上場準備でIT監査に困らないために―まず確認したい4つのポイント

なぜ上場準備でIT監査が重要になるのか

「IT監査」と聞くと、サイバー攻撃対策や情報漏えい対策を思い浮かべる方が多いかもしれません。しかし、上場会社・上場準備会社の実務で問題になるIT監査は、それだけではありません。会計システム、販売管理、購買、在庫、給与、ワークフローなど、財務情報や重要な業務を支えるシステムが「意図したとおりに動き、権限のない人に変更されず、記録が残る状態」になっているかを確認することが中心です。

特にJ-SOXやUS-SOX、外部監査人の監査では、アプリケーションの自動統制が正しく機能する前提としてIT全般統制（ITGC）が重要になります。

まず自社で確認したい4つの領域

IT監査の対象は会社やシステムによって変わりますが、最初に確認したいのは「アクセス管理」「変更管理」「運用管理」「バックアップ・復旧」の4領域です。これらが弱いと、業務担当者が本来変更できないマスタを変更できる、開発担当者が本番環境を直接変更する、障害が起きても復旧できない、といったリスクにつながります。

IT監査で確認したい4つのポイント

領域	主な確認事項	よくある課題	自社での確認ポイント
アクセス管理	入退社・異動時のID管理、特権ID、権限定期レビュー	退職者IDの残置、共用ID、過大権限	申請・承認・削除の証跡化、定期レビュー
変更管理	変更申請、承認、テスト、本番移行、緊急変更	開発者が本番へ直接反映、テスト証跡不足	職務分離、チケット管理、事後レビュー
運用管理	ジョブ監視、障害対応、インターフェース、ログ	エラー放置、担当者依存、記録不足	監視ルール、エスカレーション、運用記録
バックアップ・復旧	バックアップ範囲、保管、復旧テスト、BCP	バックアップはあるが復元確認未実施	定期リストアテスト、RTO/RPOの明確化

「ルールはあるのに指摘される」会社に多いこと

IT監査でよくあるのが、「規程には書いてあるが、証跡がない」というケースです。例えば、退職者アカウントを削除するルールがあっても、いつ誰が削除を確認したのか記録がなければ、監査では運用されていたことを説明できません。アクセス権の定期レビューも、一覧を眺めるだけではなく、レビュー者、実施日、検討結果、例外対応が分かる記録を残す必要があります。

同じことは変更管理でも言えます。システム変更の申請、承認、テスト、本番移行が実施されていても、それぞれの証跡がバラバラで紐づいていなければ、監査対応のたびに大量の確認作業が発生します。統制は「実施する」だけでなく、「後から第三者が追える」形で設計することが重要です。

早めの確認が上場準備の負担を減らす

IT統制の改善は、会計処理の修正と違ってすぐには終わりません。権限設計を変える、ワークフローを導入する、開発環境と本番環境を分ける、ログを取得する、といった対応には、システム部門だけでなく経理・内部監査・事業部門の調整が必要です。

上場準備やSOX対応を控えている会社ほど、監査対象年度に入ってから慌てて整備するのではなく、事前にIT監査またはギャップ分析を行い、重要度の高い論点から改善する方が結果的に効率的です。特にクラウドやSaaSを多用する企業では、自社システムだけでなく委託先管理まで含めて対象範囲を整理する必要があります。

IT監査は、指摘を受けてから個別に直すよりも、上場準備や内部統制整備の早い段階で自社の弱点を把握しておく方が、結果として負担を抑えやすくなります。SMASH & Partnersでは、内部監査・システム監査、J-SOX／US-SOX構築・テスティング、IT統制の整備支援を行っています。IT監査をどこから始めればよいか分からない、監査法人からIT統制の改善を求められているといった企業様は、お気軽にご相談ください。

執筆者：森 大輔（公認会計士・公認不正検査士）

お問合せ先：smash-partners@smash-international.com