(ア)

米国では”米国上場会社会計監視審議会”という審議会が、取引がどのように開始、承認、記録、処理、報告されるのかを含む取引の流れを、監査人が理解する為のフレームワークとしてトレッドウェイ委員会組織委員会（ＣＯＳＯ）を使用しています。しかしこの中では、ＩＴの事はあまり書かれてはいません。信頼する財務諸表を出力するのには十分に統制された信頼すべきＩＴが必要に成ってきます。そこでＩＴガバナンス協会の”IT Control Oｂecｔives for SOX”（ＣＯＢＩＴ）を使用しています。

３． COBITとは

(ア)

取引がどのように開始、承認、記録、処理、報告されるのかを含む取引の流れをつかむ為に、ＩＴ統治の枠組みと詳細なコントロール目標のガイドを提供することを目標としています。

(イ)

評価基準としてレベル０からレベル５までの評価段階があり、評価項目は”計画と組織”、”調達と導入”、”サービス提供とサポート”、”モニタリング”であり、これらがＩＴ資源（人、アプリケーション、テクノロジィ、設備、データ）に与える影響を情報要請基準（有効性、効率性、機密性、万全性、可用性、準拠性、信頼性）に当てはめ評価する事になります。

(ウ)レベル

0：存在しない

1：初歩的

2：反復可能

3：定義されている　（機械化必須）（最低通過ライン）

4：管理されている　（通常の通過ライン）

5：最適化されている

ＳＯＸ法を通過するには最低レベル３に達しないといけないが、世界の金融機関のレベルでさえ３に到達していない。つまり、日本のほとんどの大企業でさえ合格できるラインに到達していない事が想像できます。

４． ＩＴ統制

(ア)データベース管理

正確な財務諸表を出力する為のＩＴ監査となりますので通常の会社はデータベース上に財務システムが構築されている事でしょう。この為、データベースの管理が重要に成ってきます。

(イ)データの変更管理

一般に販売されている会計ソフトは後になって財務データをいじる事ができるものが多いです。この様なソフトではやはり財務諸表を市場に対し保証は出来ません。財務データをいじる時は必ず赤黒伝票入力が必要です。又、エンジニアがデータを直接操作出来ない様にする仕組みも必要となります。この為にデータのセキュリティが必要となってきます。

(ウ)セキュリティ

ＩＴ統制を行うにはデータベースのＩＴセキュリティが重要です。もし、不正に改ざんされた財務データを使い財務諸表を出力したら市場に対する保証が出来なくなるからです。

５． ＩＴ監査項目

(ア)

具体的な監査項目の一部を記載いたしますのでご参照下さい。

1. データのアクセスは承認された従業員以外制限されているか？
2. 適切な認証が必要とされているか？
3. データの万全性にかかわる責任が適切なデータ責任者に伝達されているか？
4. データの責任者はその責任を受け入れているか？
5. システムに格納されているデータが危険にさらされていないか？
6. セキュリティに対するモニタリング、記録を行っているか？
7. システムとデータへのアクセス権の申請と承認に関し、適切な職務分離を確実にする統制が存在するか？
8. データの閲覧、更新、追加、削除を行うにあたり、アクセスを提供するためにアプリケーションソフトウェアとデータ格納システムが適切に設定されているか？
9. 機密性の高いバックアップデータを取り扱う基準があるか？
10. ユーザが開発したシステムへの不正アクセスを防ぐために用いるセキュリティはあるか？
11. 処理の万全性についてエンドユーザー・プログラムを見直す頻度と手法は？

等々上記のような監査項目が百以上あります。

６． 総論

ＩＴ統制を行うにはデータのセキュリティを万全にし、不正な改ざん（含む、データオーナー以外の修正）を排除し事実を全て残す事が重要です。つまり、データのオーナーはエンドユーザーです。システム開発、システム運用の方々は実際のデータを触らない、触れない様にし、もしデータに不備が発生しても赤伝を発行するような方法で記録を残し、正しいデータにする事が一番望ましい方法となります。　又、データベースに対するセキュリティは、外部のパッケージソフトが望ましいでしょう。なぜならＩＴ監査項目の10など非常に通りしやすくなるからです。