IPO準備のIT全般統制（ITGC）チェックリスト：J-SOXで確認する項目・証跡・担当

以下は着手時の確認例です。すべての企業に同じ統制・頻度を求めるものではありません。対象システム、評価期間、リスク、自社規程に合わせて項目を調整します。担当の欄は役割の例で、自社の職務分掌に置き換えてください。「よくある不足」は、確認のときに見落としやすい点の例です。

担当は例です。内部監査は、内部統制の整備・運用の状況を評価する役割のため、評価の対象となる業務の承認や実施の担当とは分けて置きます。金融庁の実施基準も、内部監査人が、監査の対象となる業務・部署から独立し、それらに直接の権限や責任を負わない状況を確保することが重要としています。また、「対象範囲」の行の承認は、一覧の内容の確認です。評価の範囲そのものは、経営者が決めます（次の節）。

実務では、各項目に「対象システム」「確認日」「確認者」「証跡の保管場所」「不足・是正期限」の欄を加えて使います。「該当なし」は空欄にせず、対象外と判断した理由を残します。

退職・異動と権限棚卸しの進め方はSaaSアカウント管理の実務で、特権IDを持つ情シス担当者が退職する場合の引き継ぎは情シス担当者の退職時の引き継ぎチェックリストで扱っています。表の「委託先・SaaS」で使う報告書と自社側の確認は、SaaSのSOC報告書と自社側の統制で確認票と記入例を示しています。

IT統制は、システム環境全体を支えるITGC（IT全般統制）と、個別の業務処理の正確性を担保するITAC（IT業務処理統制）に分けて評価されます。両者は目的が異なるため、主に担当する部署も変わります。

整える順序にも理由があります。ITGCに不備があると、システムの設定やプログラムが承認なく変更された可能性を否定できず、関連するITACが評価対象期間を通じて正しく動いていたと説明しにくくなります。影響の範囲は、関係するシステムと統制、代替手続を踏まえて評価されます。このためIPO準備では、まずITGCを整えてからITACの評価に進むのが一般的です。この記事はITGCを対象としており、ITACの設計は業務プロセスごとの検討になります。

2023年4月、企業会計審議会が、財務報告に係る内部統制の評価及び監査の基準と実施基準の改訂（意見書）を公表しました。2024年4月1日以後に開始する事業年度の評価・監査から適用されています。ITGCに関係する点は、次のとおりです。

• 評価の範囲は経営者が決めます。例示されている指標（売上高などのおおむね3分の2、売上・売掛金・棚卸資産の3勘定）を機械的に適用せず、財務報告への影響の重要性を考慮します。評価の範囲について監査人と協議することは、必要に応じて行うことが適切とされています。
• ITを利用した内部統制の評価を一定の頻度で行う場合も、IT環境の変化を踏まえて判断し、特定の年数を機械的に当てはめないことが明確にされました。
• 「ITへの対応」では、ITの委託業務に係る統制の重要性と、サイバーリスクの高まりを踏まえたセキュリティの確保が挙げられています。SaaSや外部の開発会社を使う会社では、委託先の確認の比重が大きくなります。

どのシステムを対象にし、どの頻度で評価するかは、会社ごとの事業・システム・委託の状況によって変わります。会社が判断の理由を記録し、必要に応じて監査人と協議します。この記事のチェックリストは、その検討の材料を集めるためのもので、監査の結果や統制の有効性を保証するものではありません。

この記事では、ITGCを実務上、アクセス管理、変更・開発管理、運用管理、委託先管理の4領域に整理します。金融庁の実施基準は、システムの開発・保守、運用・管理、アクセス管理などのシステムの安全性の確保、外部委託に関する契約の管理などを例示しており、制度がこの4分類に固定しているわけではありません。SaaSを多く使う企業では、委託先管理の比重が大きくなります。

証跡は、作成した後も、申請から承認・作業・確認までを監査人がたどれる状態で保管しておきます。

スタートアップでは、事業の成長を優先して、管理者権限のIDを複数人で共有したり、口頭の承認だけで設定を変更したりしていることがよくあります。権限の共有や記録のない変更があると、不正な操作や誤った処理を後から追えなくなるおそれがあります。不備の評価は、財務報告への影響と代替統制を踏まえて行われます。

特に問題になりやすいのは、次のような点です。

SaaSの事業者からSOC報告書を受け取っただけでは、自社のITGCの確認は終わりません。委託している業務と報告書の対象・期間・結果を照らし合わせ、自社が実施する統制と記録を確かめ、未確認の事項を担当と期限に落とし込みます。すべてのSaaSから報告書を集めるのではなく、財務報告に関係する処理やデータを扱うサービスから、確認の範囲を決めます。

金融庁の実施基準では、委託した業務も委託者が責任を持ち、重要な業務プロセスの一部であれば受託会社の内部統制も評価の対象になります。受託会社の報告書等を使う場合も、十分な証拠になるかを検討します（金融庁：内部統制の評価・監査の基準・実施基準）。役割は分けて考えます。サービス事業者は自らの統制を整えて報告書を提供し、利用会社は資料と自社の運用を整理して記録します。監査人は、それらを監査の証拠として使えるかを判断します。

表は横にスクロールできます →

SOC1とSOC2は扱う目的が異なる報告書で、上下や優劣の関係ではありません。SOC報告書は認証書ではなく、受託会社の監査人が、対象とした統制について結論を報告する保証報告書です。ISMSの認証の範囲と使い方はISMS導入ロードマップで扱っています。

報告書の種類とは別に、タイプ（Type）の違いがあります。タイプ1は基準日時点の統制の記述とデザインを、タイプ2は対象期間にわたる運用状況の有効性までを扱います（保証業務実務指針3402 第7項）。タイプ2であっても、それだけで依拠できる、あるいは自社側の確認が不要になるわけではありません。

次の確認票は、受け取った資料を自社の運用と結び付けて記録するための例です。項目は対象業務に合わせて調整します。

表は横にスクロールできます →

CUEC（Complementary User Entity Controls）は、利用会社側で実施することを前提とする相補的な内部統制です。3402と監査基準報告書402では「委託会社の相補的な内部統制」と呼ばれ、受託会社の記述書に記載されるものとされています（保証業務実務指針3402 第8項、監査基準報告書402 第7項）。内容は報告書ごとに異なり、AICPAの参考資料では、SOC2報告書のCUECは多くないとされ、利用者の責任とは区別されています（AICPA：SOC 2 Report Review）。報告書に書かれた事項に加えて、自社のリスクから必要な運用も確かめます。

期間に空白があると、事業者から空白の期間についての説明の文書（ブリッジレターなど）を受け取ることがあります。ただし、これは独立した監査人が空白の期間の運用を評価した結果ではありません。402でも、対象期間との重なりが小さい場合や対象期間外に重要な変更があった場合には、追加の証拠や手続が検討されます（第A30項・第A31項）。追加の資料が必要か、資料を監査上どう扱うかは、対象の業務に応じて監査人と確認します。

例外事項や除外事項付きの意見があっても、それだけで報告書が使えなくなるわけではありません（402 第A36項）。逆に、意見が無限定でも、例外事項がないとは限りません。自社に関係する統制の例外と、その影響・対応を確認し、事業者の改善予定は検証された結果として扱いません。

会社側の役割は、資料と自社の運用を整理して記録することです。監査の証拠として使えるかの判断は監査人が行います。確認票の「確認記録済み」は作業の状態で、監査上の合格や統制の有効性を示すものではありません。確認の頻度や保管の期間は、対象業務と監査人の確認事項に合わせて決めます。報告書は利用者が限定されていることがあるため、入手と共有の条件、閲覧できる人を確認し、公開の場所や相談フォームに本文を貼らないようにします。

まず、財務報告に関係するSaaSと連携を一覧にし、対象のサービスごとに確認票を埋めます。報告書が手元になくても、入手の状況と不足の記録から始められます。全体の確認はIT全般統制チェックリストに戻って進めます。相談する場合は、利用しているサービスと用途、委託している範囲、確認したい期間、手元の資料の名前、自社側で未整理の事項を、分かる範囲でまとめておくと進めやすくなります。初回の相談では、報告書の本文をご用意いただく必要はありません。

N-2期の企業が、監査開始までに最低限の体制を整えるための着手の例です。監査人は、規程があるかどうかに加えて、規程どおりに運用した記録が残っているかを確認します。各タスクは成果物と、それが完成したと判断できる確認方法まで決めてから着手します。

この表は、90日間で運用を始めるまでの着手の例です。必要な期間は、対象のシステムの数、社内の体制、不足している記録の量で変わり、90日で整うとは限りません。監査では一定の期間の運用の実績が評価の対象になるため、どのくらい前から運用を回し始めるかを、早い段階で監査人と確認してください。

Malakeの「IPO準備のITGC現状整理・整備計画」の支援では、資料から確認できたことを整理し、次の3つをまとめます。

• 対象と現状の整理：財務報告に関係するシステム・委託先・管理者と、既存の手順・記録、未確認の事項。
• 不足と確認事項の一覧：アクセス管理・変更管理・運用管理などについて、資料から確認できたことと、追加の確認が必要なこと。
• 整備の優先順位と計画：整える順序、担当と承認者、確認先、目安の時期と成果物、監査人などとすり合わせる判断事項。

相談の前に、上場の予定と監査人などとの打ち合わせの状況、財務報告に関係するシステムと委託先（分かる範囲）、既存の規程・手順と運用の記録、社内の担当と承認者をご用意いただくと、対象を具体的に確認できます。資料がそろっていなくても、何が足りないかの整理からご相談いただけます。

対象の業務と責任者の決定、整備の承認と運用の判断は会社が行い、監査人はそれぞれの立場で評価の範囲や方法を確認します。継続的な証跡の運用の代行、統制が有効であることの保証、正式な監査・監査意見、上場の可否の判断は、この支援に含まれません。初回相談は無料で、有料の整理・計画づくりは、対象のシステムと委託先の数、資料の状態、確認の回数から個別にお見積もりします。

チェックリストで不足が見つかりやすい、承認の記録、特権IDの管理、委託先・SaaSの確認方法を補足します。いずれも、必要な記録の範囲は対象プロセスと監査人の確認事項に合わせて決めます。