ITGC（IT全般統制）の
整備と評価

ITGC（IT全般統制）の整備と評価は、個別の業務処理統制が正しく機能し続けるためのIT環境を保証する取り組みです。会計システム上で売上承認が自動化されていても、退職者IDが残っている、プログラム変更が無承認で本番反映される、バックアップが復元不能である、委託先の管理者権限が監視されていない状態では、その自動統制を信頼しにくくなります。

この重要ポイントは、ITGCが何を守る仕組みなのか、なぜ経営・法務・監査にとって重要なのか、最初に何を読み取るべきかを示します。ここでは、ITGCを「システムが動いているか」の確認ではなく、「重要な情報、取引、記録、判断、報告を信頼できる状態に保てているか」の説明責任として捉えることが重要です。

ITGC（IT全般統制）の整備と評価では、次の6つの問いに答える必要があります。

1. どのシステム、データ、業務、委託先が、財務報告、法令遵守、事業継続、企業価値に重要な影響を与えるか。
2. そのシステムに対し、誰が、どの権限で、いつ、どのようにアクセスできるか。
3. プログラム、設定、マスタ、インターフェース、帳票ロジックの変更は、承認・テスト・移行・記録の統制を経ているか。
4. 日次・月次・年次処理、バックアップ、障害対応、ログ監視、脆弱性対応は、継続的に運用されているか。
5. クラウド、SaaS、外部委託先、再委託先に対し、契約、監査報告書、SLA、インシデント通知、アクセス管理、データ返還・削除を通じて統制が及んでいるか。
6. 評価者は、整備状況と運用状況を証拠に基づいて検証し、不備を重要性に応じて分類し、是正状況を経営者・監査役等・監査人に報告しているか。

ITGCは、上場会社等のJ-SOX対応だけでなく、会社法上の内部統制システム、個人情報保護、営業秘密管理、訴訟・不祥事調査にも関係します。重要な会計データ、契約データ、個人データ、取締役会資料、稟議記録、電子メール、ログ、監査証跡が適切に保存・管理されていない場合、情報管理体制やリスク管理体制の不備として問題となり得ます。

次の比較一覧は、ITGCが企業法務で問題になる主要場面を表しています。単一の監査手続ではなく、複数の法務リスクに同じ統制が影響するため重要です。各項目から、アクセス権限、ログ、バックアップ、委託先監督がどの法務論点につながるかを読み取ってください。

ランサムウェアで基幹システムが停止し、バックアップ復旧ができない場合、それは単なるIT障害ではありません。事業継続、取締役会監督、顧客対応、開示、損害賠償、行政対応に及ぶ法務問題となります。

ITGCの評価範囲は、すべてのシステムを同じ深さで確認することではありません。重要なのは、財務諸表の数値、会計データ連携、重要マスタ、個人情報、営業秘密、契約、稟議、電子署名、取締役会資料、事業継続、クラウド・SaaS・外部委託先への依存度を踏まえ、リスクベースで対象範囲を決定することです。

次の一覧は、ITGCの対象候補となるシステムやデータを表しています。範囲設定の漏れは、重要なSaaS、Excelマクロ、RPA、データ連携、委託先運用、管理者権限、帳票ロジックを評価外にしてしまうため重要です。各項目から、財務報告だけでなく法令遵守・事業継続・情報管理に影響する対象を読み取ってください。

次の比較表は、システムを評価するときに確認すべき技術レイヤーと主な統制論点を表しています。アプリケーション名だけで範囲を決めると、データベース、ID基盤、ネットワーク、開発・運用基盤、委託先の重要リスクを見落とすため重要です。各行から、どの階層で誰の権限・変更・ログ・契約を確認すべきかを読み取ってください。

固定的なローテーション評価には注意が必要です。クラウド化、SaaS利用、システム刷新、M&A、アウトソーシング、サイバー攻撃、リモートアクセス、生成AI利用、RPA導入によりIT環境は変化します。評価範囲は毎年のリスク評価に基づき、重要な変更、障害、不正、インシデント、組織再編、委託先変更、監査指摘を反映して見直す必要があります。

ITGCの主要統制領域は、業務処理統制を信頼できる状態に保つための土台です。アクセス管理、変更管理、運用管理、セキュリティ・ログ管理、外部委託・クラウド管理のどれかが弱いと、個別の自動統制や承認機能の信頼性が揺らぎます。

次の一覧は、ITGCで特に確認すべき5つの統制領域を表しています。領域ごとの目的を分けることは、評価手続や証跡の集め方を誤らないために重要です。各項目から、誰の権限、どの変更、どの処理、どのログ、どの委託先を確認すべきかを読み取ってください。

アクセス管理

アクセス管理では、業務上の必要性と権限者の承認に基づくアカウント発行、異動・休職・出向・退職に応じた権限変更・削除、退職者ID・長期未使用ID・共有ID・テストID・初期IDの定期確認、特権IDの申請・承認・利用ログ・事後レビュー、職務分掌違反の防止、多要素認証、委託先アクセスの期限・目的・ログ・接続経路管理、業務オーナーによる定期レビューを確認します。

典型的な不備として、退職者IDが残っている、管理者権限を複数人で共有している、業務部門の承認なしにIT部門が権限を付与している、付与権限と職務内容の対応関係が不明である、特権IDの利用ログを確認していない、委託先IDが常時有効で利用目的が記録されていない、アクセス権レビューが形骸化している、といったものがあります。

変更管理・システム開発管理

変更管理では、変更要求の目的、影響範囲、リスク、期限を明記し、業務オーナー、IT責任者、必要に応じて法務・会計・セキュリティが承認します。開発環境、テスト環境、本番環境を分離し、テスト結果とユーザー受入テストを記録し、承認された変更のみを本番移行します。緊急変更では、事後承認・事後レビュー、変更履歴保存、ロールバック手順が重要です。

本番環境を直接修正している、口頭承認だけで変更している、テスト証跡が残っていない、緊急変更が常態化している、業務部門が変更内容を理解しないまま承認している、開発者が本番移行権限を持つ、SaaS設定変更が評価対象外になっている場合には、財務数値の誤り、サービス障害、個人データの誤送信、規制違反、SLA違反、顧客損害、知財侵害に発展し得ます。

システム運用管理

システム運用管理では、日次・月次・年次ジョブのスケジュールと実行結果、インターフェース処理の件数・金額・エラー、バックアップ取得と復旧テスト、障害・インシデントの受付・分類・原因分析・対応・再発防止、パッチ・脆弱性・マルウェア対策、時刻同期、容量・性能・可用性監視、手順書整備を確認します。

バックアップは取得しているが復旧テストをしていない、バッチエラーがメール通知だけで対応記録がない、インターフェース処理の欠落を業務部門が検知できない、障害管理票に原因分析や再発防止がない、パッチ適用判断の基準がない、夜間・休日の障害対応体制が不明、ランサムウェア感染時の復旧順序が決まっていない状態は、運用統制上の重要な兆候です。

セキュリティ管理・ログ管理

重要システムのログ取得範囲、保存期間、閲覧権限、管理者操作、権限変更、重要マスタ変更、設定変更、ログイン失敗の監視、ログの改ざん防止、時刻同期、集中管理、脆弱性診断、パッチ管理、構成管理、エンドポイント保護、ネットワーク分離、メール対策、EDR、SIEM、インシデント対応手順、連絡体制、証拠保全、暗号化、鍵管理、データ持出制御を確認します。

ログは、監査証跡であると同時に、訴訟・調査・当局対応で重要な証拠となります。ログ保存期間が短すぎる場合、侵害発見後に原因や影響範囲を特定できないおそれがあります。ログに個人情報が含まれる場合、利用目的、アクセス権限、保存期間、委託先管理も検討する必要があります。

外部委託・クラウド管理

外部委託とクラウド利用では、委託業務の範囲、サービス水準、稼働率、復旧目標、セキュリティ要件、アクセス権限、管理者操作、再委託、個人情報・機密情報、監査権・報告権、SOC報告書等、事故通知期限、障害時の協力、データ返還・削除、契約終了時の移行支援、損害賠償、責任制限、免責、準拠法、裁判管轄、越境移転を確認します。

SOC 1、SOC 2、ISAE 3402等の報告書を利用する場合、対象期間、対象サービス、対象統制、除外事項、補完的ユーザー企業統制、例外事項、監査人の意見、サブサービス組織の取扱いを確認する必要があります。特に、SaaS事業者側の統制が有効でも、利用企業側が管理者IDを共有し、退職者IDを削除せず、権限レビューをしていなければ、全体として統制は有効とはいえません。

企業法務専門家は、ITGCを法的リスク管理の一部として捉える必要があります。委託契約、個人情報保護、営業秘密、データ漏えい、開示、取締役責任、訴訟証拠、不祥事調査、M&Aデューデリジェンスでは、技術的な統制だけでなく、契約条項、証跡、報告経路、説明可能性が問題になります。

次の一覧は、企業法務がITGCを確認すべき代表的な場面を表しています。場面ごとに見るべき証拠と判断軸が異なるため、契約審査だけでなく、実際の運用証跡や報告資料まで確認することが重要です。各項目から、どの部門と連携し、どの資料を確認すべきかを読み取ってください。

取締役会・監査役等への報告では、技術的詳細だけでなく、重要リスクの概要、影響を受けるシステム・業務、発見された不備、発生原因、既発生の影響、財務報告・法令遵守・契約上の影響、暫定対応、恒久対応、残存リスク、取締役会に求める判断事項を整理することが有効です。

M&Aで見落とされがちな論点には、対象会社の管理者権限が創業者・特定ベンダーに集中していること、会計データがExcelや個人端末に依存していること、退職者アカウントや共有IDが多数存在すること、委託契約に監査権や事故通知義務がないこと、SaaSアカウントが個人名義で契約されていること、ソースコードや設定情報の権利関係が不明であること、バックアップが買収後統合方針と整合しないこと、個人情報の越境移転や共同利用の説明が不十分であることがあります。

ITGCでよくある失敗は、統制が存在しないことだけではありません。規程はあるが運用されていない、業務部門が関与していない、SaaSを評価対象外にしている、バックアップが復旧できない、証跡が評価に耐えない、不備の重要性を評価していない、といった形で表れます。

次の一覧は、ITGC評価で発見されやすい失敗と改善の方向性を表しています。失敗のパターンを先に知ることは、形式的な規程整備で止まらず、実際に評価・監査・事故対応に耐える統制へ改善するために重要です。各項目から、何を仕組みに変えるべきかを読み取ってください。

ITGCは、会計監査、法務、セキュリティ、個人情報保護、内部監査、経営監督が交差する領域です。専門職ごとに関心が異なるため、同じ統制でも何を証拠として見るか、どのリスクを重視するかを明確にする必要があります。

次の一覧は、専門職別の関与ポイントを表しています。横断的な連携が不足すると、契約条項は整っているがログが残らない、技術対策はあるが取締役会へ報告されない、といった分断が生じるため重要です。各項目から、誰がどの観点でITGCを補強するかを読み取ってください。

ITGC（IT全般統制）の整備と評価は、会計監査対応だけの作業ではありません。企業がITに依存して事業を営む以上、ITGCは、財務報告、会社法上の内部統制システム、個人情報保護、契約責任、委託先管理、サイバーセキュリティ、訴訟証拠、M&A、IPO、取締役会監督を支える基盤です。

次の重要ポイントは、ITGCの本質を確認するためのまとめです。個別のチェック項目に分解しすぎると全体像を見失いやすいため、統制の目的と経営上の意味を最後に確認することが重要です。各項目から、ITGCが「誰が、何を、いつ、どのように管理し、どの証拠で説明するか」を支える仕組みである点を読み取ってください。

• ITGCは、業務処理統制を信頼するための環境統制です。
• ITGCは、アクセス管理、変更管理、運用管理、セキュリティ、委託先管理、証跡管理を含みます。
• ITGCの整備では、リスク、責任者、統制内容、証拠、例外処理、契約、報告経路を明確にします。
• ITGCの評価では、整備状況と運用状況を分け、証拠に基づいて検証します。
• ITGCの不備は、財務報告上の虚偽表示リスクだけでなく、法令違反、個人情報漏えい、訴訟上の不利益、取締役会監督不全に発展し得ます。
• クラウド、SaaS、外部委託、RPA、データ分析基盤、生成AI利用の拡大により、ITGCの評価範囲は毎年見直す必要があります。
• 法務、会計、内部監査、情報システム、セキュリティ、個人情報保護、経営陣が共通言語を持つことが、実効的なITGCの前提です。