• １．ITAC（ITに係る業務処理統制）とは？
• ２．IT業務処理統制とIT全般統制の違い
• ３．ITに係る業務処理統制の具体例（5つの要素）
• 　　３－１．入力管理（入力統制）
• 　　３－２．データ管理（処理統制）
• 　　３－３．出力管理（出力統制）
• 　　３－４．スプレッドシート等
• 　　３－５．IT業務処理のリスクコントロールマトリックスについて
• ４．IPOに向けたIT業務処理統制への対応ポイント
• 　　４－１．IT業務処理統制の構築
• 　　４－２．IT業務処理統制の評価・改善
• ５．まとめ
• － よくあるご質問

　

IT統制は「IT全社的統制」「IT全般統制（ITGC）」「IT業務処理統制（ITAC）」から構成されます。

【関連コラム】 IT統制とは？


▲財務報告とIT統制との関係

IT全社的統制は、IT戦略の策定やシステム管理体制の整備等、全社的な取り組みを指します。
一方で、IT全般統制とIT業務処理統制はどちらもプロセスに関する統制の仕組みを指していますが、その目的と対応スコープに違いがあります。

IT全般統制とは、企業情報の信頼性を確保するために利用するシステムを、適切に運用管理する仕組みのことで、業務の種類を問わず社内全体のシステム運用管理の統制が目的です。具体的には、システムの開発、保守に係る管理、システムの運用・管理、内外からのアクセス管理などシステムの安全性の確保、外部委託に関する契約の管理等が該当します。

【関連コラム】 IT全般統制（ITGC）とは？

一方、IT業務処理統制は、業務ごとに行われる処理や記録を統制することが目的です。対応範囲は各業務のため、IT全般統制と比べるとより細かい対応が必要です。

また、IT統制への対応の流れについては、まず会社全体のIT統制環境を整備するために「IT全社的統制」への対応を行い、次に社内システムの環境を整備するために「IT全般統制」へ対応します。これらのベースとなる仕組みがあった上で、各業務を適切に行うために「IT業務処理統制」へ対応します。


▲IT統制の構築・整備の一般的な流れ

経済産業省が公表するシステム管理基準追補版では、IT業務処理統制の例示として以下5つの要素が挙げられています。それぞれについて詳しく解説します。

• （１） 入力管理（入力統制）
• （２） データ管理（処理統制）
• （３） 出力管理（出力統制）
• （４） スプレッドシート等
• （５） IT業務処理のリスクコントロールマトリックスについて

出典：経済産業省「システム管理基準追補版」

システムを使って業務を行う際、入力するデータに重複がなく、正しいデータのみが入力される仕組みのことです。

システムへ入力するデータに誤りがあると、当然ながら信頼性のある財務諸表を作成することができないため、データ入力時の統制は重要です。具体的には、データ入力時のルールやマニュアルを整備すること、システムの機能を用いて申請・承認を行うことで入力データの妥当性・正確性を確認すること、等が挙げられます。

■入力管理の例

※横スクロールできます。

EDI等によるデータの授受や複製、管理等の一連の作業を適切に管理し、データの正確性を担保する仕組みのことです。

昨今では受注データや購買データ等を社外のシステムから受信することが少なくありません。その際に、例えば送信元が正しい得意先であることを確かめる仕組みがないと、受注や購買のデータが正当であることを担保できません。

■データ管理の例

※横スクロールできます。

システムから出力するデータの作成、授受、管理等の一連の作業を適切に管理し、データの正確性を担保する仕組みのことです。

例えば、製品を出荷した後にシステムから出力する出荷データに誤りがあると、その後の売上計上処理に影響が出てしまい、誤った売上が計上されてしまいます。

■出力管理の例

※横スクロールできます。

スプレッドシートとは表計算ソフト全般（ExcelやGoogleスプレッドシート等）のことを指します。
会計システム等の業務システムを利用しながら、システム外でスプレッドシート等を使って業務効率化を図っている会社が多いのですが、スプレッドシート等では業務システムほどしっかりと作り込まれた仕組みではないため、リスクが高く、統制上も注意が必要です。

例えば、担当者がマクロや数式を作っていた場合、マクロのプログラムミスや数式誤りがあると正しい数字が計算されなくなってしまうからです。

■スプレッドシート等の例

※横スクロールできます。

上記で解説した各統制内容から分かるように、IT業務処理統制では想定されたリスクから財務情報の信頼性（完全性、正確性、正当性）を確保する仕組みを設けることが重要です。
リスクと対策を整理するためには、「リスクコントロールマトリクス（RCM）」を作成することが適しています。


▲リスクコントロール（RCM）サンプル（出典：経済産業省「システム管理基準 追補版」）

次にIT業務処理統制へ対応するためのポイントを解説します。

財務情報に影響する業務プロセスにおける処理方法を分類すると「自動化された処理」と「手作業の処理」に分けることができます。

IT統制の観点で考えると、当然ながら人の手が入らないほうが誤入力や誤処理、不正な改ざん等の発生リスクを低減することができます。手作業で行う業務が多いほどリスクが高くなるため、リスクへの対応として統制を効かせなければならず、統制への対応事項が増えてしまいます。結果として、手作業による業務負荷は高く、IT統制対応への対応負荷も上がってしまいます。

そのため、できる限り手作業を減らし、システムで統制を取りながら処理を行うことが望ましいと言えます。システムを活用することでリスクを低減できるだけでなく、業務効率化にも寄与することができるからです。

特に上場企業での導入実績が多いパッケージシステムであれば、システムには内部統制へ準拠した機能が既に搭載されているため、システムを利用するだけで統制を効かせることができ、業務処理とIT統制の両観点から効率的な対応を取ることができます。

IT業務処理統制の評価には、「サンプリングによる評価」「ウォークスルーによる評価」の2つの方法があります。

（１）サンプリングによる評価

一定期間におけるデータを複数件サンプリングし、統制の実施状況を確認する評価方法です。すべてのデータを検証することは現実的に困難であるため、無作為に抽出したデータが正しいものであることを検証することで評価を行います。評価対象となるデータの母集団件数に比例して、サンプリングで抽出する件数を増やしていくやり方が一般的です。

（２）ウォークスルーによる評価

1つの取引を対象として、取引開始から処理を行い仕訳が計上されるまでの一連の流れを検証して評価する方法です。これは各業務プロセスにおける統制によって、リスクを低減する仕組みが整っているかどうかを確認する手法です。例えば、販売プロセスを対象にした場合、「見積→契約→受注処理→在庫確認→出荷→請求書作成→売上計上→入金」という一連の流れを確認することになります。

上記の評価を行うことで、十分な統制が効いているかどうかを確認することができます。
評価後は評価結果をもとに、対応が不十分なプロセスに関して改善の対応を進めます。

IT業務処理統制は、各業務プロセスと深く関わる統制です。そのため、統制環境構築にシステムを活用することが有効な一手です。システムによって手作業を減らし業務効率化を図り、同時にリスクを低減することができます。

ただしIPO準備段階でのシステム導入は、目の前の業務効率化だけを目的とした部分最適ではなく、会社全体でのグランドデザインを描き、統制と使いやすさのバランスを取ることが重要です。IPO準備段階はシステムを見直すことに適した時期でもあるため、この機にシステムの見直しと統制環境の整備を同時に進めてみてはいかがでしょうか。

【上場審査の実績あり】IT関連規程で注意すべきポイント5点など、エッグシステムの内部統制コラム

■上場企業・上場検討企業様向け エッグシステムのIT統制サポートとは？