上場準備で問われるクラウドの管理（IT全般統制）

財務報告に関わるシステムがクラウドで動いている会社は、上場準備のIT全般統制の中で、クラウドの権限の管理、変更の管理、運用、委託先の管理を説明できるようにしておく必要があります。クラウドの基盤そのものは事業者が受け持ちますが、誰に権限を渡し、何をどう変え、その記録をどう残すかは、利用する会社の統制として評価の対象になるためです。この記事では、クラウドに絞って、準備の考え方を説明します。制度全体の説明は、上場準備で整えるIT全般統制をご覧ください。

なぜ、上場準備でクラウドの管理が問われるのですか

上場会社は、金融商品取引法の内部統制報告制度にもとづき、財務報告に関わる内部統制を評価した内部統制報告書を出し（第24条の4の4）、その評価について原則として公認会計士または監査法人の監査を受けます（第193条の2第2項）。会計や販売のシステムがクラウドで動いていれば、そのクラウドの管理もIT全般統制の評価に入ります。

評価と監査の基準は、2023年4月7日に改訂が取りまとめられ、2024年4月1日以後に始まる事業年度から適用されています。改訂では、ITの委託業務に係る統制の重要性が増していること、クラウドなどを使うに当たり、サイバーリスクの高まりを踏まえて情報システムのセキュリティを確保することが重要であることが記載されました。

出典：財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）（金融庁、2023年4月7日）、金融商品取引法（e-Gov 法令検索）

上場の審査でどこまで確かめられるか、どの事業年度から何が求められるかは、会社の状況や上場する市場によって違います。具体的な時期と範囲は、監査法人や主幹事の証券会社などの専門家にご確認ください。

4つの領域に、クラウドをどう当てはめるのですか

実施基準が示すIT全般統制の4つの領域は、クラウドでもそのまま当てはまります。違うのは、統制の対象が、サーバーの機器や部屋ではなく、クラウドの設定、権限、操作の記録になる点です。

開発・保守の領域では、設定の変更を誰が求め、誰が承認し、いつ本番に反映したかを追える変更管理の手順が中心になります。構成をコードで書いて管理する方法（IaC）を使うと、変更の中身と承認の記録を残しやすくなります。考え方は、インフラのコード化（IaC）とは。手作業の構築をやめる理由で説明しています。

アクセス管理の領域では、管理者の権限を持つ人を絞り、使っていないアカウントを残さないことが確かめられます。権限の考え方は、クラウドの権限管理（IAM）の基本。最小の権限とはにまとめています。

操作の記録は、どう残せばよいですか

クラウドの操作の記録は、事業者の仕組みで自動で取れますが、標準の保存期間が監査に使う期間より短いことがあるため、保存の設定を別に行います。

AWS の CloudTrail は、利用者、ロール、AWS のサービスが行った操作をイベントとして記録し、その履歴（イベント履歴）では、リージョンごとに過去90日分の管理の操作を見られるとしています。Azure のアクティビティログは、リソースの作成や設定の変更などの管理の操作を記録し、90日間保ってから削除するとしています。Google Cloud の監査ログのうち、管理の操作の記録（Admin Activity 監査ログ）は、「誰が、どこで、いつ、何をしたか」に答えるもので、常に書き込まれ、止めることはできないとしています。

出典：What Is AWS CloudTrail?（AWS）、Azure Monitor activity log（Microsoft Learn）、Cloud Audit Logs overview（Google Cloud）

内部統制の評価は事業年度を通して行うため、90日分の履歴だけでは、期の初めの操作を確かめられないことがあります。保存先と保存期間を決め、記録を消したり書き換えたりできる人を限っておきます。記録の残し方は、ログの取り方と見方。何を、どのくらい残すかで説明しています。

クラウドの事業者の統制は、どう確かめるのですか

クラウドの事業者は外部委託の相手に当たるため、事業者の内部統制をどう確かめたかを説明できるようにしておきます。実施基準は、受託会社から内部統制の評価の結果を書いた報告書を入手して利用することを、方法の一つとして挙げています。

3つの事業者は、第三者の監査人による報告書を、利用者が入手できる形で公開しています。AWS は AWS Artifact で SOC 報告書や ISO の認証などの文書を、Microsoft は Service Trust Portal で SOC 1・SOC 2・SOC 3 の報告書などを、Google Cloud は Compliance reports manager で SOC 報告書や ISO/IEC の認証書などを提供しています。

出典：What is AWS Artifact?（AWS）、Get started with the Microsoft Service Trust Portal（Microsoft Learn）、Compliance reports manager（Google Cloud）

SOC 報告書は、事業者が受け持つ範囲の統制を示すものです。報告書には、利用する側で整えることが期待される統制が書かれていることもあるため、自社の統制と照らし合わせます。権限・変更・記録のように自社が受け持つ部分は、事業者の報告書では代わりにならないため、自社で整えて証跡を残します。運用を外部の会社に頼んでいる場合は、その会社の作業の記録と報告も、同じように確かめられる形にしておきます。委託先の確かめ方は、委託先・クラウドサービスの管理をどう確かめるかで説明しています。

つまずきやすい点は何ですか

上場準備で、クラウドの管理についてよくつまずく点には、次のようなものがあります。

• 管理者のアカウントを複数の人で共有している：誰が操作したかを記録から特定できません
• 本番の環境で直接設定を変えている：申請と承認の記録が残らず、変更管理の証跡になりません
• 操作の記録の保存期間が足りない：標準の保存期間のまま、期の初めの記録が消えていることがあります
• 運用を外部に任せきりにしている：委託先の作業の記録や報告を受け取っておらず、監督の状況を示せません

いずれも、手順を決めてから運用を始め、記録をためていく必要があるため、気づいてすぐに直せるものではありません。整備しただけでは運用の状況を示せないため、上場の時期から逆算して、記録をためる期間を取っておきます。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、権限の整理、変更の申請と承認の流れ、操作の記録の保存の設定など、IT全般統制で問われる点を踏まえたクラウドの設計と運用をご支援しています。上場準備のIT統制を第三者の立場で点検したい場合は、システム監査でお受けします。中立を保つため、当社が構築・運用に関わった環境は監査の対象にしません。クラウドの管理の状態は無料のクラウドの自己診断で、上場に向けたIT準備の状況は無料のM&A・上場に向けたIT準備度診断で、おおまかに確かめることもできます。