IT全般統制
■IT全般統制とは
IT全般統制とは、業務で活用されるアプリケーションシステムが機能するための環境や情報システム全体の企画・開発・運営・管理などに関する統制を意味します。情報システムに関する統制活動は、このIT全般統制とIT業務処理統制の2つに区分して考えることができます。IT全般統制が各アプリケーションシステムに適用され、継続的かつ適切に機能することで、IT業務処理統制が効果的に機能することを間接的に保証することになります。IT全般統制には、IT固有の技術を利用した自動の統制だけでなく人間による作業、さらにはITに係る方針・ルールの整備とその遵守、牽制・監視に関する統制活動なども含まれます。
このように、IT全般統制とIT業務処理統制は一体となって、人手による統制と連携して、情報システムにおける情報の完全性、正確性および有効性を保証します。もし、IT全般統制が有効でない場合、関連するすべてのITによる処理の信頼性に影響が及ぶかもしれません。
■IT全般統制の構成
IT全般統制の対象について、IT管理全般に影響する統制環境に関するITマネジメントから目的に応じたITの統制活動まで、ハイレベルで広範な領域としてとらえることもできます。このようにIT全般統制を考えれば、IT全般統制の内容を構造的に体系化することができます。
ITマネジメントは、企業自体の目標・戦略、これに対するITの目標・戦略、組織・管理体制ならびに予算、さらにITを担当する人の能力、IT担当部門・担当者のコミュニケーションなどまでを対象とした組織全体での統制活動を含んでいます。このITマネジメントの統制下に、プログラムの開発、変更、運用とデータへのアクセスといった目的に応じたITの統制活動があります。
例えば、日本公認会計士協会のIT委員会の報告第3号では、IT全般統制の内容として、次のような統制活動を挙げています。
1. 情報システムに関する企画・開発・調達業務の統制活動
- 情報システムの開発方針・基準・手順の制定
- ユーザー部門の参画による十分なテストの実施・検収
- 適切なプログラム等の移行・変更管理 など
2. 情報システムに関する運用業務の統制活動
- プログラムによる処理結果の確認手続
- 実行スケジュール管理
- 適切なプログラム使用のためのライブラリ管理 など
3. セキュリティに関する統制活動
- IDとパスワードによるアクセス管理
- ハードウェアの物理的な破壊や盗難防止のための管理
- セキュリティ・ポリシーの制定 など
4. 外部委託の統制活動
- 委託先の選定基準、成果物等の検収体制の制定
- サービスレベルの基準の明確化と委託先との合意 など