IPO監査をクリアする「IT全般統制（ITGC）」とJ-SOX実務チェックリスト
まず押さえたいことIT全般統制（ITGC）とは、財務報告の信頼性を確保するためのITシステム環境全体の統制活動です。アクセス管理、変更管理、運用管理、開発管理の4領域からなり、特定の業務アプリだけでなく、それを支えるインフラや組織全体のルールを指します。
この記事の要点
IPO準備のITは「最新ツール導入」ではなく、監査で説明できる統制（誰が・いつ・何を承認し・どう記録するか）が中核です。J-SOX文脈ではIT統制を「システム環境全体を管理する全般統制（ITGC）」と「個別のシステム内の自動計算や入力チェックを担保する業務処理統制（ITAC）」に分けます。まずは土台となるITGC（アカウント管理、変更管理、運用、バックアップ、ログ等）を証跡込みで回せる状態にします。金融庁のガイダンスでもIT統制は一般統制とアプリ統制に分類して評価する旨が示されています。
この記事でわかること
- なぜIPO準備で「IT統制」につまずくのか
- IT全般統制 (ITGC) の4領域と監査ポイント
- ITGCと業務処理統制（ITAC）の境目
- 短期集中 90日導入ロードマップ
- 導入チェックリスト＆FAQ
なぜIPO準備で「IT統制」につまずくのか
多くのスタートアップが、事業成長優先でシステム権限を「Admin（管理者）」のまま共有したり、口頭承認で設定変更を行ったりしています。しかし、上場審査（J-SOX）ではこれらは重大な不備（ダイレクト・アクセスのリスク）とみなされます。
特に問題になりやすいのが以下のポイントです。
よくあるNG事例
- CTOが本番DBを直接操作できる（職務分掌の不全）
- 退職者のアカウントが数ヶ月残っている
- システムのリリース判定記録がSlack上しかない
- ログが保存されていない、保存期間が短い
- 利用中SaaSのログ保存期間が標準プランでは短く、評価対象期間をさかのぼれない
目指すべき状態 (Good)
- 開発者と運用者が分離されている、または承認プロセスがある
- アカウント棚卸しが四半期ごとに実施・記録されている
- 申請・承認・実行・確認の一連のログが紐付いている
- SaaS選定基準に「監査の評価対象期間をカバーするログ保存期間」と「SSO（SAML）連携対応」が組み込まれている
IT全般統制 (ITGC) の4領域と監査ポイント
ITGCは大きく4つの領域に分類されます。特にSaaS中心の現代では「アクセス管理」と「変更管理」が最重要です。
▼ ITGC 監査要件と証跡マトリクス
| 領域 | 主な監査観点 | 求められる証跡 (Evidence) |
|---|---|---|
| アクセス管理 | 正当な権限付与と削除、特権ID管理 | 入社申請書、 ID棚卸結果報告書、 特権ID利用申請・ログ |
| 変更管理 | プログラム変更の正当性担保 | 変更申請書(チケット)、 テスト結果報告書、 リリース承認ログ |
| 運用管理 | ジョブ実行監視、バックアップ | バッチ処理結果リスト、 バックアップ成功ログ、 リストアテスト記録 |
| 開発管理 | 新規開発の承認プロセス | 要件定義書、 検収報告書 |
証跡は「作成して終わり」ではなく、監査人がいつでもトレース（追跡）可能な状態で保管されている必要があります。
ITGCと業務処理統制（ITAC）の境目
IT統制は、システム環境全体を支えるITGC（IT全般統制）と、個別の業務処理の正確性を担保するITAC（IT業務処理統制）に分けて評価されます。両者は評価の目的が異なるため、担当部署も変わります。
| 観点 | ITGC（IT全般統制） | ITAC（IT業務処理統制） |
|---|---|---|
| 対象 | システム環境全体（アクセス、変更、運用、開発） | 個別の業務アプリケーション内の処理 |
| 具体例 | 権限付与の承認、本番リリースの承認、バックアップ運用 | 入力値チェック、承認金額の上限による自動制御、システム間連携の件数・金額の一致確認 |
| 主な担当 | 情報システム部門 | 業務部門（経理・販売管理など） |
| 不備の影響 | ITACの信頼性そのものが否定される | 当該業務プロセスの数値の正確性が問われる |
順序が重要です。ITGCに不備があると、「システムの設定が誰にも無断で変更できる状態」＝ITACが正しく動いている保証がないと判断され、ITACの評価結果も使えなくなります。このためIPO準備では、まずITGCを固めてからITACの評価に進みます。本記事はITGCを対象としており、ITACの設計は業務プロセスごとの検討になります。
短期集中 90日導入ロードマップ
N-2期の企業が、監査開始までに最低限の体制を整えるためのスケジュール例です。監査人は「規程があるか」ではなく「規程どおりに運用した記録が残っているか」を見ます。各タスクは成果物と、それが完成したと判断できる確認方法まで決めてから着手します。
| 期間 / タスク | 成果物 | 責任者 | 完了の確認方法 |
|---|---|---|---|
| Day 0-30 対象システムの範囲特定 |
財務報告に関係するシステム一覧（会計、販売、購買、給与、およびそれらの連携基盤） | 経理部長 | 監査法人の予備調査で範囲の妥当性について合意が取れている |
| Day 0-30 規程の作成 |
情報システム管理規程、アクセス管理規程、変更管理規程（承認者と保存期間を明記） | 情報システム責任者 | 取締役会または経営会議で承認され、議事録に記載されている |
| Day 0-30 職務分掌の見直し |
職務分掌表（開発者と本番環境の操作権限者の分離状況を記載） | 開発責任者 | 分離できない場合の代替統制（作業ログの第三者レビュー）が文書化されている |
| Day 31-60 申請・承認フローの整備 |
ワークフロー上の申請テンプレート（権限付与、本番変更、データ修正） | 情報システム責任者 | テスト申請を1件通し、申請者・承認者・実行日時が1画面で追跡できる |
| Day 31-60 ID管理台帳の整備 |
ID管理台帳（システム別の利用者、権限区分、特権IDの保有者） | 情報システム担当 | 人事の在籍者名簿と突合し、差分がゼロまたは理由が記載されている |
| Day 31-60 ログ取得設定 |
対象システムごとのログ取得項目と保存期間の一覧 | 情報システム担当 | 任意の日付を指定し、その日の管理者操作ログを実際に取り出せる |
| Day 61-90 運用開始と証跡確認 |
運用1か月分の申請・承認記録、アクセス権棚卸しの実施記録 | 内部監査担当 | サンプル抽出（各プロセス数件）で、規程どおりの承認が確認できる |
| Day 61-90 不備の是正 |
逸脱一覧と是正措置記録（発生原因、対応内容、再発防止策） | 内部監査担当 | 是正後の再サンプリングで、同じ逸脱が発生していない |
90日で整うのは「運用を始めた状態」までです。監査では一定期間の運用実績が評価対象になるため、監査開始の何か月前から運用を回し始めるかを監査法人と早い段階で確認してください。
導入チェックリスト＆FAQ
監査対応に向けた最終確認リストです。
押さえておきたい点
自社の状況を確認する
- □ IT基本方針・規程類が取締役会で承認されている
- □ アカウントの登録・変更・削除の承認フローが存在する
- □ 退職者のIDが退職日翌日までに無効化される仕組みがある
- □ 本番環境へのプログラム適用（リリース）に承認プロセスがある
- □ 財務報告に関連するシステムのログが、監査の評価対象期間をさかのぼって取り出せる
- □ バックアップからのリストア手順書があり、年1回テストしている
- □ 外部委託先（ベンダー）の管理・監督記録がある
よくある質問
Q. 「3点セット」とは何ですか？
J-SOX対応の文書化で広く使われる①業務記述書（ナラティブ）、②業務フロー図（フローチャート）、③リスク・コントロール・マトリクス（RCM）の総称です。実施基準上の例示であり、法令で作成が義務付けられた文書ではありませんが、監査実務では標準的に用いられます。IT統制でも「変更管理」プロセスなどはこの3点セットで文書化するのが一般的です。
Q. スプレッドシートやSlackでの承認は認められますか？
監査法人の方針によりますが、原則として「編集履歴が改ざんできない」「承認者の真正性が担保されている」ことが条件です。Slackのスタンプ承認は証跡として弱いとされる場合があるため、ワークフローシステムを通すか、スクリーンショットと時刻記録を厳格に管理する必要があります。
Q. 特権ID（root/admin）はどう管理すべきですか？
原則は「利用しない」ことです。必要な場合は、「事前申請→貸出（パスワード開示）→作業→PW変更・返却」という貸出運用にするか、特権ID管理ツールを導入してログをすべて記録することが求められます。
Q. 利用しているSaaSベンダーのセキュリティはどう評価・証明すればよいですか？
自社でSaaSのデータセンターを直接監査することは不可能なため、独立した監査法人が発行する「SOC2 Type2レポート」を受領・確認するか、経産省のガイドライン等に準拠した独自の「委託先セキュリティチェックシート」を運用し、定期的な評価を証跡として残す必要があります。
ITの判断と実行を、経営のそばに。
外部IT責任者として、優先順位の整理から実装・運用まで支援します。
中小企業のための実践的DX推進ガイド：戦略立案から実行まで
この分野の全体像と判断の順序をまとめた記事です。