第4章 · ITガバナンスと内部統制·v1.0.0·更新 2026/7/11·読了目安 約16分
変更要約: 初版
4.4IT統制（IT全般統制とIT業務処理統制）
この節の要点
ITを支える基盤の統制IT全般統制（ITGC）（アクセス管理・プログラム変更管理・開発/導入・運用管理）と、個々の業務処理の正確性・網羅性・正当性を守るIT業務処理統制（入力/処理/出力の統制）の違い、そして★ITGCが有効でないとIT業務処理統制も信頼できないという依存関係を学び、統制不備の波及を診断する判断力を養います。
ITシステムの統制は、大きく2つの層に分けて評価します。1つは、システムが動く基盤そのものを守るIT全般統制（ITGC）——誰がシステムを変更・アクセスできるか、変更が正しく管理されているか、運用が安定しているか。もう1つは、その基盤の上で動く個々の業務処理の正しさを守るIT業務処理統制——入力データが正確か、処理が網羅的か、出力が正当か。監査人にとって決定的に重要なのは、この2層には依存関係があり、ITGCが有効でないとIT業務処理統制もそのままでは信頼できないという点です。この節では、両者の役割の違いと依存関係を踏まえ、統制不備がどう波及するかを診断する視点を養います。
4.4.1IT全般統制（ITGC）
- IT全般統制（ITGC：IT General Controls）＝個々の業務処理統制が有効に機能するための前提となる基盤統制。代表的な領域は(1)アクセス管理（誰が何にアクセス・操作できるかの権限管理・認証）、(2)プログラム変更管理（本番プログラムの変更が承認・テスト・移行の手続を経ること）、(3)システムの開発・導入（要件・テスト・移行の統制）、(4)運用管理（ジョブ実行・バックアップ・障害対応・構成管理）の4つ。
- ITGCの各領域には職務分掌が深く関わる。例えば開発者が本番環境へ直接プログラムをリリースできる体制は、テストされていない変更や不正な変更が混入する予防統制の欠如であり、ITGCの弱点となる。監査人は「開発と本番移行の権限が分離されているか」「変更に承認記録があるか」などを整備・運用の両面から評価する。