システム監査の基準と内部統制

情報システム監査の基準と内部統制は、組織の情報システムが信頼でき、安全に、効率よく使われているかを点検するための枠組みである。監査人は、組織が定めた統制が設計どおりに整備され、継続して運用されているかを判断する。その拠り所となるのが、システム管理基準などの基準類と、財務報告に係る内部統制の評価及び監査に関する実施基準である。

内部統制の二つの区分

情報システムに対する統制は、IT に係る全般統制と IT に係る業務処理統制に分けて整理される。全般統制は、サーバ室の入退室管理、ファイアウォールの運用管理、システム開発の委託先選定のように、複数の業務処理に共通して情報システム全体の安全を支える仕組みを指す。一方、業務処理統制は、販売管理システムの入力データの正当性チェックのように、個々の業務処理で入力・処理・出力の正確性を確保する仕組みである。

金融庁の実施基準でも、IT の統制は全般統制と業務処理統制から成ると位置づけられている。例えば、アクセス管理は全般統制に、入力チェックは業務処理統制に当たる。両者を区別できると、どの統制の不備が業務全体の信頼性に影響するかを見積もりやすくなる。

原理・仕組み：IT 環境の範囲と統制の評価

内部統制の評価では、IT 環境を企業の内部に限定して考えてはならない。取引先や外部委託先など、企業の外側で利用されるITも、財務報告に関わるかぎりで評価の対象に含まれる。

また、統制活動を自動化していることだけで、統制が有効と評価してはならない。統制の設計が目的に合っているか、運用の状況が記録されているか、変更管理やアクセス管理が機能しているかを合わせて確認する必要がある。

逆に、ITを使わず手作業だけで統制を運用している場合も、それだけで直ちに不備とはならない。財務報告に関するリスクを踏まえ、統制が適切に整備され運用されているかで判断する。手段の違いではなく、統制が目的を果たしているかが評価の中心になる。

判断の基準：ログと記録の扱い

システム管理基準では、取得したログを不正なアクセスから保護し、内容が改ざんされないように保管することが求められる。調査や監査に使う記録の信頼性は、この保管の質に依存するからである。

ログの対象を通常の運用範囲の記録に限る必要はない。通常の運用範囲を超えたアクセスや違反行為の記録は、異常の検知や事後調査に欠かせない。特権的なアクセスの記録も、重大な操作を追跡するうえで重要な分析対象となる。