が、いつ、何を、どの資料に基づいて確認し、その結果どのような判断をしたのか。後から説明できる必要があります。

8-4では、電子証跡を監査に耐える形で扱うために、完全性、閲覧可能性、改ざん防止、承認内容の明確性、保存ルール、アクセス履歴の観点を整理します。電子帳簿保存法の網羅的解説ではなく、J-SOX上の証跡性に絞って読む記事です。

8-4の詳細コラムを読む

8-5. クラウド・外部委託先利用時のIT統制

クラウドサービス、データセンター、SaaS、外部ベンダー、BPO、システム保守会社を利用している場合は、8-5が重要になります。

外部委託しても、財務報告に係る内部統制責任が会社から消えるわけではありません。クラウド事業者や外部委託先が運用している領域について、会社がどのように責任分界を理解し、委託先管理、サービスレポート、障害時対応、データ保全、アクセス管理、ログ取得を確認するか。ここが問われます。

近年は、SaaS、IaaS、PaaSなどのクラウドサービスの利用が進み、従来は社内で実施していたシステム運用・保守・データ管理の一部が外部に移りました。金融庁の2023年改訂意見書も、IT委託業務に係る統制の重要性や、クラウド・リモートアクセス等を含むIT環境の変化を踏まえた対応の重要性を示しています。
出典：金融庁｜「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」

8-5では、個別サービスの比較ではなく、J-SOX上、委託先統制をどのように把握し、どこまで自社で評価・説明すべきかを整理します。

8-5の詳細コラムを読む

8-6. IT部門・経理部門・内部監査の連携

IT統制が情報システム部門任せになっている場合、あるいは経理部門とIT部門の会話が噛み合わない場合は、8-6を読むべきです。

J-SOX上のIT統制は、IT部門だけでも、経理部門だけでも、内部監査部門だけでも完結しません。IT部門はシステム構成、権限、変更管理、ログ、データ連携を理解しています。経理部門は財務報告リスク、勘定科目、決算・開示影響、監査法人の質問意図を理解しています。内部監査部門は評価計画、整備評価、運用評価、不備評価、証跡の十分性を確認します。それぞれが持つ視野は、重なりながらも異なります。

なお、内部監査部門には独立性と客観性が求められます。内部監査が助言やファシリテーションを行う場合でも、評価対象を自ら運用する立場にならないよう、役割を整理しておく必要があります。

8-6では、責任分担、システム台帳、業務フロー、IT依存統制、評価資料、監査法人対応を、部門横断でどうつなぐかを扱います。IT統制の論点が毎年手戻りしている会社にとって、特に重要な記事です。

8-6の詳細コラムを読む

自社の課題から読む記事を選ぶ

IT統制の対象範囲そのものが分からない場合は、8-1から読むべきです。自社で利用している会計システム、販売管理システム、購買管理システム、在庫管理システム、給与システム、経費精算システム、連結システム、開示支援ツール、Excel・RPA・BIツールが、どの財務報告リスクに関係するのか。それを整理する入口になります。

監査法人からアクセス権限、特権ID、変更管理、バックアップ、障害対応について指摘されている場合は、8-2が適しています。ただし、8-2を読む前に、対象システムの範囲が曖昧であれば8-1に戻る必要があります。

売上、在庫、給与、経費、固定資産、連結、開示などの自動処理やシステム連携が正しく説明できない場合は、8-3を読むべきです。特に、システムから出力した帳票を経理レビューに使っている会社では、その帳票の完全性・正確性をどう説明するかが重要になります。

電子承認、ログ、ワークフロー、クラウドストレージ上の保存資料を証跡として使っている場合は、8-4が役立ちます。紙の証跡から電子証跡へ移行した会社ほど、証跡の見え方ではなく、証跡としての説明力を確認する必要があります。

クラウドや外部委託先を利用している場合は、8-5を読むべきです。サービス提供会社がセキュリティ対策をしているから大丈夫、SOCレポートを入手しているから大丈夫。この理解だけでは足りません。会社側の責任範囲、補完利用者統制、障害時対応、データ取得可能性を確認する必要があります。

IT部門、経理部門、内部監査部門の間で責任分担が曖昧な場合は、8-6を読むべきです。IT統制の実務では、制度理解、会計リスク、システム構成、評価証跡、監査法人対応を翻訳できる体制がなければ、毎年同じ手戻りが起こります。

第八テーマと他テーマのつながり

第八テーマは、シリーズの中で独立したIT論点として存在しているわけではありません。

評価範囲の判断はテーマ3とつながります。 IT統制の評価対象システムを決めるには、重要な事業拠点、重要な勘定科目、業務プロセス、決算・財務報告プロセスとの関係を整理しなければなりません。

証跡管理はテーマ4とつながります。 電子承認やログは、証跡管理の一部です。業務記述書、フローチャート、RCMに、どの電子証跡がどの統制を支えているのかを反映する必要があります。

決算・開示プロセスはテーマ6とつながります。 会計システム、連結システム、開示基礎資料、リードシート、開示チェックは、IT統制と切り離せません。決算早期化では、単体決算、連結決算、開示業務を分断せず、最終成果物から逆算して考える「森を見る視点」が重要になります。

業務プロセス統制はテーマ7とつながります。 販売、購買、棚卸資産、固定資産、人件費、資金の各プロセスで、どのシステムが使われ、どのマスタ・自動計算・承認・データ連携が財務報告リスクに影響するのかを理解する必要があります。

評価実務はテーマ9とつながります。 IT統制は、整備評価と運用評価の対象になります。アクセス権限レビュー、変更管理、ログ、電子承認、クラウドの委託先統制について、どの証跡で運用評価するのかを事前に設計する必要があります。

監査法人対応はテーマ10とつながります。 IT統制は、監査法人との認識合わせが遅れると手戻りが大きくなりやすい領域です。評価範囲、IT全般統制、IT業務処理統制、電子証跡、クラウド、SOCレポート、補完統制について、早期に整理することが重要です。

子会社管理はテーマ12とつながります。 親会社の財務報告に使われるデータが子会社システムから生成される場合、子会社のIT統制、連結パッケージ、データ連携、証跡取得可能性を親会社が説明できる状態にする必要があります。

経営管理体制はテーマ14とつながります。 J-SOX対応で整えたシステム・データ・証跡は、月次決算、予算管理、KPI、経営会議、決算早期化にも活用できます。IT統制は、守りの監査対応だけではなく、会社が数字を早く正確に使うための基盤にもなります。

このテーマで避けたい誤解

第八テーマで最も避けたいのは、「IT統制＝情報システム部門の管理表」と考えることです。

システム台帳を作ること自体は重要です。ただ、システム台帳にシステム名と契約先だけが並んでいても、J-SOX上は不十分です。そのシステムがどの業務プロセスに使われ、どの勘定科目や開示項目に影響し、どの統制と証跡に関係するのか。ここを説明できなければ、評価資料として機能しません。

次に避けたいのは、「クラウドだから自社では統制できない」と考えることです。外部委託先やクラウド事業者が担う統制領域はたしかにあります。しかし、会社側が利用者として担う設定、権限、承認、データ確認、補完統制、障害時対応は残ります。外部に委託したからといって、財務報告に係る説明責任がなくなるわけではありません。

もう一つの誤解は、「ログがあるから証跡として十分」という考え方です。ログは有用な証跡になり得ますが、ログの保存期間、出力条件、閲覧権限、改ざん防止、承認内容との対応関係が不明確であれば、監査上の証跡として十分に使えない場合があります。

また、「監査法人に聞いてから決める」という姿勢も危うさをはらみます。監査法人との協議は重要です。ただし、会社が自ら評価範囲、統制設計、証跡、補完統制の判断根拠を整理していなければ、協議は確認の場ではなく、手戻りの場になってしまいます。

相談前に整理しておきたいこと

IT統制について専門家に相談する前には、まず財務報告に関係するシステムを洗い出すことが有効です。会計システムだけではありません。販売、購買、在庫、人件費、経費、固定資産、資金、連結、開示、ワークフロー、クラウドストレージ、RPA、Excel管理表まで確認します。

次に、それぞれのシステムについて、どの業務プロセスで使われ、どの勘定科目や開示資料に影響するのかを整理します。システム間でデータが連携されている場合は、連携方式、連携頻度、エラー処理、再処理、照合証跡を確認します。

さらに、アクセス権限、特権ID、マスタ変更、プログラム変更、承認ルート変更、ログ保存、バックアップ、障害対応、外部委託先管理について、誰が責任者で、どの証跡が残っているのかを把握します。

最後に、監査法人から過年度に受けたコメントや追加依頼を整理します。IT統制の指摘は、単独で出てくるものではなく、評価範囲、業務フロー、RCM、証跡、内部監査調書、監査法人協議記録とつながっていることが多いためです。

ここまで整理できていると、相談は「IT統制が不安です」という抽象的な話ではなく、「このシステム、このデータ、この統制、この証跡を、どの範囲までJ-SOX上説明すべきか」という具体的な検討へ進みます。

IT統制を、会社の説明力を高める仕組みにする

IT統制は、手間のかかる監査対応として捉えられがちです。確かに、アクセス権限レビュー、変更管理、ログ取得、クラウド管理、システム台帳、評価調書の整備には負荷がかかります。

しかし、IT統制を正しく設計できれば、J-SOX対応だけでなく、決算早期化、開示品質、業務標準化、権限移譲、子会社管理、監査法人対応の手戻り削減にもつながっていきます。

システムから生成される数字を信頼できる状態にすること。電子承認やログを後から説明できる状態にすること。業務フローとデータ連携を可視化すること。クラウドや外部委託先を利用していても責任分界を説明できること。これらは、J-SOXのためだけではありません。会社が成長しても数字と業務を管理できる状態を作るために必要なことです。

J-SOXにおけるIT統制は、資料を揃える作業ではありません。会社が、自らのシステム、データ、権限、証跡、判断過程を説明できる状態に整える取り組みです。

犬飼公認会計士・税理士事務所へのご相談について

IT統制は、専門用語が多く、どこまで整えればよいかが見えにくい領域です。過剰に対応すれば現場の負荷が大きくなり、逆に不足すれば監査法人対応や内部監査評価で手戻りが生じます。

犬飼公認会計士・税理士事務所では、J-SOX対応を、単なる文書化やチェックリスト対応ではなく、決算・開示・業務プロセス・IT・証跡・内部監査をつなぎ、会社が自ら説明できる管理体制を整える取り組みとして支援しています。

IT統制の評価範囲が曖昧である、システム台帳と業務フローがつながっていない、電子証跡やログの扱いに不安がある、クラウド・外部委託先の統制をどう説明すべきか整理したい、経理部門・IT部門・内部監査部門の役割分担を見直したい。こうした場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページよりご相談ください。

お問い合わせフォームへ

当事務所について詳しく知る

出典・参考情報

重要事項の振り返り

振り返り項目	押さえるべきポイント
第八テーマの役割	IT統制を、財務報告に関係するシステム・データ・証跡を説明するためのテーマとして整理する
IT統制の基本姿勢	情報システム部門だけの論点ではなく、経理・業務・内部監査・監査法人対応と接続して考える
読む順番	8-1で全体像を確認し、8-2、8-3、8-4、8-5、8-6へ順番に進む
8-1	IT統制の対象範囲、IT全社統制、IT全般統制、IT業務処理統制の関係を理解する
8-2	アクセス権限、変更管理、運用管理など、IT業務処理統制を支える前提を整理する
8-3	入力、処理、出力、データ連携、自動計算など、会計システム連携に関係する統制を理解する
8-4	電子承認、ログ、ワークフロー、電子証跡をJ-SOX上どのように説明するかを確認する
8-5	クラウド・外部委託先を利用しても会社側に残る統制責任を整理する
8-6	IT部門、経理部門、内部監査部門の責任分担と監査法人対応をつなげる
最終的な目的	IT統制をチェックリスト対応で終わらせず、会社が数字・業務・システム・証跡を説明できる状態にする

シリーズトップへ戻る