内部統制とITの全般統制

内部統制とは、組織が業務を有効かつ効率的に遂行し、法令を遵守し、資産を守るために整備する仕組みである。情報システムに関する内部統制は、システム全体の基盤を支えるIT全般統制と、個々の業務データを正しく処理させるIT業務処理統制に分けて捉えられる。

全般統制と業務処理統制の違い

IT全般統制は、サーバ室への入退室の制限と記録、ファイアウォールの運用管理、システム開発を委託する際の選定手続など、システムの運用環境や開発・調達の基盤を守る統制である 。これらは個々の取引データを直接検証するものではなく、システム全体が安定して機能するための土台となる。

IT業務処理統制は、販売管理システムにおける入力データの正当性チェックのように、業務データが正しく入力され、処理されることを確かめる統制である 。商品コードの存在確認や数量の範囲チェックは、その典型的な具体例である。

ITに係る統制は、システム開発やアクセス権の管理などを含むIT全般統制と、入力チェックや処理結果の照合などを含むITに係る業務処理統制から成る 。両者は独立に働くものではなく、全般統制が機能しているという前提のもとで業務処理統制の信頼性が保たれる関係にある。

監査の視点: ガバナンス・マネジメント・コントロール

令和5年版のシステム監査基準では、情報システムを総合的に点検・評価する対象として、ガバナンス、マネジメント、コントロールの三つが挙げられる 。それぞれの観点は次のように整理できる。

ガバナンスは、IT投資が適切な効果を生んでいるか、新たな技術を経営戦略のために活用できているかなど、組織の方向付けを評価する観点である 。マネジメントは、情報セキュリティ対策を計画・運用・点検・改善の循環で管理しているかなど、計画や運用を管理する観点である 。コントロールは、個々の統制が実際に機能しているかを確認する観点であり、異常なアクセスを検出した際に適時に対処・報告がなされているかがその項目の例となる 。