金取法の「IT統制ガイダンス」策定

企業の準備体制が本格化へ

　経済産業省はこのほど、昨年6月に成立した「金融商品取引法（金取法）」と「実施基準（公開草案）案」に基づき、企業がIT統制を構築する際に何をすべきか具体例を示した「財務報告書に係るIT統制ガイダンス（案）」を策定した。企業システムを管理するうえでの実行項目や全体最適化の計画作成・運用項目などを規定した経産省の「システム管理基準」をベースに、財務報告に関連するIT統制の構築や評価で求められる「ITへの対応」を明示。4月には、金融庁の実施基準案と同ガイダンスなどがパブリックコメントを経て正式版が出てくる。監査人側の監査基準が揃うことで、IT統制に向けた企業や関連SIerなどの動きが本格化する。（谷畑良胤●取材／文）

■管理基準と実施基準案のギャップを埋める

　IT統制ガイダンスは、2004年10月に改定された「システム管理基準」の「追補版」として策定。国内企業の約75％がシステム監査の際に参照するシステム管理基準は、財務報告に関連するIT統制の構築・評価を細部まで規定していない。だが、同基準を利用して構築したシステムを活用し、財務報告に関連する「ITへの対応」を推進するニーズが高いと判断し、同基準と実施基準案の関係を整理して、具体的な対応を例示した。

　経産省の村野正泰・情報セキュリティ政策室課長補佐は、IT統制ガイドラインを策定した理由について「金取法の対象企業は、システム管理基準と実施基準案にギャップがあるようだと悩んでいた。このギャップを埋めるのが役目」と説明する。

　システム管理基準では、企業システムを「開発」と「保守」に分類している。このうち「開発」はシステムの機能（ソフトウェア）の開発を指し、「保守」が機能の維持・更新を示している。一方、「実施基準案」では「保守」を「開発」に含め分類している。このため、IT統制ガイダンスでは、両者を合わせて取り扱った。

　企業がIT統制を構築する際に参照する代表的なフレームワークとしては、この「システム管理基準」のほか、米国のITガバナンスフレームワーク「COBIT」やこれをベースに米政府がSOX法対応で策定した「IT Control Objectives for SOX」、英国政府が採用する「ITIL」がある。「COBIT」や「ITIL」は国内企業ですでに広く活用されているため、同ガイダンスはこれらも参考にしている。

　欧米のフレームワークは、IT統制のうち「IT全般統制」にだけ言及しているため、財務情報の適正性を確保する観点からIT統制を構築する具体策が明確でない。このため、経産省は、こうしたフレームワークを国内企業に適用できるように改善。同ガイダンスでは、国内企業で広範に利用されているモノを利用し、IT統制に含まれる各アプリケーションのデータ網羅性や正確性などを確保する「IT業務処理統制」と、これを有効に機能させる環境を保証する活動「IT全般統制」の構築方法を示した。村野・課長補佐は「国内企業で海外に株式公開する企業が多数ある。COBITの利用に慣れれば、海外のSOX法などにも迅速に対応できる」という。

■実施基準案を補い、実務的な運用示す

　IT統制ガイダンスは、IT統制の「概要」と経営者の評価法を示す「理論編」、事例を基に実際の導入法を解説する「導入編」、業務上想定されるリスクと統制活動（コントロール）の関係を明確にするために作成する文書「リスクコントロールマトリックス（RCM）」の例などを示す付録で構成されている。

　例えば、実施基準案では「ITの企画・開発・運用・保守のITライフサイクルのリスク低減」を求めている。これに対し、同ガイダンスは、システム管理基準を利用している企業の場合、財務情報にかかわるIT統制を、これまで利用してきた「システム管理基準との関係を明らかにして、IT統制を評価すればよい」と、柔軟な対応を提示。また、実施基準案では「IT統制の評価では、早期に監査人との協議が望ましい」とあるが、評価対象となるITの範囲を決める場合、「子会社などのIT統制が不備な場合には、監査人から不備を指摘される可能性がある」と、初期段階で監査人と協議することを提言している。

　経産省の片倉正美・情報政策課課長補佐は「これまでIT統制の構築に戸惑っていた企業は、同ガイダンスにある豊富な例を参考に自社の内部統制を整備できる。経営者は、内部統制を整備・運用する役割を担っている。適正にこれらを評価する体制が整うことで、日本企業の世界的な競争力もアップする」と、IT統制の構築に手を焼き、米国の複数の上場企業が非公開企業へ転じたような事態に日本企業が陥らないよう対策を講じたとしている。

　同ガイダンスはパブリックコメントを経て、1か月後に正式版が出てくる。これと同時期に正式版になる実施基準と項目を再度すり合わせ、金取法に基づくIT統制に向けた実施項目を明確にする。さらに、経産省は、情報システムの信頼性向上のための取引慣行・契約に関する「情報システム・モデル取引・契約書」を策定中で、IT統制などの構築を請け負う側のSIerと企業が結ぶ契約書の推奨モデルが明確になる。これに加え、監査する側の日本公認会計士協会などが実施基準を基にした対応が示されれば、いよいよIT統制に向けたシステム改善が本格化しそうだ。

　金取法の対象企業は、決算期が3月であれば、08年4月1日の事業年度から対応することになる。IT業界関係者などからは、「大企業はともかく、新興企業などは時間的余裕がない」と、完全実施を不安視する声が漏れていた。しかし、国内企業の約75％が利用している「システム管理基準」を参考にした追補版が出たことで、こうした不安をかなり解消でき、実質的な準備を期間内に履行できることが期待される。社内のIT統制構築の初期段階でつまずく企業が減れば、ハード、ソフトなどのメーカーやベンダーは、早い段階でIT統制対応製品の拡販がしやすくなると予想される。