IT 全般統制(ITGC)とは

IT 全般統制(ITGC)とは、金融庁の実施基準で「業務処理統制が有効に機能する環境を保証するための統制活動」と説明されるものです。通常、複数の業務処理統制に関係する方針と手続を指します。業務処理統制とは、承認された業務がすべて正確に処理・記録されるように、システムに組み込まれた仕組みです。それが正しく働き続けるための土台となる、システムの管理を指す言葉です。

誰に関係するのか

内部統制報告制度は、金融商品取引法により上場会社を対象に、財務報告に係る内部統制を経営者が評価し、監査人が監査する制度です。2023 年 4 月 7 日の改訂版の基準と実施基準は、2024 年 4 月 1 日以後に始まる事業年度から適用されています。実施基準は、この制度の IT の統制は財務報告の信頼性を確保するためのもので、それ以外の目的の IT の統制を直接求めるものではない、と書いています。評価の対象になるのは、財務報告(決算の数字)に関わるシステムとその基盤です。

何が例に挙がっているか

実施基準は、全般統制の例として次の 4 つを挙げています。

• システムの開発、保守に係る管理: 新しいシステムを作る、直すときの手続
• システムの運用・管理: 日々動かすときの手続
• 内外からのアクセス管理などシステムの安全性の確保: 誰がシステムに入れるかの管理
• 外部委託に関する契約の管理: 委託先との契約とその管理

全般統制は、業務システムを支えるハードウェア、ソフトウェア、ネットワークなどの IT 基盤を単位に作ります。

アクセス管理はどこで問われるか

実施基準は、プログラムへの不正な改ざんや不正なアクセスで全般統制が有効に働かない場合を挙げています。その場合、業務処理統制を組み込んでいてもその有効性が保証されなくなる、という説明です。そのうえで、プログラムの不正な使用や改ざんを防ぐために、システムへのアクセス管理に関して適切な対策を講じることを挙げています。業務処理統制の側にも、システムの利用に関する認証、操作範囲の限定などアクセスの管理が例として挙がっています。誰がシステムに入れるかは基盤の全般統制で、入った人が何を操作できるかは業務システムの業務処理統制で、と両方の側から見られます。

管理者用のアカウントはなぜ重点になるか

管理者用のアカウント(強い権限を持つ ID。特権 ID とも呼ばれます)は、プログラムやデータを直接変えられます。実施基準は、統制活動が自動化されていると、プログラムの不正な改ざんや不正な使用にプログラムに精通した者しか対応できない、と書いています。その結果、不正の発見が難しくなるため、適切なアクセス管理の措置に留意するよう求めています。意見書と実施基準に「特権 ID」「特権アカウント」という語はありませんが、この記述が、強い権限を誰が持ち、いつ誰が使ったかを説明できる状態を求める根拠になります。管理者用のアカウントを 1 つの ID で複数の担当者が使っている場合、システムの記録には誰が操作したかが残りません。

何を用意しておくか

実施基準の記述をもとに 3 つ、それに定期的な見直しの記録を加えて 4 つに整理すると、次のようになります。

• 誰がどのシステムにどの権限で入れるかの一覧
• 権限を付けたり外したりしたときの承認の記録
• 強い権限を使ったときの記録
• 権限が今も必要な人だけに付いているかを定期的に見直した記録

4 つ目は実施基準に直接の文言がなく、金融庁の金融分野のガイドラインに近い記述があります。記録は、後から取り出せる形で残っている必要があります。