IT全般統制（ITGC）とは？～J-SOXの評価範囲と監査対応のポイント ～

上場会社にとって、財務報告の信頼性を確保することは重要な経営責任です。金融商品取引法に基づく内部統制報告制度、いわゆるJ-SOXでは、経営者が財務報告に係る内部統制を整備・運用し、その有効性を評価して内部統制報告書を作成します。監査法人は、経営者が行った評価結果を独立した立場から監査します。 

IPO準備企業では、上場審査と上場後の安定運用に備え、J-SOXを見据えた体制整備を進めます。対象範囲、統制、文書、証跡、評価体制を早期に整え、実際に運用できる状態にすることが重要です。 

本記事では、IT全般統制（ITGC）の位置づけ、評価範囲の決め方、文書化、評価、不備対応、クラウド・委託先管理、監査法人との協議について解説します。 

J-SOXにおけるIT統制の全体像 

J-SOXでは、財務報告に関係する業務プロセスとシステムのつながりを把握し、ITGCを含む次の統制を組み合わせて評価します。 

区分	役割	主な確認例
ITに係る全社的な内部統制	経営者の方針、組織・責任、ITリスク管理、グループ管理、モニタリング等を通じて、IT統制全体の基盤を形成する。	IT方針、責任者、報告経路、グループ規程、ITリスク評価、インシデント報告、内部監査
IT全般統制（ITGC）	IT業務処理統制が継続的に有効に機能するためのIT環境を支える。	開発・保守、変更、運用、アクセス、外部委託、障害、バックアップ等
IT業務処理統制（ITAC）	取引の正確性、完全性、正当性等を確保するため、業務プロセスに組み込まれる。	入力チェック、自動計算、承認ワークフロー、インターフェース照合、例外処理
ITを利用した手作業統制	システムが生成する情報を利用し、人が判断・承認・照合する。	システム帳票を用いた照合、例外リストのレビュー、仕訳承認

ITGCは、それ自体が財務諸表の誤りを直接防止するとは限りません。しかし、アクセス管理や変更管理が不十分であれば、自動統制やシステム生成情報の信頼性が損なわれ、複数の業務プロセスに広く影響します。そのため、ITGCの不備がITACや手作業統制の評価に与える影響も併せて検討します。 

評価範囲はどのように決めるのか 

評価範囲は経営者が決定します。計画段階や状況の変化があった場合には、必要に応じて監査法人と早期に協議し、範囲決定の考え方を共有します。 

範囲の検討では、連結ベースで財務報告への影響を分析し、重要な事業拠点、重要な勘定科目、業務プロセス、IT依存関係の順にたどって、対象システムとIT基盤を特定します。 

評価範囲決定の基本手順 

1. 連結ベースの全体像を把握する：親会社、子会社、関連会社、事業拠点、重要な取引、勘定科目及び決算・財務報告プロセスを把握します。 
2. 重要な事業拠点と業務プロセスを選定する：金額的重要性だけでなく、質的重要性、不正リスク、取引の複雑性、過去の不備、事業・組織の変化等を考慮します。 
3. ITへの依存関係を特定する：取引の開始から会計記録、連結、開示までを追い、アプリケーション、インターフェース、データベース、認証基盤、クラウド、EUC等を把握します。 
4. IT統制の評価単位を決める：共通のIT管理プロセスや基盤を踏まえ、どのシステムを一つの評価単位として扱うかを整理します。 
5. 範囲外とした理由を文書化する：重要性とリスクに照らした判断根拠を残し、組織再編、システム更改、不備の発生等があれば適時に見直します。 

重要性とリスクに基づく評価範囲 

2023年改訂の内部統制基準・実施基準では、評価範囲の選定において、財務報告への影響の重要性を適切に考慮することが改めて強調されました。「売上高等のおおむね3分の2」や、売上・売掛金・棚卸資産といった指標は、企業の状況に応じて利用する例示です。金額的重要性に加え、重要な会計見積り、非定型取引、資金管理、不正リスク、決算・連結・開示プロセス等の質的重要性も考慮します。 

また、過去に開示すべき重要な不備が生じた領域や、長期間評価範囲から外している領域については、範囲に含める必要性を慎重に検討します。評価範囲は前年踏襲ではなく、当年度のリスク評価に基づいて決定することが重要です。 

ITGCの主な評価領域 

実施基準では、IT全般統制の例として、システムの開発・保守、運用・管理、アクセス管理、外部委託に関する契約管理等が示されています。実務では、企業のIT環境と財務報告に影響するITリスクに応じて、次のように整理します。 

領域	主なリスク	主な統制例
開発・変更管理	未承認又は不適切なプログラム変更、要件誤り、移行不備	要件・承認、職務分離、テスト、移行承認、緊急変更、構成・リリース管理
運用管理	ジョブ失敗、障害、データ消失、処理漏れ	ジョブ監視、障害管理、バックアップ、リストアテスト、インターフェース監視、ログレビュー
アクセス管理	退職者ID、過大権限、特権ID乱用、不正な職務兼務	申請・承認、付与・変更・削除、定期棚卸、特権ID管理、認証、ログ監視
外部委託・クラウド管理	責任分界の不明確化、委託先統制の不備、サービス停止	事前評価、契約・SLA、責任分界、SOC報告書、補完的統制、再委託、障害・変更報告
セキュリティ・継続性	サイバー攻撃、改ざん、ランサムウェア、長期停止	脆弱性・パッチ管理、監視、インシデント対応、復旧計画、訓練

サイバーセキュリティ対策のすべてがJ-SOXの評価対象になるわけではありませんが、不正アクセス、改ざん、システム停止等が財務報告の信頼性に影響する場合は、そのリスクに対応する統制を評価します。企業全体のサイバーリスクは、J-SOXとは別に情報セキュリティ監査やシステム監査で評価する必要があります。 

ITGCの文書化 

フローチャート、業務記述書、RCMは、業務プロセスの取引の流れ、リスク及び統制を可視化するために用いられます。ITGCでは、企業の規模やIT環境に応じてフロー図、記述書、RCM、規程、手順書等を組み合わせ、ITリスク、統制、責任者、頻度、証跡及び評価手続を理解できるように文書化します。 

ITGCで一般的に整備する文書 

• 対象システム・IT基盤・インターフェースの一覧及び構成図 
• IT管理組織、役割、責任分界及び委託関係 
• IT規程、管理基準、手順書 
• ITGCのRCM又は統制一覧 
• 評価手続書、母集団、サンプル、評価結果及び証跡一覧 
• クラウド・委託先の責任分界表、SOC確認記録及び補完的統制 
• 不備一覧、影響評価、是正計画及びフォローアップ記録 

RCMは、財務報告リスクと統制の関係を整理し、経営者評価を一貫して行うための基礎文書です。RCMの記載内容をもとに、統制の整備状況と運用状況を証跡に基づいて評価します。 

評価の進め方 

1. 整備状況評価：統制がリスクを低減できるよう適切に設計され、実際に導入されているかを、質問、文書閲覧、観察、ウォークスルー等で確認します。 
2. 運用状況評価：統制の頻度、対象期間、母集団の完全性を確認し、再実施、閲覧、観察等により、期間を通じて有効に運用されたかを評価します。 
3. ITAC等への影響評価：ITGCの不備が、自動統制、システム生成情報、インターフェース及び関連する業務プロセスへ与える影響を検討します。 
4. 不備の集計・重要性評価：個々の不備だけでなく、複数不備の組合せ、波及範囲、発生可能性、代替的な統制等を踏まえ、財務報告への影響を評価します。 
5. 経営者による総合評価：内部監査部門等の評価結果と不備の是正状況を踏まえ、経営者が基準日現在の内部統制の有効性を最終判断します。 

統制実施部門による自己点検と、内部監査部門又は内部統制評価部門による評価は区別します。自己点検は運用状況を日常的に確認する活動ですが、経営者評価を支える評価担当者には、対象業務からの客観性が必要です。評価結果の最終責任は経営者にあります。 

よくある不備と、正しい対応 

不備例	リスク	対応の要点
変更の承認・テスト証跡がない	誤った又は不正な変更が本番環境へ反映される。	通常変更と緊急変更の手続を分け、申請、承認、テスト、移行、事後確認を記録する。
退職者IDや過大権限が残る	不正アクセス、職務分離違反、改ざんが生じる。	人事情報との連携、期限管理、定期棚卸、是正完了の確認を行う。
特権IDを共同利用する	操作主体を特定できず、不正利用を検知できない。	個人識別、貸出承認、パスワード管理、操作ログ、事後レビューを組み合わせる。
ジョブ・インターフェース異常を監視しない	取引の未処理、重複、データ欠落が見逃される。	異常検知、再処理、原因分析、完了確認及びエスカレーションを記録する。
SOC報告書を入手しただけ	対象サービス、期間、例外、利用企業側統制が確認されない。	適用範囲、Type、期間、統制目的、例外、補完的利用企業統制、再委託先を評価する。

不備が識別された場合は、事実と根本原因を確認し、財務報告への影響を評価します。その上で、是正又は補完統制を設計・運用し、残存リスクが許容可能かを経営者が判断します。補完統制については、対象リスクを十分に低減できる設計となっているか、実際に有効に運用されているかを確認します。 

クラウド・委託先管理のポイント 

システムの開発・運用やクラウドサービスの利用を外部に委託しても、財務報告に係る内部統制についての責任と、株主・監査人等に対する説明責任は自社に残ります。外部委託によって移転できるのは業務の実施であり、その業務に伴うリスクの管理責任まで委託先へ移るわけではありません。経営者は、委託業務の重要性とリスクを把握し、委託先の統制を含めて自社の内部統制が有効に機能しているかを評価します。 

自社が求める統制水準を明確にする 

委託先に対しては、自社の規程や手続をそのまま適用させるのではなく、委託業務で達成すべき統制目的と管理水準を明確にします。例えば、アクセス権限の承認・棚卸、プログラム変更の承認とテスト、障害・インシデントの報告、バックアップと復旧、ログの保存、再委託先の管理などについて、必要な水準を契約、仕様書、SLA、責任分界表等に定めます。 

委託先が独自の管理手続を採用している場合でも、その手続によって自社が求める統制目的を達成できるかを確認します。委託先側で実施する統制、自社側で実施する統制、双方が連携して実施する統制を区分し、実施者、報告内容、証跡及び問題発生時の対応を明確にすることが重要です。 

委託先管理は契約前から終了時まで継続する 

• 委託前：委託業務の重要性とリスクを評価し、候補先の経営安定性、セキュリティ、内部統制、障害・事故履歴、事業継続体制等を確認する 
• 契約時：役割と責任、SLA、監査・報告権、インシデント・障害・重要変更の通知、再委託、データ管理、事業継続、契約終了時の返却・移行・削除等を定める 
• 利用中：サービスレベル、障害、変更、インシデント、アクセス権限、バックアップ、SOC報告書の例外事項及び改善状況を定期的にモニタリングする 
• 変更・更新時：サービス内容、責任分界、再委託先、データ保管場所、契約条件等の変更が自社の統制へ与える影響を評価する 
• 終了時：データの返却・移行・削除、アカウントや接続権限の廃止、証跡の保存、後継サービスへの引継ぎを確認する 

SOC報告書と自社側の補完的統制 

SOC報告書は、委託先の統制を確認するための重要な監査証拠になり得ます。財務報告目的であれば、通常はSOC 1について、対象サービス、Type 1・Type 2の別、対象期間、統制目的、例外事項、補完的利用企業統制、サブサービス組織の取扱い等を確認し、自社の評価手続と組み合わせます。報告期間と自社の評価基準日に間隔がある場合は、ブリッジレターや期間後の変更・障害情報も確認します。 

特に、SOC報告書に記載される補完的利用企業統制は、委託先の統制が有効に機能するために利用企業側で実施することが前提となる統制です。例えば、利用者IDの登録・削除、権限設定、定期的な権限棚卸、入力データの承認、出力結果の確認等は、自社側に残ることがあります。該当する統制をRCMへ反映し、自社で整備・運用・評価する必要があります。 

SOC報告書を入手できない場合や、報告書の対象範囲・期間が自社の利用状況を十分にカバーしない場合は、委託先への質問票、監査報告、第三者認証、契約・運用報告、現地確認等を組み合わせ、必要な監査証拠を確保します。重要な統制を確認できない状態が続く場合は、追加統制、契約条件の見直し、代替サービスへの移行等も検討します。 

監査法人との協議を円滑にするポイント 

監査法人との協議では、経営者が行った範囲決定、統制設計、評価手続及び不備判断を、リスクと証拠に基づいて説明します。 

• 評価計画の段階で、重要な変更と評価範囲の考え方を必要に応じて協議する 
• 監査法人からの資料依頼を待たず、RCM、母集団、サンプル、証跡を整合させる 
• 範囲外とした拠点・プロセス・システムについて、重要性とリスクに基づく理由を残す 
• 不備について、事実、原因、影響範囲、補完統制、是正計画及び再評価結果を整理する 
• 見解が異なる場合は、用語や形式ではなく、対象リスクと監査証拠を確認して協議する 

監査法人の協議や指導的機能を活用することは有用ですが、評価範囲の決定と内部統制の有効性判断は経営者の責任です。また、監査法人は独立性を保つ必要があるため、会社に代わって統制を設計・運用・評価する立場ではありません。 

近年の環境変化と対応 

クラウド、SaaS、API連携、RPA、AI、アジャイル開発の利用拡大により、システム構成と責任分界は複雑化しています。そのため、年1回の証跡収集だけに依存せず、日常の統制運用の中で証跡が残る仕組みや、権限・設定・ジョブ異常を継続的に把握する仕組みを取り入れることは有効です。 

継続的モニタリングや自動化の導入は、リスク、統制頻度、データの信頼性、例外処理及び費用対効果を踏まえて判断します。自動化した場合は、対象範囲、設定変更、アラート対応、モニタリングツール自体のアクセス管理等も統制します。 

よくある質問（FAQ） 

Q. ITGCの対象は会計システムだけですか？ 

A. 会計システムだけとは限りません。販売、購買、生産、在庫、給与、連結、開示等、財務報告に重要な情報を生成・処理するシステムと、それらを支える認証基盤、データベース、クラウド、インターフェース等を対象に検討します。 

Q. ITGCでは3点セットを必ず作成しますか？ 

A. 法令上、ITGCについてフローチャート、業務記述書、RCMの形式を一律に要求しているわけではありません。ITリスク、統制、責任、頻度、証跡及び評価手続を理解・評価できる文書を、企業の規模と複雑性に応じて整備します。 

Q. 前年度に評価したシステムは当年度の評価を省略できますか？ 

A. 特定の年数を機械的に適用して省略することは適切ではありません。IT環境、統制、担当者、委託先、システム変更、過去の不備等を踏まえ、当年度の評価方法と頻度を経営者が慎重に判断し、必要に応じて監査法人と協議します。 

Q. SOC報告書があれば委託先管理は十分ですか？ 

A. 十分とは限りません。対象サービスと期間、統制目的、例外、補完的利用企業統制、再委託先等を確認し、自社の統制と組み合わせて評価します。契約、SLA、障害・変更情報等の継続的なモニタリングも必要です。 

まとめ 

ITGCは、財務報告に影響するITリスクを特定し、ITACや手作業統制が継続的に機能するIT環境を整備・運用する仕組みです。J-SOXでは、その有効性を経営者が評価します。 

評価範囲は、売上高等の数値基準や前年の範囲を機械的に踏襲せず、連結ベースの財務報告への影響と当年度のリスクに基づいて決定します。クラウド利用では、責任分界、SOC報告書、補完的利用企業統制を一体で評価することが重要です。 

コントロールソリューションズ株式会社では、上場会社・IPO準備企業向けに、評価範囲の整理、ITGC・ITACの文書化、評価手続、不備改善、クラウド・委託先管理、監査法人との協議支援を行っています。実務の属人化や評価方法にお悩みの場合は、個別相談をご利用ください。 

参考資料 
・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」〔2023年4月7日公表、2024年4月1日以後開始事業年度から適用〕 
・金融庁「内部統制報告制度に関するQ&A」