はじめに
この事業は、競輪の補助金を受けて実施したものです。

http://ringring-keirin.jp

内部統制解説書－金融商品取引法と実施基準の求めるＩＴ内部統制－（第２版）

社団法人 日本コンピュータシステム販売店協会
サポートサービス委員会• 2001年に米国で発生したエンロン、ワールドコムの巨大な会計不祥事を受けて、企業の財務情報の透明性と正確性を実現する内部統制の仕組みの整備と運用を義務づけるSOX法が2002年7月に成立しました。
• 日本においても、ライブドアなどの会計不祥事が発生しており、2005年6月に会社法の改定が行われ、内部統制が義務づけられました。また、2006年6月に金融商品取引法(日本版SOX法とも呼ばれる)が成立し、2007年9月に完全施行され、上場企業に対し、2008会計年度から内部統制の適用が義務化されるなど、企業統治の重要性が高まってきました。
• 金融商品取引法では内部統制の実施に関する具体的な記述がないことから、金融庁の企業会計審議会内部
統制部会が2007年2月に「実施基準」を作成し、公開しています。
• 実施基準では、企業会計に直接関係する部門の内部統制だけでなく、昨今の企業会計におけるＩＴの利用状況を鑑み、ＩＴ運用に関する内部統制を義務づけています。
• 本書では、 主として、企業のＩＴ部門に所属する方々を対象に、実施基準が求めているＩＴ内部統制について解説を試みました。
• 金融商品取引法、内部統制実施基準、ならびにＩＴ内部統制について、皆様の理解を深める一助になれば幸いです。
2008年9月(社)日本コンピュータシステム販売店協会
サポートサービス委員会 内部統制WT

目次
1.
2.
3.
4.
5.
6.
7.
8.
9.

金融商品取引法 施行の背景………………………… 5
なぜ、内部統制が必要なのか………………………… 7
内部統制の目的と、基本的要素……………………… 9
財務報告に係る内部統制の評価・報告の流れ………11
内部統制で評価しなければいけない事とは？ ………13
ＩＴに関わる内部統制って？……………………………17
ＩＴで何が出来ていないとだめなの？ …………………19
ＩＴ業務処理統制とＩＴ全般統制の関係 ……………… 21
ＩＴ業務処理統制で求められる事とは？……………… 23
9.1 入力情報の完全性、正確性、正当性の確保 …………… 25
9.2 エラー・データの修正と再処理…………………………… 27
9.3 マスタ・データの維持管理………………………………… 29
9.4 システムの利用に関するアクセス管理 ………………… 31
10. ＩＴ全般統制で求められることとは …………………… 33
10.1 システムの開発、保守に係る管理……………………… 35
10.2 システムの運用・管理…………………………………… 45
10.3 システムの安全性確保 ………………………………… 53
10.4 委託先の管理…………………………………………… 67
11. システム専門家がいなくても大丈夫 ………………… 75
12. 外部委託で注意すべきこととは……………………… 77
13. ＩＴに頼るところと、人手でやるところのバランス……… 79
おわりに…………………………………………………… 81
参考情報 ………………………………………………… 82

3

4

1.

金融商品取引法 施行の背景
粉飾決算• 証券市場がその機能を十全に発揮していくためには、投資者に対して企業情報が適正に開示されることが必要
不可欠となります。
• 昨今、有価証券報告書の開示内容など証券取引法上のディスクロー
ジャーをめぐり不適正な事例が発生しています。

株式市場の混乱–ライブドア：株価至上主義にとりつかれた経営層の暴走が止まらなかった–日興コーディアルグループ：経営層の粉飾決算により関係会社が上場廃止に追いこまれた–カネボウ：経営層が代々に渡り粉飾を行い、破産状態となった

開示内容の適正性
確保の必要

5

6

2.

なぜ、内部統制が必要なのか• 金融商品取引法の施行により上場企業に対して内部統制が義務付けられたためです。
• 具体的には、以下が求められます。
–経営者は、財務報告に係る信頼性を確保するために必要な体制(内部統制)について評価し、内部統制報告書を作成する–経営者の作成した内部統制報告書が、一般に公正妥当と認められる内部統制の評価の基準に準拠して適正に作成されているかについて、監査人が意見を表明する

経営者は内部統制について評価し、内部統制報告書を作成する

監査人意見
の種類

監査人は内部統制報
告書について意見を表明する
内 容

評価範囲、評価手続、および評価結果がすべて無限定適正の重要な点で適正表示されていると判断した場
意見
合の意見
評価結果等に不適切なものがあるものの、影響
限定付適正 が内部統制報告書を全体として虚偽の表示にあたるとするほどには重要でないと判断した場合の意見
意見
評価結果等に関して著しく不適切なものがあり、不適正意見 内部統制報告書が全体として虚偽の表示にあたると判断した場合の意見
重要な監査手続きを実施できなかったことにより、意見不表明 内部統制報告書に対する意見表明のための合理的な基礎を得る事ができなかった場合の意見

78

内部統制の目的と、基本的要
素

資
産
の
保
全

財
務
報

業
務

子会社

9

統制 活動

事業単位

– 統制環境： 企業風土を決定し、統制に対する企業組織内すべての者の意識に影響を与えるもの– リスクの評価と対応： 組織目標を阻害する要因をリスクとして識別・分析・評価を行い、そのリスクに対応すること– 統制活動： 経営者の命令・指示が適切に実行されることを確保するために定める方針・手続– 情報と伝達： 必要な情報が組織内外および関係者に正しく伝えられる仕組みを作り、実行すること– モニタリング： 内部統制が有効に機能していることを継続的に評価する仕組みを作り、実行すること– ＩＴ（情報技術）への対応： 内部統制を有効に機能させるために、ＩＴを有効かつ効率的に利用すること

リスク の評価と対応

会社• 内部統制の６つの基本的要素

統制 環境
６つの基本的要素– 業務の有効性及び効率性を高める– 財務報告の信頼性を確保する– 事業活動に関わる法令その他の規範の遵守を促
進する– 資産の保全を図る

本部・部・
支店

• 内部統制の４つの目的

告
信 の
頼
性
法
令
遵
守

4つの目的

の
有
・効 効
率性
性

3.

情報と伝達
モニタ リング

IT（情報技術）への対応

組織・事業単位

内部統制のフレームワーク*

実施基準「Ⅰ.内部統制の基本的枠組み」では、従来から存在
実施基準「Ⅰ.内部統制の基本的枠組み」では、従来から存在している「COSO」の内部統制概念を進化させ、目的と基本的している「COSO」の内部統制概念を進化させ、目的と基本的要素が1つずつ追加されている。
要素が1つずつ追加されている。
 内部統制の目的
内部統制の目的 ：： 「資産の保全」「資産の保全」 内部統制の基本的要素
内部統制の基本的要素 ：： 「IT（情報技術）への対応」「IT（情報技術）への対応」
COSO：米国トレッドウェイ委員会組織委員会*:

米国トレッドウェイ委員会の作成したCOSOキューブに日本の実施基準が求める、「資産の保全」と「ＩＴへの対応」を追加したもの。

10

4.

財務報告に係る内部統制の評
価・報告の流れ• 財務報告に係る内部統制は、以下の流れに従って評価・報告されます。
– 内部統制の評価範囲を決定する– 全社的な内部統制を評価する– 業務プロセスレベルの内部統制を評価する– 発見した不備の評価と重要な欠陥を特定する。
改善策を作成し、実施する– 経営者は、内部統制の有効性を評価し報告す
る– 監査法人は、経営者が実施した内部統制の有効性の評価結果に対する意見を表明する– 継続的なモニタリング体制を確立する

内部統制の評価範囲の決定

全社的な内部統制の評価
業務プロセスレベルの内部統制の評価

不備への対応と欠陥の改善

経営者による有効性の評価と報告

外部監査人による内部統制監査

継続的なモニタリング体制の確立

11

12

5.

内部統制で評価しなければいけない事とは？

(1) 全社的な内部統制を評価する• 全社的な内部統制とは、企業集団全体に関わり連結ベースでの財務報告全体に重要な影響を及ぼす内部統制のことです。
• 全社的な内部統制の評価の特徴は以下のとおりです。
–原則としてすべての事業拠点を評価対象とする–全社的な内部統制の評価結果によって、
業務プロセスに係る内部統制の評価範
囲や評価方法等が影響を受けることになる

13

全社的な内部統制は• 全社的な会計方針・財務方針• 組織の構築・運用に関する経営判断• 経営レベルの意思決定プロセス等が該当する

原則としてすべての事業拠点を評価対象とする

14

5.

内部統制で評価しなければいけない事とは？

「ＩＴ基盤」の調査と把握(2) IT内部統制の評価範囲を決定する• 財務報告に関連したアプリケーショ
ン・システムを特定します。
• アプリケーション・システムを支援する「ＩＴ基盤」を、以下の項目を中心に調査し把握します。
–ＩＴに関与する組織の構成–ＩＴに関する規程、手順書等–ハードウエア、ソフトウエア、ネットワークの構成–外部委託の状況

ハードウエアソフトウエアネットワークの構成ＩＴに関与する組織の構成

ＩＴに関する
規程、手順書等• 把握したＩＴ基盤の概要をもとに、評価単位を決定します。
外部委託の
状況

15

16

6.

ＩＴに係る内部統制って？

• 近年の企業活動には、会計システム
をはじめとして、販売・購買・財務等、各種の業務システムが導入されており、これらの中で処理、作成された情報を元に財務報告が行われています。
• ＩＴに係る内部統制とは、業務システ
ムや会計システムによって作成される財務情報の信頼性を確保するための内部統制のことです。

ＩＴは企業活動に深く浸透している

1718

7. ＩＴで何が出来ていないとだめなの？
• IT内部統制では、財務情報に係るア
プリケーション・システムにおいて、プ
ログラムやデータの信頼性（完全性・正確性・正当性）および、マスター
データの維持信頼性を確保する機能が具備（ＩＴ業務処理統制）されている必要があります。
• また、財務情報に係るアプリケーショ
ン・システムはシステム基盤に大きく依存することから、その完全性を維持する機能が具備（ＩＴ全般統制）されている必要があります。

IT業務処理統制
正確なデータ入力
エラーデータ再処理

マスタ・データ維持
アクセス権管理

IT全般統制システムの運用・管理

安全性確保
システム開発・保守の管理
外部委託先管理

19

20

8.

ＩＴ業務処理統制とＩＴ全般統制の関係• ＩＴに係る内部統制は、『 ＩＴ業務処理
統制 』と、『 ＩＴ全般統制 』に分けられます。
• 『ＩＴ業務処理統制』とは、財務情報に係るアプリケーション・システムにおいて、承認された業務がすべて正確に処理、記録されることを担保するために業務プロセスに組み込まれたＩＴに係る統制活動です。
• 『ＩＴ全般統制』とは、ＩＴ業務処理統制が有効に機能する環境を保証するための統制活動です。

営業部

経理部

購買部

業務ﾌﾟﾛｾｽに係る内部統制

業務ﾌﾟﾛｾｽに係る内部統制

業務ﾌﾟﾛｾｽ
に係る
内部統制

ＩＴ
業務処理統制ＩＴ
業務処理統制ＩＴ
業務処理統制ＩＴ全般統制業務プロセス
単位のレベル
で整備

ＩＴ基盤単位のレベル
で整備

ＩＴ業務処理統制

ＩＴ全般統制・入力情報の完全性、正確性、正当性の確保・システムの開発、保守に係る管理・エラー・データの修正と再処理・システムの運用・管理・システムの安全性の確保
・マスタ・データの維持管理
・委託先の管理・システムの利用に関するアクセス管理
出典：大塚商会セミナー資料

21

22

9.

ＩＴ業務処理統制で求められる事とは？

• ＩＴ業務処理統制の整備・運用状況を評価するには、統制が適切に業務シ
ステムに組み込まれ、運用されているかについて検討します。
• 具体的には、以下の４つの有効性を判断します。
–入力情報の完全性、正確性、正当性の確保–エラー・データの修正と再処理–マスタ・データの維持管理–システムの利用に関するアクセス管理

入力情報の完全性、
正確性、正当性の確保

エラーの修正と再処理

認証、操作範囲の限定などアクセス管理

マスタ・データの維持管理

ＩＴ業務処理統制の有効性を評価する

23

24

9.1 入力情報の完全性、正確性、正当性等の確保７８６５４３４１（株）△△商事• 伝票のデータをコンピュータに入力する際に、誤ったデータの入力や、デー
タの改ざんを防ぐ仕組みがシステムにあることが求められます。
• 具体的には、以下が求められます。
–データ入力時にチェックディジット（検査数字）により入力データが正しいことを確認する。
–入力されたデータをマスタ・データと照合し、マスタ・データに登録されていることを確認する。
–通常とは異なるパターンの入力(単位、日付）があった場合に再入力を促す。
–入力データが閾値以上（以下）の場合は入力を出来なくする。

25

入力データを検査
数字で正しいか確
認

顧客データ
存在を確認

2009/03/01

１,０００,０００,０００円

入力形式が正し
いか確認

借り入れ金額が上限を超えていな
いか確認26

9.2 エラー・データの修正と再処理• 財務報告に関するシステムにエラーが発生した場合、正しい処理を促す
か、正しい処理を確認するための仕組みがシステムにあることが求められます。
• 具体的には、以下が求められます。
–処理中にエラーとなったデータの一覧表を出力する。出力されたエラー・データ
一覧表は、担当者によって査閲され、必要な処置が行われる。
–処理中にエラーではないが、通常とは異なる取引の一覧表を出力する。出力された異常データは、担当者によりレビューされる。

エラーは担当者に通知必要な処置を行う
異常な取引は通知される担当者によりレビュー27

担当者により査閲28

9.3 マスタ・データの維持管理
最新
正確• 財務報告に関するシステム内で維持されているマスタ・データ（顧客情報や商品情報等）は常に正確であり、最新に保つための仕組みがシステムにあることが求められます。
• 具体的には、以下が求められます。
–マスタ・データを変更する場合は、変更するための手順が定められ、変更の要
求者は責任者に承認を受ける必要がある。
–マスタ・データへの適切なアクセス権限（参照、更新）が定められている。
–マスタ・データは磁気テープなどに定期的にバックアップされている。

マスタ・データ
そのためには

適切なアクセスの権限設定定期的なバックアップ

29

責任者の承認30

9.4 システムの利用に関するアクセス管理• 特定の担当者に特定の業務処理しか行えないように、担当者毎に固有のＩＤ、およびパスワードを付与し、データへのアクセスを制限する仕組
みがシステムにあることが求められます。
• 具体的には、以下が求められます。
–従業員の業務内容に基づいた権限を割り当て、ＩＤやパスワードによって利用できる機能や画面を制限する。
–パスワードに有効期限を設定し、定期的な変更を行わせる。このとき、パスワー
ドの最低限の文字数や、複雑性（アルファベット、数字、記号、大文字、小文字）を設定する。

31

ログインすると役割や業務に合わせたアクセス権の設定

メニュー画面の制限

32

操作ログの分析10. ＩＴ全般統制で求められる事とは？
• ＩＴ業務処理統制を評価するために、Ｉ
Ｔ全般統制の評価が必要となります。
• ＩＴ全般統制の整備・運用状況を評価するには次の４つの有効性を判断します。
–システムの開発、保守に係る管理–システムの運用・管理–システムの安全性の確保–委託先の管理システムの開発、保守に係る管理システムの運用・管理システムの安全性の確保

委託先の管理ＩＴ全般統制の有効性を評価する
33

34

10.1 システムの開発、保守に係る管理(1) 標準的なシステム開発マニュアル• 財務報告書に関するシステムを自社で開発した場合、プログラムエラーを未然に防ぎ、さらに、開発者が不正なプログラムを埋め込めないような統制が求められます。
• 具体的には、以下が求められます。
–システムを開発するための標準化された開発マニュアルが存在する。
–財務報告書に関するシステムは、開発マニュアルにしたがって開発されている。
–開発マニュアルは定期的に見直しが行われて、責任者により承認されている。

開発マニュアル（方針・手続き）作成
開発マニュアルに基づいた
財務報告書システムの開発開発マニュアルの
定期的な見直し
開発マニュアルの責任者による承認

35

36

10.1 システムの開発、保守に係る管理(2) 会社方針に基づく計画的な導入• 故意、または誤謬により、不適切なシステムが導入され、データ処理が行われないような統制活動が求められます。
• 具体的には、以下が求められます。
–ＩＴ利用に関する経営方針・戦略の提示–システム導入の方針や計画の文書化–システム導入の方針や計画の審査と承認–システム調達が適切に実施されているかを管理、監督

ＩＴ利用に関する経営方針・戦略の提示

システム導入計画の審査と承認システム調達の管理・監督

37

システム導入計画書の作成

システム調達38

10.1 システムの開発、保守に係る管理(3) システム構築/変更の確認・報告• 故意、または誤謬により、誤ったシス
テムや機器の導入が行われ、正常なデータ処理が妨げられないような統制活動が求められます。
• 具体的には、以下が求められます。
–システムの変更手続きの存在–手続きの文書化–手続きに基づく変更の審査と承認、記録–変更の実施–手続きに基づく変更結果の審査と承認、
記録

システム追
加
システムの変更手
続き作成
増設・移設

変更申請
ネットワー
ク変更

変更申請の審査と承認、
記録

変更の実施
変更結果の審査と承認、
記録

39

40

10.1 システムの開発、保守に係る管理(4) システム開発・導入時のテスト• 故意、または誤謬により、誤ったプロ
グラムでデータ処理が行われないよ
うな統制活動が求められます。
• 具体的には、以下が求められます。
–開発者以外が作成・文書化したテスト方
針･手続きがある–本番環境で用いられるソフトウェアは開発者以外が管理する–それに基づいたテストが開発者以外の人間によって行われる–テスト結果が開発者やテスト者以外の第三者により評価されること–評価結果・課題等が経営者（責任者）に報告され、承認を得る

41

テスト計画書（方針・手続き）作成

開発者

開発者以外によるマスター管理開発者以外によるテスト

テスト結果の第三者評価

経営者(CIO相当)への報
告と承認

42

10.1 システムの開発、保守に係る管理(5) 適切なシステム保守• 故意、または誤謬により、誤った処理の混入や、データ破壊が生じ、正常なデータ処理が妨げられないような統制活動が求められます。
• 具体的には、以下が求められます。
–システム保守の担当者の決定（特権利
用者の制限）–保守手続き（動作確認手続き、バックアップ等の切り戻し手続きを含む）の文
書化–文書化された手順に従った保守、動作確認の実施–動作確認結果に審査と承認、記録

プログラム
改版
障害修正

システムの保守手
続き作成

修理・交換

切り戻し準
備（バック
アップ等）

手順に従った保守の実
施

手順に従った動作確認の実施
動作確認結果の審査と
承認、記録

43

44

10.2 システムの運用・管理(1) システム運用の標準化• 故意または誤謬による入出力の過不
足・誤り、データ処理の誤り、データの破壊・消失が起きないような統制活動が求められます。
• 具体的には、以下が求められます。
–運用マニュアルの整備–運用マニュアルに基づく運用実施–運用マニュアルに基づく運用実施の記録–システムが追加･変更される場合、運用マニュアルを見直し・変更

運用マニュアルの整備、見直し、変更
データ入力

データ交換

マニュアルに基づく
運用

印刷、配布

バックアップマニュアルに基づく
運用の記録

45

46

10.2 システムの運用・管理(2) システム構成一覧の適切な管理• システム構成の変更時または障害・災害発生時に、迅速かつ適切に対応するためには、システムの正しい構
成を常に管理しておく必要があります。
• 具体的には以下が求められます。
–システム構成の台帳管理に関する手続
きを定めること–システム構成の台帳を作成すること–資産および台帳管理に対する管理責任者を明確にすること–システムの導入・構成変更に伴い、台帳の修正と修正履歴の管理を行うこと承認

台帳管理手続きの作成管理責任者の明確化

システム構成台帳の作成

構成変更による
台帳の修正

47

48

10.2 システムの運用・管理(3) データ・バックアップの適切な管理• 重大障害および災害時の迅速な業務復旧や、内部統制に係る証跡の保全を確実にするために、定期的にバックアップを行う必要があります。
• 具体的には以下が求められます。
–重要システムやデータのバックアップに関する手続きを定める–各システムのバックアップについて、責任者を定める–業務の重要度に応じ、バックアップの範囲（フル/差分/部分バックアップ）やバッ
クアップの頻度を計画する–定められた手続きにより、確実にバック
アップおよび復旧できることを試験する–バックアップデータや作業記録について、定められた手続きに基づいて正しく管理する
49

バックアップに関する
手続きの作成承認

バックアップ範囲・頻度の計画

バックアップ・復旧の試験計画に基づいたバックアップ

データおよび記録の管理50

10.2 システムの運用・管理(4) バックアップ・データの適切な管理• 重大障害および災害時の迅速な業
務復旧を確実にするために、バック
アップデータを適切に管理する必要があります。
• 具体的には以下が求められます。
–バックアップデータの管理に関する手続
きを定めること–バックアップデータの重要度に応じて、下記のような管理策を選択すること• 複数の外部記録媒体を使用した、バック
アップデータの世代管理• 盗難等への対策のため、施錠管理されたロッカー等に外部記録媒体を保管する• 地震・火災等の災害を考慮し、遠隔の複数拠点に外部記録媒体を保管する–外部記録媒体の保管状況を定期的に確
認すること
51

バックアップデータの
管理手続き

媒体の世代管理

施錠ロッカーへの保管

複数遠隔地での保管

媒体保管状況の定期的な確認

52

10.3 システムの安全性の確保
情報セキュリティ基本方針の策定と体制(1) 情報セキュリティ・ポリシー策定と運用• 情報セキュリティ基本方針（ポリシー）を明確にすることが重要です。情報セキュリティ基本方針を作成し対策を立てることと、従業員への徹底が求められます。
• 具体的には、以下が求められます。

情報セキュリティ基本方針を策定し、体制や対策を立てる。

–基本方針の策定–情報セキュリティ担当者の決定–各種対策の遂行方針の明確化–教育の実施–情報資産の適切な管理

情報セキュリティ担当者

会社としての情報資産管理

53

教育の実施

54

10.3 システムの安全性の確保(2) アクセス権の登録･解除の管理• 何のアクセス制限もない環境下では、データの改ざんや不正取引の入力や承認ができてしまいます。IDの管理を統合することが必要になります。
• グループIDの使いまわしを行っていると誰が作業を行ったかわからなくなってしまいます。統合的なID管理の仕組みを構築することが求められます。
• 具体的には、以下が求められます。
–管理担当者を決めて運用–運用管理規程をもとにした実施–変更時の作業の記録と保管–認証システム基盤の確立

55

統合的なＩＤ管理の仕組みが必要管理担当者

作業記録の保存

統合ID管理システムの構築

56

10.3 システムの安全性の確保(3) 利用者のアクセス権の適切な管理職務権限に応じたアクセス
範囲とレベルの設定• 職務権限に応じたアクセス権限やア
クセスレベルを決めることが必要で、手順通りに行い、記録を保管することが必要です。
• 具体的には、以下が求められます。
–適切なアクセス権限や範囲の決定–担当者だけに任せず、手順に基づいた承認手続きの実施–担当者職務変更や離職時のアクセス権の解除–IDの定期的な点検と作業の記録と保管–特権IDの担当者や利用期間の限定

手順に基づく承認手続き

記録と保管
定期的な点検や未使用ID削除

57

58

10.3 システムの安全性の確保(4) 特権IDの適切な管理• システムの保守や導入の際に使う特権IDを使うと、故意または誤謬によるシステムやデータの破壊・消失が発生する場合があり、これが起きないよ
うな統制活動が求められます。
• 具体的には以下が求められます。

特定の人だけがアクセス可能だから履歴を取っておけば安心–特権IDの利用者の限定–特権ID利用時の第三者承認–特権ID利用時の操作ログ記録、または
第三者監視

特権ＩＤ

アクセス履歴5960

10.3 システムの安全性の確保(5) アクセスの記録と保管• システムに、いつ、誰がアクセスしたかを記録し、保管する必要があります。
• これは事故が発生した場合に、速やかな解決を図り、復旧や対策を早めるためのものです。
• 具体的には以下が求められます–アクセスを記録し、保管する手続きが定めてある–記録し、保管されたものが、適正に管理され、いつでも取り出せる–記録、保管する責任者が明確になっている

61

ザ・インターネット

アクセス記録は全て保管されているな

社内ＬＡＮ

アクセス
記録

文書化

62

10.3 システムの安全性の確保(6) サーバルームの入退室記録と保管• 部外者による故意、あるいは誤謬によるデータ破壊・改竄等を防ぐために必要です• 具体的には以下が求められます–サーバルームへの入退室の手続きが定めてある–サーバルームへの入退室の要員が全て登録・管理されている–サーバルームへの入退室の履歴が採取・保管され、適正に管理されている

サーバルーム

施錠

監視

監視カメラ

ＩＣカード

アクセス
履歴

入場ゲート

63

64

10.3 システムの安全性の確保(7) 情報セキュリティ事故の報告手続き

担当役員
支社長

報
害

障害発生時の報告手続き
担当→部長
即時
部長→支社長
２時間以内
支社長→担当役員 ３時間以内
担当役員→社長
５時間以内
・
・

告

–事件・事故発生時の報告方法・体制を、手順化しておく–事件・事故発生時の対処方法を手順化しておく–定期的なシミュレーションテストを行い、手順が守られているかを定期的にチェッ
クする

社長

障

• 情報セキュリティに関する事件や事故が発生した場合に取るべき手順・
手続きや体制を明確にしておくことが必要です。
• 具体的には以下が求められます。

部長

担当

障害発生

発生・処置の記
録も重要だ

65

66

10.4 委託先の管理
御社は「Ｐマーク」
取得されて
いますよネ

(1) 業務委託業者の適切な選定手続き
・内部統制の対象となる業務を外部に委託する場合は、外部業者が自社の内部統制に準じる統制を実施可能であることを確認した上で、透明性のある選定手続きを行う必要があります。
• 具体的には以下が求められます。
–委託先の体制、取得資格（ISMS、Pﾏｰｸ
等）等の必要条件明確化–委託先の体制、取得資格（ISMS、Pﾏｰｸ
等）等に関する選定基準文書の制定–文書化された選定手続きに基づく委託先選定–重要な業務委託先選定に関する経営幹部への報告と承認

67

これで、選定基準
文書は完成だね。

ただいまより、外部委託業者の選定会議を開催します。

経営会議での報告6810.4 委託先の管理(2) 責任分担等、委託契約書の内容

業務内容および責任分担の明確化
この件は君が責任者だ！

・内部統制の対象となる業務を外部に委託する場合は、外部業者と社内部門間の責任分担を明確にし、内部統制に準じる統制を実施可能であることを契約書で確認する必要があります。
• 具体的には以下が求められます。
–委託業務内容および責任分担を明確にすること–委託業務の実施状況を把握し、適宜、確認すること–業務委託契約書に関する承認手続きの
文書化–重要な業務委託契約に関する経営幹部への報告と承認69

委託業務の実施状況を適宜確認する
進捗はいかがですか？

成果物の検収 （委託契約に基づく）

経営会議での報告7010.4 委託先の管理
例の委託業務に関するサービス品質は、これで明確になったネ(3) 委託先との契約内容の確認
・内部統制の対象となる業務を外部に委託する場合は、外部業者に期待するサービス品質を明確にし、契約文書に準じた扱いとする必要があります。
• 具体的には以下が求められます。
–委託業務に関して期待するサービス品
質を明確化–委託業務に関するサービスレベル契約（ＳＬＡ）を外部業者と締結–重要な業務委託契約に関するサービス
レベルは適宜モニタリングし結果は経営
幹部へ報告

71

無事に
ＳＬＡ締結

サービスﾚﾍﾞﾙは適宜モニタリング

結果は・・・
経営会議での報告

72

10.4 委託先の管理(4) サービスレベル設定と管理
・内部統制の対象となる業務を外部に委託する場合は、外部業者に期待するサービスレベルを明確にし、サービスレベルが維持されていることを管理する必要があります。
• 具体的には以下が求められます。

受託業務の実績
結果の報告です。
受託契約内容やＳＬＡもクリアすることができました。

いつもありがとうございます。
外部委託管理につきましては万全です。
今後ともよろしく。

–サービスレベル契約による、委託業務に関するサービスレベルの明確化–サービスレベル契約に基づく、定期的もしくは適宜のサービスレベル確認と内容見直し–重要な業務委託契約に関する委託業務実績結果の評価と経営者への報告
受託企業

73

委託元企業

74

11. システム専門家がいなくても大丈夫• ＩＴ全般統制の整備は、一般的には情報システム部門が主体となり、進められますが、会社の状況により、情報システムの管理を兼務する他の部門が実施する場合もあります。
• ＩＴ全般統制について、会社にリソー
スやスキルが不足している場合は、外部の専門家（委託先）からのアドバ
イスや支援を得ることができます。

会社の状況により、情報システムの管理を兼務する他の部門がＩＴ全般統制を実施する場合もあります。

外部の専門家によるアドバイス・支援の例
・ＩＴ全般統制の文書化（ＲＣＭ作成等）
・規程、手順書、記録フォーマットの整備
・評価実務 等75

76

12. 外部委託で注意すべきこととは• ＩＴ全般統制の整備を外部委託する
場合の主な注意点は以下となります。
–委託先の選定基準や委託目的を明確にする–品質評価とモニタリング手法の標準化を行う• ＩＴ統制の評価を外部委託する場合
は、上記に加え、以下の点を考慮する必要があります。
–委託先は、単にＩＴの知識のみではなく、
情報システムに関係する財務報告に重要な影響を及ぼすリスクの評価に必要な知識を有しているか–委託先の業務は、十分な客観性を有し
ているか

77

外部委託の注意点は・委託先の選定基準や委託目的を明確にすること
・品質評価とモニタリング手法の標準化を行うこと

ＩＴ統制の評価については以下の点を考慮する・委託先は、情報システムに関係する財務報告に重要な影響を及ぼすリスクの評価に必要な知識を有しているか
・委託先の業務は、十分な客観性を有しているか78

13. ＩＴに頼るところと、人手でやるところのバランス• ＩＴ業務処理統制には、以下に示すメ
リット・デメリットがあります。これらを考慮し、ＩＴ、人手、双方のバランスをとる必要があります。
• メリット–「効率的」かつ「正確」な処理が可能–評価に必要なサンプル数の削減やサンプル抽出の対象期間の短縮ができ、運用状況評価の負担を軽減できる

ＩＴに頼るところと人手でやるところのバランスをとることは重要• ﾃﾞメリット–ＩＴを高度に取り入れた情報システムは、稼動後の大幅な手続の修正が困難–プログラムの不正な改ざんや不正な使用等には、プログラムに精通した者しか対応できず、不正の発見が困難

79

80

おわりに

参考情報

金融商品取引法で内部統制報告制度が義務づけられましたが、まだ、その理解が不十分で、様々な誤解（業務フローやリスク統制
マトリックスが必須である、会計システムを再整備しなければならない、等）があるようです。
本書では、金融庁等から公表されている資料をもとに、内部統制報告制度について、正しく理解していただくための解説を試みました。
次ページに金融庁等から公表されている資料一覧を記載しましたので、内部統制報告制度を正しく理解するために、ご一読をお薦めします。

資料名

2008年9月(社)日本コンピュータシステム販売店協会
サポートサービス委員会 内部統制WT

81

作成主体

発表日時

財務報告に係る内部統制の評価 企業会計審議会
及び監査の基準案
内部統制部会2005/12/8

金融商品取引法

2006/6/7

国会

財務報告に係る内部統制の評価 企業会計審議会
及び監査の基準並びに財務報告 内部統制部会に係る内部統制の評価及び監査に関する実施基準の設定について（意見書）

2007/2/15

財務計算に関する書類その他の 金融庁
情報の適正性を確保するための体制に関する内閣府令

2007/8/10

商圏取引法等の一部を改正する 金融庁
法律の施行等に伴う関係ガイドラ
イン

2007/10/1

内部統制報告制度の関するQ&A(1)から(20)2007/10/1

金融庁

監査・保証実務委員会報告第82 日本公認会計士号「財務報告に係る内部統制の 協会
監査に関する実務上の取扱い」

2007/10/24

内部統制報告制度に関する11の 金融庁
誤解

2007/3/11

内部統制報告制度の関するQ&A(21)から(67)2008/6/24

金融庁82

本書は下記の方々のご協力により作成しました。
石渡 清
大河原 七郎
大畑 和彦
加藤 誠
亀田 匡司
佐藤 昭博
田嶋 徹
永田 博司
山内 良治

日本事務器株式会社
ＮＥＣフィールデイング株式会社
株式会社大塚商会
ＮＥＣフィールデイング株式会社
株式会社富士通エフサス
株式会社富士通エフサス
リコーテクノシステムズ株式会社
ＮＥＣフィールデイング株式会社
株式会社大塚商会

古田 正武
山田 勝正

(社)日本コンピュータシステム販売店協会(社)日本コンピュータシステム販売店協会－禁無断転載－内部統制解説書（第２版）－金融商品取引法と実施基準の求めるＩＴ内部統制－
発行 社団法人 日本コンピュータシステム販売店協会
東京都文京区湯島１－９－４ 鴨原ビル２階
電話 03-5802-3198
ホームページ http://www.jcssa.or.jp
平成21年9月（第2版）
発行日 平成 20 年9月 (初版）)

© 社団法人 日本コンピュータシステム販売店協会 200883