IT統制と監査項目の評価

IT統制とは、情報システムが信頼して利用できる状態を保つために組織が設ける内部統制であり、その評価とは、統制が目的に照らして適切に設計され、実際に機能しているかを確かめる作業である。システム監査では、ガバナンス、マネジメント、コントロールの三つの視点から監査項目を検証・評価するため、各項目がどの視点で何を確かめるものかを区別することが重要になる。本単元では、IT統制の分類、三つの視点による判断の基準、実務での適用、試験で問われやすい区別の順に整理する。

IT統制の分類と仕組み

IT統制は、IT に係る全般統制と IT に係る業務処理統制に分けて理解する。金融庁の財務報告に係る内部統制の評価及び監査に関する実施基準においても、ITの統制はこの二つから成ると整理されている。全般統制は、システムの運用環境や開発・調達の管理など、IT環境全体を支える仕組みを対象とする。サーバ室への入退室を制限・記録する管理やファイアウォールの運用管理は全般統制に当たり、システム開発の委託先を選定する手続も委託の管理として全般統制に含まれる。

一方、業務処理統制は、個々の業務データが正しく入力・処理されることを直接確かめる統制である。販売管理システムの入力データの正当性をチェックする機能が典型例であり、商品コードの存在確認や数量の範囲チェックによって、業務データの正確性を担保する。

両者は関連して機能するため、どちらか一方だけで統制全体の有効性を判断することはできない。また、統制を自動化しただけでは有効と評価できず、手作業による統制が直ちに不備になるわけでもない。重要なのは形式ではなく、その統制が目的に照らして適切に設計・運用されているかである。

三つの視点による判断の基準

システム監査基準（令和5年）に従う監査では、監査目的に基づいて、ガバナンス、マネジメント、コントロールの視点から検証・評価を行う。三つの視点は評価の対象と確かめる内容が異なるため、監査項目をどの視点に当てはめるかを最初に決める必要がある。判断の際は、評価対象が組織の方向付けに関するものか、管理の仕組みに関するものか、個々の統制の運用に関するものかを特定する。