IT統制と業務処理統制の監査

ITに係る統制は、情報システムに対する統制を大きく二つに分けて整理される。一つはITに係る全般統制であり、システムの開発・保守、運用環境、アクセス管理など、複数の業務処理を支える共通の基盤に関する統制である。もう一つはITに係る業務処理統制であり、個々のアプリケーションや業務処理に組み込まれた入力チェックや照合などの統制である。監査では、両者が相互に関連して機能しているかを確かめる。

ITに係る統制の体系と原理

金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」では、ITの統制は、ITに係る全般統制及びITに係る業務処理統制から成るとされている。 両者は関連して機能するため、自動化された処理を評価するには、処理の設計や設定が適切かを確認するとともに、その処理を支えるIT全般統制が機能しているかも併せて評価する必要がある。

統制をITで自動化しただけでは、それだけで有効と評価することはできない。一方、手作業による統制であっても、目的に照らして適切に設計・運用されていれば、直ちに不備となるわけではない。

監査の視点としては、ガバナンス、マネジメント、コントロールの三つがある。コントロールの視点からは、異常なアクセスを検出した際に適時に対処・報告されているかなど、統制が実際に機能しているかを検証する。 IT投資が適切なリターンを生んでいるかや、新技術を経営戦略に活用できているかは、組織の方向付けを評価するガバナンスの観点に当たる。

全般統制と業務処理統制の判断基準

ITに係る全般統制の例として、システムの開発・保守に係る管理が挙げられる。 一方、例外処理の修正と再処理、業務別マスタの維持管理、入力情報の完全性・正確性・正当性を確保する統制は、個別の業務処理に組み込まれた統制として整理される。

サーバ室への入退室の管理やファイアウォールの運用管理は、システムの運用環境や不正アクセスからの保護を担う全般統制に当たる。 販売管理システムにおける入力データの正当性チェック機能は、販売業務のデータが正しく処理されるようにする業務処理統制に当たる。例えば、商品コードの存在確認や数量の範囲チェックなどが該当する。

アクセス管理では、組織共通の規程を定めることや利用者への教育は組織全体の管理であり、業務処理統制には当たらない。 一方、個別のアプリケーションシステムに業務内容に応じた権限を付与し、利用者IDとパスワードによる認証機能を設けることは、業務処理統制の例に当たる。 ただし、認証機能があれば常に業務処理統制になるわけではない。個別のアプリケーションに設ける条件で判断する点に注意が必要である。