IT統制とは？

IT統制の意味

企業が情報システムを適切に管理・運用し、業務の正確性や信頼性、情報の機密性を確保するために設ける仕組みやルールの総称のこと。内部統制の一部として位置づけられ、システムへのアクセス権限の管理、プログラム変更の承認手続き、データのバックアップ体制などが対象となる。財務報告の信頼性確保を目的とした内部統制の枠組み（いわゆるJ-SOX）においても、情報システムに関わる統制であるIT統制の整備・運用状況が評価対象とされている。

IT統制の具体例

上場企業が決算処理を行う会計システムについて、担当者ごとにアクセス権限を分け、プログラムの変更には必ず上長の承認を必要とするルールを設け、監査法人の内部統制監査に対応する。

IT統制は試験でどう引っ掛けられる？

IT統制は情報システムの技術的な安全対策（セキュリティ対策）だけを指すのではなく、承認手続きや権限管理などの業務プロセス面のルール整備も含む幅広い概念である点に注意する。

IT統制と関連する用語

• 内部統制
• ITガバナンス
• COBIT

IT統制が出た過去問

• 金融庁の"財務報告に係る内部統制の評価及び監査に関する実施基準"における"ITへの対応"に関する記述のうち、適切なものはどれか。

  正解：ITの統制は、ITに係る全般統制及びITに係る業務処理統制から成る。

  要点：ITの統制は全般統制と業務処理統制の2区分から成る

  同基準では、ITの統制を「ITに係る全般統制」と「ITに係る業務処理統制」の2つに区分しています。全般統制は開発・運用・アクセス管理など業務処理統制が有効に機能する環境を保証するもので、業務処理統制は個々の業務処理が正確に行われることを担保するものです。IT環境は企業外部の利用状況も含み、手作業だけの内部統制も直ちに不備とはされません。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問60（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”における“ITへの対応”に関する記述のうち、適切なものはどれか。

  正解：ITの統制は、ITに係る全般統制及びITに係る業務処理統制から成る。

  要点：ITの統制はIT全般統制とIT業務処理統制の二つで構成

  実施基準では、ITの統制はIT全般統制とIT業務処理統制の二つから構成されるとしている。IT全般統制はシステムの開発・保守、運用管理、アクセス管理など業務処理統制が有効に機能する環境を支えるもので、IT業務処理統制は個々の業務処理の正確性を確保するものである。なおIT環境には企業外部の状況も含まれ、手作業のみの内部統制が直ちに不備となるわけではない。

  出典：令和5年度 秋期 応用情報技術者試験 午前 問60（IPA）

• 情報システムに対する統制をITに係る全般統制とITに係る業務処理統制に分けたとき、ITに係る業務処理統制に該当するものはどれか。

  正解：販売管理システムにおける入力データの正当性チェック機能

  要点：個別業務システム内のデータ処理の正確性を担保するのが業務処理統制

  IT業務処理統制は、個別の業務システムの中に組み込まれ、取引データが正確・網羅的・妥当に処理されることを確保する仕組みである。入力データの正当性チェック、エラーデータの修正手続、マスタデータの照合などが該当する。販売管理システムの入力チェック機能はまさにこれにあたるのでウが正解。一方、全般統制はシステム開発・運用・アクセス管理など、業務処理統制が有効に働く環境を支える統制を指す。

  出典：令和6年度 春期 応用情報技術者試験 午前 問60（IPA）