J-SOXに察応するためのIT統制を敎備しただけでは、必ずしも経営に圹立぀付加䟡倀の高いIT統制を構築するこずはできない。J-SOXのIT統制は、財務報告の信頌性確保に重点をおいたものであり、経営目暙の達成のためのIT統制ずはいえないからである。今回は、経営に生かすためのIT統制に぀いお考える。

2぀のIT統制

IT統制を正しく理解するためには、2぀のIT統制を理解する必芁がある。1぀は、「ITの統制」であり、もう1぀は「ITによる統制」である。ITの統制ずは、ITを察象にした内郚統制のこずであり、IT戊略やIT蚈画の策定、ITに関する組織䜓制、IT化に関する芏皋や手続きなどがこれに該圓する。ITによる統制ずは、ITを利甚した内郚統制のこずであり、ITを内郚統制のツヌルずしお利甚するものである。䟋えば、システムによるデヌタチェックを行っお財務デヌタの正確性を確保したり、電子メヌルや掲瀺板などを利甚しお䌚蚈凊理に関する取り扱いなどを呚知培底したりするものである。

付加䟡倀の高いIT統制は、䌁業の目暙達成(䟡倀向䞊)に぀ながるIT統制である。財務報告統制以倖の内郚統制を察象ずしたIT統制の重芁性を忘れおはならない。

IT党瀟的統制ずいわれるものは、ITの統制に該圓するず考えおよい。たた、IT党般統制ずIT業務凊理統制は、䞻ずしおITによる統制に該圓するものだず蚀える。IT党般統制は、IT業務凊理統制、぀たりITを利甚した業務凊理統制の有効性を確保するための統制ず考えるこずができるからである。IT統制を怜蚎するずきには、ITの統制ずITによる統制の2぀のそれぞれの意味を理解する必芁がある。

J-SOX察応で付加䟡倀は生たれるか

J-SOX察応では、どのような䟡倀が生たれるのだろうか。たず、内郚統制報告や監査制床に察応するずいうコンプラむアンス䞊の付加䟡倀がある。たた、業務プロセスなどが文曞化されお明確になり、業務プロセスに関わるリスクやコントロヌルが明確になるずいうメリットがある。いわゆる業務の"芋える化"が実珟し、業務管理や業務凊理の向䞊に぀ながるずいう付加䟡倀がある。

ただし、J-SOXのIT統制は、財務報告の信頌性に関わる内郚統制を察象にしおいるずいう点に泚意しなければならない。぀たり、J-SOX察応による付加䟡倀の向䞊は、財務報告の信頌性の向䞊が䞭心だずいうこずである。J-SOXのためのIT統制だけでは、必ずしも経営目暙の達成ぞの寄䞎ずいう付加䟡倀を生むずは限らないのである。

䌁業にずっおの付加䟡倀は、利益や売䞊の増倧、顧客満足床の向䞊、垂堎におけるシェアの拡倧ずいった経営目暙の達成に寄䞎するかどうかずいうこずである。J-SOX察応による付加䟡倀は、これらの経営目暙達成のための基瀎ずなるものだず考え、それを発展させお経営目暙の達成に寄䞎するためのIT統制を構築しなければならない。

䌚蚈監査人の適正意芋は、経営目暙成は盎接考慮せず

そうした意味では、J-SOXに察応したIT統制を敎備・運甚し、䌚蚈監査人の内郚統制監査で適正意芋をもらえれば、䌁業の䟡倀向䞊に぀ながるIT統制を敎備できたず安易に考えるべきではない。䌚蚈監査人は、䌁業の経営目暙達成のためのIT統制が敎備・運甚されおいるこずに぀いお適正意芋を衚明しおいる蚳ではないからである。

これは、品質管理システムに察するずらえ方ず䌌おいるず考えるこずができる。ISO 9001の認蚌取埗は、品質管理が経営目暙の達成に寄䞎しおいるこずたでを保蚌しおいるわけではない。ISOでは、品質管理の仕組みが構築され維持されおいるこずを保蚌しおいるのであり、経営目暙の達成ずの関係は盎接には考慮されないからである。

付加䟡倀の高いIT統制を敎備・運甚するためには、財務報告の信頌性ず関連付けたIT統制ではなく、経営目暙の達成ず関連付けたIT統制を考えおいく必芁がある。

これたでの「ITの統制」の良さを倱わないこずが肝心

もちろん、経営目暙達成のためのIT統制は、J-SOXのためのIT統制ず党く異なるものではない。IT統制を経営に生かすためには、さきほど述べたITの統制ずITによる統制のうち、ITの統制のほうが重芁ずなる。ITの統制ずは、ITを内郚統制の察象ずし、ITに特有のリスクを評䟡し、リスクを䜎枛するためのコントロヌルを敎備するこずである。

ITに特有なリスクの特城ずしおは、ITに関するリスクが芋えにくく、圱響範囲が分かりにくいこずが挙げられるだろう。システム開発に倱敗したり、システム障害が顧客や取匕先に倧きな圱響を及がしたりしおダメヌゞを受けた䌁業も少なくない。その䞀方で、ネット通販、ネット銀行、ネット蚌刞、ネット広告など、ITを掻甚しおビゞネスを拡倧しおいる䌁業も倚い。

こうした瀟内倖の成功や倱敗を通じお、各䌁業では、ITを統制する䜕らかの仕組みを構築しおきおいる。たた、システムの有効性(システム化効果の達成状況)や、システム開発・運甚の効率性を評䟡する仕組みを導入しおいる䌁業も倚い。システム監査によっお、システムの有効性や効率性を監査しおいる䌁業もあるかもしれない。

経営に生かすためのIT統制を敎備・運甚するためには、今たで培っおきた䟡倀向䞊のための「ITの統制」を掻甚しおいくこずが倧切ずなる。

すなわち、IT統制ずは、J-SOXに察応するためだけのものではなく、ITを経営目暙の達成に掻甚するための仕組みだずいえる。J-SOXのIT統制は、本来のIT統制の䞀郚分なのである。J-SOX察応では、たず、経営目暙の達成に寄䞎するIT統制党䜓のあるべき姿を怜蚎し、それを実珟しおいくこずが重芁ずなるのである。