内部統制におけるIT統制とは？

IT統制とは、内部統制を有効に機能させるために、ITを使った業務を安全かつ正確に運用するための仕組みです。会計処理や在庫管理、販売管理の多くがシステムに依存する現在、IT統制なしに財務報告の信頼性は保てません。

本記事では、IT統制と内部統制の関係、IT統制を構成する3つの分類、評価範囲の考え方、よくある不備と対策、そして2024年適用の実施基準改訂による影響までを、内部統制の初学者にもわかりやすく整理して解説します。

IT統制とは？内部統制における位置づけ

IT統制とは、企業の内部統制の一部であり、ITを活用した業務が安全・正確に処理・記録されることを確保するための統制活動を指します。財務データの計算・集計・記帳の大部分がシステム上で行われる以上、そのシステムが信頼できなければ、財務報告そのものの信頼性も揺らいでしまいます。

日本の内部統制の基準では、内部統制を構成する6つの基本的要素の一つとして「ITへの対応」が位置づけられています。つまりIT統制は、内部統制と切り離された別個の取り組みではなく、内部統制を成立させるための土台の一つです。手作業による統制（承認印やダブルチェックなど）だけでは補いきれない部分を、ITの仕組みで確実にコントロールする、という考え方になります。

内部統制の6つの基本的要素や全体像については、以下の記事で詳しく解説しています。

IT統制が内部統制で重要視される理由

業務のIT依存が高まるほど、統制が効かなくなったときの影響範囲も広がります。手作業なら1件ずつのミスで済むところ、システムの設定やプログラムに誤りがあれば、同じ誤りがすべての取引に一律で反映されてしまうためです。IT統制は、この「誤りが自動的に大量発生するリスク」を抑える役割を担っています。

上場企業や上場準備企業では、金融商品取引法に基づく内部統制報告制度（J-SOX）への対応として、財務報告に関わるIT統制の構築・評価・文書化が求められます。監査法人による内部統制監査でもIT統制は重点的に確認される領域であり、ここに不備があると監査対応の負担が一気に増えます。

J-SOX（内部統制報告制度）の基本については、以下の記事もあわせてご覧ください。

IT統制を構成する3つの分類

IT統制は、対象とする範囲や役割の違いから、大きく3つに分けて考えると整理しやすくなります。「全社的なIT統制」「IT全般統制（ITGC）」「IT業務処理統制（ITAC）」の3つです。

1. 全社的なIT統制

全社的なIT統制は、会社全体のIT環境やIT戦略、情報セキュリティ方針といった、組織レベルでのITへの取り組み姿勢に関わる統制です。全社的な内部統制の中で「ITへの対応」がどのように方針づけられ、運用されているかを見る部分にあたります。個別のシステムというより、経営としてITリスクをどう管理する体制になっているか、という土台の考え方です。

2. IT全般統制（ITGC）

IT全般統制（IT General Controls：ITGC）とは、金融庁の実施基準で「業務処理統制が有効に機能する環境を保証するための統制活動」と定義される統制です。次に説明するIT業務処理統制が正しく働き続けるための「基盤」を整える役割を持ちます。具体的には、次のような領域が対象になります。

• システムの開発・変更管理（新規開発や改修を、承認・テストを経て安全に反映する仕組み）
• システムの運用・管理（ジョブの監視、障害対応、データのバックアップなど）
• アクセス管理・セキュリティの確保（権限付与や退職者アカウントの削除、不正アクセスの防止）
• 外部委託先の管理（クラウドやシステム運用を外部に委託する場合の統制）

IT全般統制の構築手順や文書化、評価方法については、専門の記事で詳しく解説しています。

3. IT業務処理統制（ITAC）

IT業務処理統制（IT Application Controls：ITAC）とは、金融庁の実施基準で「承認された業務がすべて正確に処理、記録されることを確保するために業務プロセスに組み込まれたITに係る内部統制」と定義される統制です。個々の業務システムの中に組み込まれ、データが正しく入力・処理・出力されることを確保します。具体例としては、次のようなものがあります。

• 入力データのチェック機能（必須項目の未入力や桁数エラーを自動で検知する）
• 自動計算・自動仕訳（人手を介さず、決められたロジックで正確に処理する）
• マスタ登録・変更時の承認や、データ同士の自動突合
• 例外・エラーデータの検出とアラート

IT全般統制と業務処理統制の関係

この2つは、上下の関係でつながっています。IT業務処理統制が「個々の業務を正確に処理する仕組み」だとすれば、IT全般統制はそれらが確実に機能し続ける「環境を守る仕組み」です。土台となるIT全般統制が有効であれば、その上で動く業務処理統制の信頼性も高まり、内部統制の評価において運用状況のテスト件数を抑えられるなど、評価を効率化できるという実務上のメリットもあります。

逆にIT全般統制が弱いと、いくら業務処理統制を作り込んでも「基盤が不安定」と見なされ、追加の検証が必要になります。

IT統制の評価範囲の考え方（J-SOX）

J-SOXで評価するIT統制は、あくまで「財務報告の信頼性に影響する範囲」に限られます。社内のすべてのシステムが対象になるわけではありません。評価対象を特定するときは、次のような流れで範囲をたどっていきます。

• 連結ベースで、財務報告への影響が大きい重要な事業拠点を絞り込む
• 重要な勘定科目に結びつく業務プロセスを特定する
• その業務プロセスで使われているシステムを洗い出す
• そのシステムを支えるIT全般統制を評価対象とする

このように、財務数値の発生から記帳までの流れをさかのぼって、関係するシステムとその基盤を対象範囲として定めていきます。範囲を過不足なく決めることが、評価工数のムダを防ぐうえでも重要です。

内部統制全体の評価範囲の決め方は、以下の記事で詳しく解説しています。

IT統制でよくある不備と対策

IT統制の不備は、特別なシステム障害よりも、日常運用の中での「管理の抜け」から生じることがほとんどです。代表的なものを、どの分類の統制に関わるかとあわせて整理します。

いずれも、仕組み自体が「ない」のか、仕組みはあるが「守られていない」のかによって、打つべき手が変わります。内部統制の不備の種類や具体的な事例は、以下の記事で確認できます。

2024年適用の実施基準改訂がIT統制に与えた影響

内部統制の基準・実施基準は2023年に改訂され、2024年4月1日以後に開始する事業年度から適用されています。この改訂では、ITへの対応に関して「IT委託業務の重要性」と「サイバーセキュリティの確保」の2点が強調されました。

1つは、IT委託業務の重要性です。ITリソースを自社で保有せず、クラウドや外部の専門会社に委託する企業が増えていることを踏まえ、委託先を含めたIT統制の管理が求められるようになりました。もう1つは、サイバーセキュリティの確保です。クラウドやリモートアクセスといった技術の活用が広がるなか、サイバーリスクの高まりを前提とした情報システムのセキュリティ確保の重要性が明記されています。

あわせて、内部統制全体では目的の一つが「財務報告の信頼性」から「報告の信頼性」へと見直され、リスク評価に「不正に関するリスク」が明記されるなどの変更も行われました。IT統制の実務では、従来の前年踏襲ではなく、その年度のリスク評価に基づいて範囲や重点を見直す姿勢が、これまで以上に重要になっています。

IT統制を自社だけで進めるのが難しいときは

IT統制は、経理・財務の知識と、システムやセキュリティの知識の両方をまたぐ領域です。そのため、どこまでを評価対象にすべきか、既存の仕組みで十分なのか、監査法人にどう説明すればよいのか、といった判断に迷う場面が少なくありません。特に、内部統制の担当者が限られている企業や、初めてJ-SOX対応に取り組む上場準備中の企業では、必要な範囲を見極めながら効率的に整備を進めること自体が難しいこともあります。

そうした場合は、内部統制とIT統制の両方に精通した専門家の支援を受けることも、現実的な選択肢の一つです。自社の状況に合わせて、過不足のない統制を設計・整備することで、監査対応の負担を抑えながら、システムの信頼性という「守りの基盤」を固めることができます。