内部統制・IT統制

よみがな: ないぶとうせい / あいてぃーとうせい

英語名称・略称: Internal Control & IT Controls (J-SOX)

1行要約（本質）

財務報告の信頼性確保や業務の有効性・効率性を達成するため、組織内に整備・運用される「IT全般統制」と「IT業務処理統制」。

3つの重要ポイント

金融商品取引法（日本版SOX法：J-SOX）への対応が上場企業に義務付けられている統治基準。

IT全般統制（ITGC）：システム開発・変更管理、アクセス管理、運用保守など全社ITの健全な土台。

IT業務処理統制（ITAC）：伝票入力チェックや自動計算など、特定の個別業務アプリケーション内の自動統制。

構造・プロセスの図解

図内部統制におけるIT統制の2層構造

IT全般統制（土台）の上にIT業務処理統制（個別機能）が乗る

アプリ機能

【上位】IT業務処理統制 (ITAC)

個別アプリ内の自動統制

入力値のエラーチェック、二重計上防止チェック、自動勘定振替計算の正確性。

インフラ・組織

【基盤】IT全般統制 (ITGC)

全社IT環境の健全性を担保する土台

システムの変更管理（勝手な改修の防止）、職務分掌、特権ID管理、データバックアップ運用。

概要・背景・本質

内部統制は、企業の不正会計や横領、重大な法令違反を防ぎ、健全な経営を行うための自浄システムです。現代の財務会計はITシステムなしには成立しないため、ITが正しく作られ（変更管理）、正しくアクセス制御され（特権ID管理）、正しく計算していること（整合性チェック）を監査法人に対して証明する責任があります。

コア概念と着眼点

IT全般統制（ITGC：IT General Controls）：開発・導入、保守・変更管理、システムの運用、アクセス管理（土台）
IT業務処理統制（ITAC：IT Application Controls）：入力情報の完全性・正確性・正当性チェック、自動照合処理
職務分掌（Segregation of Duties）：開発者と運用者の分離、起案者と承認者の分離により不正を牽制
特権ID管理：rootやAdministratorなどの管理者権限の貸出申請・ログ記録の徹底

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIで「IT全般統制とIT業務処理統制の具体例の峻別（アクセス管理は全般、入力値の範囲チェックは業務処理）」が毎回出題される。午後I記述でも、不正アクセスや改ざんを防ぐための職務分掌と承認ワークフロー設計が問われる。