The GAIT Series

ＧＡＩＴメソドロジー

ＧＡＩＴ
The Guide to the Assessment of IT Risk
ＩＴリスク評価のためのガイド
財務諸表上のリスク、業務プロセスのキー・コントロール、自動化されたコントロールとその他の重要なＩＴ機能、ＩＴ全般統制のキー・コントロールについてそれぞれの関連を解説する一連の指針

ＧＡＩＴメソドロジー（トップダウン型リスクベース・アプロー
チによるＩＴ全般統制のスコーピング）から発展しシリーズへ

社団法人日本内部監査協会

CIAフォーラム研究会No.12

1

The GAIT Series

ＧＡＩＴメソドロジー■ ＧＡＩＴメソドロジーによるスコーピング
財務諸表および開示について重要な虚偽記載
リスクおよび不正のリスク
重要な勘定科目
業務プロセス
業務統制
アプリケーション
全般統制
重要な虚偽記載または不正のリスクに応じてスコーピング
社団法人日本内部監査協会

CIAフォーラム研究会No.12

2

The GAIT Series

ＧＡＩＴメソドロジー■ ＩＴリスク評価とスコーピング
ステップ１：
理解の検証

重要な勘定科目
業務プロセス
業務統制
アプリケーション

ステップ２：
リスク評価

ＩＴプロセス内の統制
変更管理、オペレーション、セキュリティ・アプリケーション
・データベース・オペレーションシステム
・ネットワーク

ステップ３： このＩＴプロセス内の不備が、業務処理統制と財務諸表の重要な虚偽記載に影響するか？
社団法人日本内部監査協会

CIAフォーラム研究会No.12

3

The GAIT Series

ＧＡＩＴメソドロジー■ ４つの原則
ＩＴ全般統制プロセスにおけるリスク等の識別のアプローチ：
9

トップダウン、リスクベース

識別すべきＩＴ全般統制プロセスのリスクが影響を与えるもの：
9 財務的に重要なアプリケーションに関連する重要なＩＴ機能およびデータ
識別すべきＩＴ全般統制プロセスのリスクが存在する場所：
9 プロセス中の様々なＩＴレイヤー（アプリケーションプログラムのコード、ＤＢ、ＯＳおよびネットワーク）
ＩＴ統制プロセスにおけるリスクの軽減：
9 個別の統制ではなく、ＩＴ統制目標の達成による社団法人日本内部監査協会

CIAフォーラム研究会No.12

4

The GAIT Series

ＧＡＩＴメソドロジー
４つの原則： 原則１（ＩＴ全般統制プロセスにおけるリスク等の識別のアプローチ）

トップダウン、リスクベース
ＩＴ全般統制プロセス（例えば、変更管理、導入・展開、アクセスのセキュリティ、運用等）におけるリスクおよび関連する統制の識別には、業務プロセスにおける重要な勘定科目、これら勘定科目に関するリスクとキー・コントロールを識別するために用いられるトップダウン型リスクベースのアプローチをとる （ＡＳ２/ＡＳ５のアプローチを継承する）＜フェーズ全体に適用＞

社団法人日本内部監査協会

CIAフォーラム研究会No.125

The GAIT Series

ＧＡＩＴメソドロジー
４つの原則： 原則２（識別すべきＩＴ全般統制プロセスのリスクが影響するもの）

財務的に重要なアプリケーションに関連する重要なＩ
Ｔ機能およびデータ識別されるべきIT全般統制のフロセスにおけるリスクは、①財務的に重要なアプリケーションに関連するIT機能および②財務的に重要なアプリケーションに関連するデータ、に影響を与えるものである＜フェーズ２に適用＞

社団法人日本内部監査協会

CIAフォーラム研究会No.126

The GAIT Series

ＧＡＩＴメソドロジー
４つの原則： 原則３（識別すべきＩＴ全般統制プロセスのリスクが存在する場所）
原則1に基づき、リスクベース・アプローチによる評価を行う

プロセス中の様々なＩＴレイヤー（アプリケーションプログラムのコード、データベース、オペレーティングシステ
ムおよびネットワーク）
識別すべきT全般統制プロセスのリスクは、ＩＴ全般統制各種プ
ロセス中の様々なＩＴレイヤー（アプリケーションプログラムのコード、データベース、オペレーティングシステムおよびネットワーク）に存在する＜フェーズ３に適用＞社団法人日本内部監査協会

CIAフォーラム研究会No.127

The GAIT Series

ＧＡＩＴメソドロジー
４つの原則： 原則４（ＩＴ統制プロセスにおけるリスクの軽減）

個別の統制ではなくＩＴ統制目標の達成によるＩＴ全般統制プロセスにおけるリスクは、ＩＴ統制目標を達成することによって軽減されるものであり、個別の統制によって軽減されるものではない＜フェーズ４に適用＞
社団法人日本内部監査協会

CIAフォーラム研究会No.128

The GAIT Series

ＧＡＩＴメソドロジー■ ＧＡＩＴを適用する際の５つのフェーズ
フェーズ１
重要なＩＴ機能を識別する（必要に応じ確認する）

フェーズ２
ＩＴ全般統制をテストすべき（重要な）アプリケーションを識別する

フェーズ３
ＩＴ全般統制プロセスのリスクとそれに関連する統制目標を識別する

フェーズ４
統制目標に合致し、テストすべき、ＩＴ全般統制のキー・コントロールを識別する

フェーズ５
適切な人物によるレビューを実施する
社団法人日本内部監査協会

CIAフォーラム研究会No.129

The GAIT Series

ＧＡＩＴメソドロジー
フェーズ１： 重要なＩＴ機能を識別する（必要に応じ確認する）■ 原則１に基づき、業務プロセスをトップダウンにより評価することにより、手作業によるキー・コントロールまたは自動化されたキー・コントロールを識別する
 ＧＡＩＴは、ＧＡＩＴ評価の基礎である重要なＩＴ機能のリストを確定し、すべての重要なIT機能が識別されていることを保証することにより、トップダウンのプロセスを継続する。
ＡＳ５

誤りや不正を適時に防止または発見できるかどうかテストすべき統制を識別する

フェーズ１

フェーズ２

重要なIT機能を識別／確認する

ＩＴ全般統制をテストすべき（重要な）アプリケーションを識別する

社団法人日本内部監査協会

CIAフォーラム研究会No.12

10

The GAIT Series

ＧＡＩＴメソドロジー
フェーズ２： ＩＴ全般統制をテストすべき（重要な）アプリケーションを識別する■ 重要なＩＴ機能の確認後、ＩＴ全般統制をテストすべき、財務的に重要なアプリケーションを確認する■ 財務的に重要なアプリケーションとは、原則２に基づき、重要なＩＴ機能またはデータを含むためにＩＴ全般統制プロセスのリスクが存在する可能性のあるアプリケーシ
ョンである
フェーズ１

重要なIT機能を識別／確認する

フェーズ２

IT全般統制をテストすべき（重要な）アプリケーションを識別する

フェーズ３

ＩＴ全般統制プロセスのリスクおよび関連する統制目標を識別する

社団法人日本内部監査協会

CIAフォーラム研究会No.12

11

The GAIT Series

ＧＡＩＴメソドロジー
フェーズ３： ＩＴ全般統制プロセスのリスクおよび関連する統制目標を識別する■ 原則１に基づき、リスクベース・アプローチによる評価を行うため、重要なアプリケーションのそれぞれについてさらに情報を入手する■ 重要なアプリケーションのそれぞれについて、原則３に基づき、各レイヤーの各ＩＴ全般統制プロセスについてリスクを評価する
フェーズ２

IT全般統制をテストすべき（重要な）アプリケーションを識別する

フェーズ３

ＩＴ全般統制プロセスのリスクおよび関連する統制目標を識別する

フェーズ４

社団法人日本内部監査協会

CIAフォーラム研究会No.12

統制目標に見合い、テストすべきIT全般統制を識別する

12

The GAIT Series

ＧＡＩＴメソドロジー
フェーズ４： 統制目標に見合い、テストすべき、ＩＴ全般統制のキー・コントロールを識別する■ フェーズ３ ＩＴ全般統制のリスクおよび関連するＩＴ統制目標の識別後、原則４に基づき、ＩＴ統制目標に対応するＩＴ全般統制プロセスのキー・コントロールを具体的に決定する
フェーズ３ＩＴ全般統制プロセスのリスクおよび関連する統制目標を識別する

フェーズ４

統制目標に見合い、テストすべきIT全般統制を識別する

フェーズ５『適切な人物』によるレビューを実施する

社団法人日本内部監査協会

CIAフォーラム研究会No.12

13

The GAIT Series

ＧＡＩＴメソドロジー
フェーズ５： 適切な人物によるレビューを実施する
 レビューに当っては、① 独立した適切な人物の眼において、リスクおよびキー・コントロールが、財務諸表に対するリスクについて合理的な見方を示していることを確認する② ４０４条スコーピング（評価範囲の決定）におけるリスク許容度を前提として、リスクの選択が合理的であることを保証する
フェーズ４

フェーズ５

社団法人日本内部監査協会

CIAフォーラム研究会No.12

統制目標に見合い、テストすべきIT全般統制を識別する『適切な人物』によるレビューを実施する

14