---
title: "上場準備で問われるクラウドの管理（IT全般統制）｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/ipo-cloud-itgc/
description: "財務報告に関わるシステムがクラウドで動いている会社は、上場準備のIT全般統制で、権限・変更・運用・委託先の管理を説明できるようにしておきます。4つの領域への当てはめ方、操作の記録の残し方、事業者の報告書の使い方を説明します。"
updated: 2026-11-14
publisher: "アメリア・テクノロジー株式会社"
---
# 上場準備で問われるクラウドの管理（IT全般統制）

財務報告に関わるシステムがクラウドで動いている会社は、上場準備のIT全般統制で、権限・変更・運用・委託先の管理を説明できるようにしておきます。4つの領域への当てはめ方、操作の記録の残し方、事業者の報告書の使い方を説明します。

2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

クラウドと運用（CLOUD & OPERATIONS）のコラム

## この記事の要点

- IT全般統制の4つの領域（開発・保守、運用・管理、アクセス管理などの安全性、外部委託の管理）は、クラウドでもそのまま当てはまり、設定や権限の管理が評価の対象になります。
- クラウドの操作の記録は、AWS・Azure では標準で90日分の履歴を見られますが、監査に使う期間を保つには、保存の設定を別に行う必要があります。
- クラウドの事業者の統制は、事業者が公開する SOC 報告書などで確かめ、自社が受け持つ権限・変更・記録の統制は、自社で整えて証跡を残します。

財務報告に関わるシステムがクラウドで動いている会社は、上場準備の[IT全般統制](https://www.ameliatechnology.co.jp/glossary/it-general-controls/)の中で、クラウドの権限の管理、変更の管理、運用、委託先の管理を説明できるようにしておく必要があります。クラウドの基盤そのものは事業者が受け持ちますが、誰に権限を渡し、何をどう変え、その記録をどう残すかは、利用する会社の統制として評価の対象になるためです。この記事では、クラウドに絞って、準備の考え方を説明します。制度全体の説明は、[上場準備で整えるIT全般統制](https://www.ameliatechnology.co.jp/blog/ipo-it-general-controls/)をご覧ください。

## なぜ、上場準備でクラウドの管理が問われるのですか

上場会社は、金融商品取引法の[内部統制報告制度](https://www.ameliatechnology.co.jp/glossary/j-sox/)にもとづき、財務報告に関わる内部統制を評価した内部統制報告書を出し（第24条の4の4）、その評価について原則として公認会計士または監査法人の監査を受けます（第193条の2第2項）。会計や販売のシステムがクラウドで動いていれば、そのクラウドの管理もIT全般統制の評価に入ります。

評価と監査の基準は、2023年4月7日に改訂が取りまとめられ、2024年4月1日以後に始まる事業年度から適用されています。改訂では、ITの委託業務に係る統制の重要性が増していること、クラウドなどを使うに当たり、サイバーリスクの高まりを踏まえて情報システムのセキュリティを確保することが重要であることが記載されました。

出典：[財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）（金融庁、2023年4月7日）](https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html)、[金融商品取引法（e-Gov 法令検索）](https://laws.e-gov.go.jp/law/323AC0000000025)

上場の審査でどこまで確かめられるか、どの事業年度から何が求められるかは、会社の状況や上場する市場によって違います。具体的な時期と範囲は、監査法人や主幹事の証券会社などの専門家にご確認ください。

## 4つの領域に、クラウドをどう当てはめるのですか

実施基準が示すIT全般統制の4つの領域は、クラウドでもそのまま当てはまります。違うのは、統制の対象が、サーバーの機器や部屋ではなく、クラウドの設定、権限、操作の記録になる点です。

| 領域 | クラウドで整えること（例） |
|---|---|
| 開発・保守の管理 | 本番の環境への設定の変更の申請・承認・反映の手順。構成をコードで管理している場合は、変更の確認と承認の記録 |
| 運用・管理 | 定例の処理の監視、障害への対応の記録、[バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)と戻せることの確認 |
| アクセス管理などの安全性 | 利用者の登録・削除、管理者の権限の限定、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)、権限の定期的な見直し |
| 外部委託の管理 | クラウドの事業者と、運用を頼む会社の管理。委託した業務の統制の確かめ方 |

開発・保守の領域では、設定の変更を誰が求め、誰が承認し、いつ本番に反映したかを追える[変更管理](https://www.ameliatechnology.co.jp/glossary/change-management/)の手順が中心になります。構成をコードで書いて管理する方法（[IaC](https://www.ameliatechnology.co.jp/glossary/infrastructure-as-code/)）を使うと、変更の中身と承認の記録を残しやすくなります。考え方は、[インフラのコード化（IaC）とは。手作業の構築をやめる理由](https://www.ameliatechnology.co.jp/blog/infrastructure-as-code-why/)で説明しています。

アクセス管理の領域では、管理者の権限を持つ人を絞り、使っていないアカウントを残さないことが確かめられます。権限の考え方は、[クラウドの権限管理（IAM）の基本。最小の権限とは](https://www.ameliatechnology.co.jp/blog/cloud-iam-least-privilege/)にまとめています。

## 操作の記録は、どう残せばよいですか

クラウドの操作の記録は、事業者の仕組みで自動で取れますが、標準の保存期間が監査に使う期間より短いことがあるため、保存の設定を別に行います。

AWS の CloudTrail は、利用者、ロール、AWS のサービスが行った操作をイベントとして記録し、その履歴（イベント履歴）では、リージョンごとに過去90日分の管理の操作を見られるとしています。Azure のアクティビティログは、リソースの作成や設定の変更などの管理の操作を記録し、90日間保ってから削除するとしています。Google Cloud の監査ログのうち、管理の操作の記録（Admin Activity 監査ログ）は、「誰が、どこで、いつ、何をしたか」に答えるもので、常に書き込まれ、止めることはできないとしています。

出典：[What Is AWS CloudTrail?（AWS）](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)、[Azure Monitor activity log（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/azure-monitor/platform/activity-log)、[Cloud Audit Logs overview（Google Cloud）](https://docs.cloud.google.com/logging/docs/audit)

内部統制の評価は事業年度を通して行うため、90日分の履歴だけでは、期の初めの操作を確かめられないことがあります。保存先と保存期間を決め、記録を消したり書き換えたりできる人を限っておきます。記録の残し方は、[ログの取り方と見方。何を、どのくらい残すか](https://www.ameliatechnology.co.jp/blog/log-management-basics/)で説明しています。

## クラウドの事業者の統制は、どう確かめるのですか

クラウドの事業者は外部委託の相手に当たるため、事業者の内部統制をどう確かめたかを説明できるようにしておきます。実施基準は、受託会社から内部統制の評価の結果を書いた報告書を入手して利用することを、方法の一つとして挙げています。

3つの事業者は、第三者の監査人による報告書を、利用者が入手できる形で公開しています。AWS は AWS Artifact で SOC 報告書や ISO の認証などの文書を、Microsoft は Service Trust Portal で SOC 1・SOC 2・SOC 3 の報告書などを、Google Cloud は Compliance reports manager で SOC 報告書や ISO/IEC の認証書などを提供しています。

出典：[What is AWS Artifact?（AWS）](https://docs.aws.amazon.com/artifact/latest/ug/what-is-aws-artifact.html)、[Get started with the Microsoft Service Trust Portal（Microsoft Learn）](https://learn.microsoft.com/en-us/purview/get-started-with-service-trust-portal)、[Compliance reports manager（Google Cloud）](https://cloud.google.com/security/compliance/compliance-reports-manager)

[SOC 報告書](https://www.ameliatechnology.co.jp/glossary/soc-report/)は、事業者が受け持つ範囲の統制を示すものです。報告書には、利用する側で整えることが期待される統制が書かれていることもあるため、自社の統制と照らし合わせます。権限・変更・記録のように自社が受け持つ部分は、事業者の報告書では代わりにならないため、自社で整えて証跡を残します。運用を外部の会社に頼んでいる場合は、その会社の作業の記録と報告も、同じように確かめられる形にしておきます。委託先の確かめ方は、[委託先・クラウドサービスの管理をどう確かめるか](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)で説明しています。

事業者の統制と自社の統制の確かめ方

事業者が受け持つ範囲

クラウドの事業者の統制

第三者の監査人による報告書（SOC 報告書など）を入手して確かめる

外部委託の管理として説明できるようにする

自社が受け持つ範囲

権限・変更・記録

事業者の報告書では代わりにならない

**自社で整えて証跡を残す**

報告書に書かれた、利用する側で整えることが期待される統制と、自社の統制を照らし合わせます

## つまずきやすい点は何ですか

上場準備で、クラウドの管理についてよくつまずく点には、次のようなものがあります。

- **管理者のアカウントを複数の人で共有している**：誰が操作したかを記録から特定できません
- **本番の環境で直接設定を変えている**：申請と承認の記録が残らず、変更管理の証跡になりません
- **操作の記録の保存期間が足りない**：標準の保存期間のまま、期の初めの記録が消えていることがあります
- **運用を外部に任せきりにしている**：委託先の作業の記録や報告を受け取っておらず、監督の状況を示せません

いずれも、手順を決めてから運用を始め、記録をためていく必要があるため、気づいてすぐに直せるものではありません。整備しただけでは運用の状況を示せないため、上場の時期から逆算して、記録をためる期間を取っておきます。

## 当社のご支援

アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、権限の整理、変更の申請と承認の流れ、操作の記録の保存の設定など、IT全般統制で問われる点を踏まえたクラウドの設計と運用をご支援しています。上場準備のIT統制を第三者の立場で点検したい場合は、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)でお受けします。中立を保つため、当社が構築・運用に関わった環境は監査の対象にしません。クラウドの管理の状態は無料の[クラウドの自己診断](https://www.ameliatechnology.co.jp/diagnosis/cloud/)で、上場に向けたIT準備の状況は無料の[M&A・上場に向けたIT準備度診断](https://www.ameliatechnology.co.jp/diagnosis/ma-ipo/)で、おおまかに確かめることもできます。

- 上場準備
- IT全般統制
- クラウド
- 内部統制報告制度

## この記事に出てくる用語

- [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/)
- [IT全般統制](https://www.ameliatechnology.co.jp/glossary/it-general-controls/)
- [変更管理](https://www.ameliatechnology.co.jp/glossary/change-management/)
- [内部統制報告制度（J-SOX）](https://www.ameliatechnology.co.jp/glossary/j-sox/)
- [サーバー](https://www.ameliatechnology.co.jp/glossary/server/)
- [監視](https://www.ameliatechnology.co.jp/glossary/monitoring/)
- [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)
- [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/)

## 関連する法令・指針（参考情報）

- 法令
   金商法第24条の4の4（財務計算に関する書類その他の情報の適正性を確保するための体制の評価）
   上場会社などは、事業年度ごとに、財務計算に関する書類その他の情報の適正性を確保するための体制について評価した報告書（内部統制報告書）を、有価証券報告書とあわせて提出します。
   金融商品取引法・昭和23年法律第25号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/323AC0000000025)
- 法令
   金商法第193条の2第2項（公認会計士又は監査法人による監査証明）
   内部統制報告書には、原則として、その発行者と特別の利害関係のない公認会計士または監査法人の監査証明を受けなければなりません。新たに上場した会社の上場から3年間など、例外も定められています。
   金融商品取引法・昭和23年法律第25号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/323AC0000000025)
- 指針
   金融庁（企業会計審議会）「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日）
   内部統制報告制度の評価と監査の基準を改訂したものです。2024年4月1日以後に始まる事業年度から適用されています。ITへの対応では、ITの委託業務の重要性や、クラウドなどの利用に伴うセキュリティの確保が強調されています。
   [発行元の公式ページで開く](https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/)
- [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/)
- [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/)

[クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### クラウドの構築と運用を任せる

AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。

[クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/)

### クラウドの状態を、無料で確かめる

15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。

[クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「上場準備で問われるクラウドの管理（IT全般統制）｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/ipo-cloud-itgc/