上場準備で整えるIT全般統制

上場を目指す会社は、金融商品取引法の内部統制報告制度に対応するため、財務報告に関わるシステムについて、IT全般統制を上場の前から整え、運用した記録を残しておく必要があります。IT全般統制の領域は、実施基準が示す4つ（システムの開発・保守、運用・管理、アクセス管理などの安全性の確保、外部委託に関する契約の管理）に沿って考えると整理しやすくなります。

内部統制報告制度とは

内部統制報告制度（J-SOX）は、上場会社が、財務報告に関わる内部統制を経営者自らが評価して内部統制報告書を提出し、その評価について公認会計士または監査法人の監査を受ける制度です。内部統制報告書の提出は金融商品取引法第24条の4の4に、監査証明は同法第193条の2第2項に定められています。

評価と監査の基準は、企業会計審議会が定める「財務報告に係る内部統制の評価及び監査の基準」と、その実施基準です。2023年4月7日に改訂が取りまとめられ、2024年4月1日以後に始まる事業年度の評価と監査から適用されています。ITへの対応では、情報システムの開発・運用・保守などを外部に委託するケースがあり、ITの委託業務に係る統制の重要性が増していること、クラウドやリモートアクセスなどを使うに当たり、サイバーリスクの高まりを踏まえた情報システムのセキュリティの確保が重要であることが記載されました。あわせて、ITを利用した統制の評価の頻度について、特定の年数を機械的に当てはめず、ITの環境の変化を踏まえて判断することが明確にされました。

出典：金融庁「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023年4月7日）、e-Gov 法令検索「金融商品取引法」

新たに上場した会社は、何が免除されるのか

新たに上場した会社は、上場から3年を経過する日までの間に提出する内部統制報告書について、公認会計士または監査法人の監査が免除されます（金融商品取引法第193条の2第2項第4号）。ただし、資本の額その他の経営の規模が内閣府令で定める基準に達しない会社に限られ、上場日の属する事業年度の直前事業年度の連結貸借対照表（または貸借対照表）で、資本金が100億円以上、または負債の合計額が1,000億円以上の会社は、この免除の対象になりません。

免除されるのは監査であり、内部統制報告書の提出は免除されません。内部統制報告制度は、上場の後に最初に到来する事業年度末（通常は上場した事業年度）から適用され、経営者は自ら内部統制を評価して報告書を出すことになります。そのため、評価の対象となるIT全般統制を、上場の前から整えておく必要があります。

上場の審査で内部統制の整備の状況がどう確かめられるか、どの事業年度から何が求められるかは、会社の状況や上場する市場によって異なります。具体的な時期と範囲は、監査法人や主幹事の証券会社などの専門家にご確認ください。

IT全般統制とIT業務処理統制は何が違うのか

実施基準は、ITに対する統制活動を、全般統制と業務処理統制の2つに分けています。

• IT業務処理統制：業務を管理するシステムの中に組み込まれ、承認された業務がすべて正確に処理・記録されることを確保する統制です。実施基準は、入力情報の完全性・正確性・正当性等を確保する統制、例外処理（エラー）の修正と再処理、マスタ・データの維持管理、システムの利用に関する認証・操作範囲の限定などのアクセスの管理を例に挙げています
• IT全般統制：業務処理統制が有効に機能する環境を保証するための統制で、通常、複数の業務処理統制に関係する方針と手続です

一度システムに業務処理統制を組み込めば、手を加えない限り同じように動き続けます。しかし、システムの変更のときに必要な統制が組み込まれなかったり、プログラムの不正な改ざんや不正なアクセスがあったりすると、業務処理統制の有効性が保証されなくなります。IT全般統制は、その前提を支える仕組みです。

IT全般統制の4つの領域

実施基準は、IT全般統制の具体例として、次の4つの項目を挙げています。

システムの開発、保守に係る管理

実施基準は、システムの開発や変更のときに、既存のシステムとの整合性を十分に検討し、開発・変更の過程の記録を適切に保存することを例に挙げています。誰が変更を求め、誰が承認し、どうテストして、いつ本番に反映したかを追える変更管理の手順が中心になります。開発する人と本番に反映する人を分ける職務分掌も、よく確かめられる点です。変更管理の確かめ方は、変更管理は、監査で何を確かめられるのかで扱っています。

システムの運用・管理

夜間の処理などが予定どおりに動いたか、失敗したときに誰がどう対応したか、バックアップをとり、戻せることを確かめているかを整えます。

アクセス管理などシステムの安全性の確保

実施基準は、プログラムの不正な使用や改ざんを防ぐため、システムへのアクセスの管理について適切な対策を講じることを例に挙げています。入社・異動・退職に合わせた権限の付与と削除、特権IDの管理、アクセス権の棚卸しが主な点です。詳しくはアクセス権の棚卸しと特権IDの管理をご覧ください。

外部委託に関する契約の管理

実施基準は、委託業務についても委託者が責任を有し、委託業務に係る内部統制も評価の範囲に含まれるとしています。委託業務が重要な業務プロセスの一部である場合、経営者は、受託会社の内部統制を評価する必要があります。その方法の1つとして、受託会社から内部統制の評価結果を記載した報告書（SOC報告書など）を入手して利用することが考えられ、その際は報告書が十分な証拠を提供しているかを検討するとされています。クラウドのサービスを使う場合の考え方は、委託先とクラウドのサービスを、どう確かめるかで扱っています。

出典：同上の意見書の実施基準（「ITへの対応」「ITに係る全般統制」「委託業務に係る内部統制の評価」の項）

準備はどう進めるのか

IT全般統制の準備は、次の順に考えると整理しやすくなります。

1. 対象のシステムを決める：会計、販売、購買、給与など、財務報告の数字に関わるシステムと、それを支える基盤（サーバー、データベース、クラウドのサービスなど）を洗い出します。実施基準は、IT全般統制は通常、IT基盤を単位として構築するとしています
2. 文書にする：システムの一覧、構成の図、変更管理・アカウント管理・バックアップの手順を、規程や手順書にまとめます
3. 証跡の残し方を決める：承認の記録、テストの結果、権限の見直しの記録、ログなど、統制が動いたことを示す記録（監査証跡）を、どこに、どの形で残すかを決めます
4. 運用し、記録をためる：決めた手順で実際に運用し、記録を残します。整備しただけでは、運用の状況の有効性を示せないためです
5. 点検し、直す：運用の記録を第三者の目で確かめ、不備を直します

どのくらいの期間、運用の記録が必要になるかは、会社の状況と監査法人の判断によって異なります。準備の計画は、監査法人と早めに相談して決めることをおすすめします。

つまずきやすい点

上場の準備でIT全般統制を点検すると、次のような状態が見つかることがあります。

• 退職した人のアカウントが残っている
• 本番のシステムを、承認なしに変更できる人がいる
• 管理者の権限を持つアカウントを、複数の人で共有している
• 手順はあるが、運用した記録が残っていない
• クラウドのサービスや委託先の管理の状況を、誰も確かめていない

いずれも、手順を決めるだけでなく、実際に動かして記録を残すことで防げる点です。会社が小さいうちは、開発と本番の反映を同じ人が担うなど、職務を分けきれないこともあります。その場合は、変更の後に別の人が記録を確かめるなど、代わりの統制を考えます。

当社のご支援

アメリア・テクノロジーは、システム監査として、上場準備のIT統制の点検を行っています。財務報告に関わるシステムについて、IT全般統制とIT業務処理統制の整い具合を確かめ、監査法人の監査に備えて、優先して直す点と直し方の提案をまとめます。改善の計画づくりと実施はお客様が進め、当社が改善に関わる場合も、監査とは別の担当が受け持ちます。当社の点検は、金融商品取引法にもとづく内部統制監査ではありません。当社が開発・運用に関わったシステムは監査の対象にせず、改善の作業をどこに頼むかはお客様が自由に決められます。