IPO準備や上場企業の内部統制対応の場面で、監査法人やチェックリストに出てくる「IT全般統制（ITGC）」という言葉に戸惑うことは少なくありません。何を指すのか、自社が具体的に何を用意すればよいのかがつかめないまま、対応を任されるケースが多いためです。
本記事では、IT全般統制とは何かを結論から示したうえで、統制の対象となる4つの領域、IT業務処理統制（ITAC）との違い、内部統制報告制度（J-SOX）やIPO準備の中での位置づけ、整備・評価の進め方までを順に整理します。定義や領域の区分は金融庁の実施基準・経済産業省のガイダンスに基づくため、監査法人への説明材料としても使えます。
記事の後半では、4領域の棚卸しや整備・評価、アクセス管理・委託先管理を効率化するサービスも紹介します。自社の現状を4領域に当てはめて確認するための出発点としてご活用ください。
目次
一括ダウンロードする
IT全般統制（ITGC）とは？
IT全般統制（ITGC：IT General Controls）とは、業務処理統制が有効に機能する環境を保証するための統制活動を指します。個別の業務ごとの統制ではなく、複数の業務処理に共通して関わる方針と手続きで、システムを支えるIT基盤（ハードウェア・ソフトウェア・ネットワークなど）を単位として構築されます。
目的は、財務報告の信頼性を支えるIT環境を担保することにあります。会計や受発注のシステムが正しく動く前提として、そのシステムの開発・運用・アクセス・外部委託が適切に管理されている状態をつくるのがIT全般統制です。定義は、金融庁の企業会計審議会が定める実施基準に次のように示されています。
ＩＴに係る全般統制とは、業務処理統制が有効に機能する環境を保証するための統制活動を意味しており、通常、複数の業務処理統制に関係する方針と手続をいう。（中略）ＩＴに係る全般統制は、通常、業務を管理するシステムを支援するＩＴ基盤（ハードウェア、ソフトウェア、ネットワーク等）を単位として構築することになる。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅰ.2(6)②〔ITの統制〕ロa｜金融庁 企業会計審議会（令和5年4月7日改訂）
IT全般統制の対象となる4つの領域
IT全般統制で何を統制するのかは、実施基準や経済産業省のガイダンスで4つの領域が具体例として挙げられています。ただし、いずれの文書も4領域を「具体例」「例えば」として挙げており、4区分に閉じた限定列挙ではない点には注意が必要です。まず全体像を、次の表で確認してください。
| 対象領域 | ①システムの開発・保守に係る管理 | ②システムの運用・管理 | ③内外からのアクセス管理などシステムの安全性の確保 | ④外部委託に関する契約の管理 |
|---|---|---|---|---|
| 何を統制するか | 新規開発・改修・パッケージ導入で、承認されていない変更が本番システムに反映されないよう管理する | 適切なデータを適切なプログラムで処理し、信頼できる処理結果を得るための運用（ジョブ管理・バックアップ・障害対応）を管理する | データ・プログラム・設備の不正使用や改ざん・破壊を防ぐアクセス権の付与・管理と、災害等でデータが滅失しない対策を管理する | 開発・運用などを外部委託している場合に、委託先の統制状況を管理する |
| よくある失敗例 | 変更の申請・承認・テストの記録が残っていない／開発者が本番環境を直接変更できる | バックアップの復元テストをしていない／ジョブの異常終了が放置される | 退職者のアカウントが残る／特権IDが共有され、アクセス権の棚卸しがされていない | 委託先の統制状況を確認していない／SOC報告書を受領・確認していない |
※上記は実施基準・経済産業省ガイダンスが具体例として挙げる領域と統制内容を整理したものです。
経済産業省のガイダンスは、この4領域を実施基準の該当箇所と対応づけたうえで、経営者が各領域で何を評価するのかを示しています。
IT全般統制とは、財務情報の信頼性に直接関連する業務処理統制を有効に機能させる環境を実現するための統制活動であり、例えば、①システムの開発、保守に係る管理、②システムの運用・管理、③内外からのアクセス管理などのシステムの安全性の確保、④外部委託に関する契約の管理がある。
出典：システム管理基準 追補版（財務報告に係るIT統制ガイダンス）第Ⅱ章｜経済産業省（令和6年12月25日改訂）
①システムの開発・保守に係る管理
システムの新規開発やパッケージソフトウェアの導入、既存システムの改修について、承認されていない変更が本番環境に反映されないように管理する領域です。経営者は、開発・改修・導入の各工程で申請と承認、テスト、リリースの手続きが整備・運用されているかを評価します。承認されていない変更が財務データを扱うプログラムに紛れ込むと処理結果の信頼性が揺らぐため、変更が管理されている証跡が監査で確認されます。
②システムの運用・管理
日々のシステム運用で、適切なデータを適切なプログラムで処理し、信頼できる処理結果を得るための統制です。ジョブの実行管理、バックアップの取得と復元、障害発生時の対応手順などが対象になります。処理が止まったりデータが失われたりすると財務報告に直接影響するため、障害対応やバックアップが適切に運用されている記録が問われます。
③内外からのアクセス管理などシステムの安全性の確保
データ・ソフトウェア・ハードウェアなどの不正使用や改ざん、破壊を防ぐためのアクセス管理と、災害などで財務情報が失われないための対策を管理します。誰にどの権限を与えるかの付与ルール、権限の定期的な棚卸し、特権IDの管理などが中心です。権限管理が緩いと財務データの不正な変更・参照を許すため、誰がどの権限を持つかを定期的に見直し記録している点が監査で重視されます。
④外部委託に関する契約の管理
システムの開発業務や運用業務を外部に委託している場合に、委託先の統制状況を管理する領域です。委託先が適切に統制を整備・運用しているかを、契約や報告、監査などを通じて確認することになります。委託先の統制の不備は自社の財務報告の信頼性に波及するため、委託先の統制状況を客観的に確認した記録（SOC報告書の点検など）が求められます。SaaSやクラウドの利用が増えるほど、この領域の重要性は高まります。
IT全般統制とIT業務処理統制（ITAC）の違い
IT全般統制と混同されやすいのが、IT業務処理統制（ITAC：IT Application Controls）です。両者はどちらもITに関する統制ですが、統制する対象が異なります。IT全般統制が業務処理統制の働く「環境」を保証するのに対し、IT業務処理統制は個別の業務プロセスに組み込まれた統制を指します。違いを次の表に整理します。
| 観点 | 統制する対象 | 具体例 | 位置づけ |
|---|---|---|---|
| IT全般統制（ITGC） | 業務処理統制が有効に働く「環境」。IT基盤（ハード・ソフト・ネットワーク）を単位とする | 開発・保守の管理、運用・管理、アクセス管理、外部委託の管理 | 業務処理統制が継続的に正しく機能するための土台 |
| IT業務処理統制（ITAC） | 個別の業務プロセスに組み込まれた統制 | 入力データの正確性チェック、エラーの修正・再処理、マスタデータの維持管理、認証・操作範囲の限定 | 日々の取引を正確に処理・記録する仕組み |
※実施基準 Ⅰ.2(6)②〔ITの統制〕ロa・ロb の記載を基に整理。
実施基準では、両者が一体となって機能することの重要性と、IT業務処理統制の定義が次のように示されています。
ＩＴに対する統制活動は、全般統制と業務処理統制の二つからなり、完全かつ正確な情報の処理を確保するためには、両者が一体となって機能することが重要となる。（中略）ＩＴに係る業務処理統制とは、業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保するために業務プロセスに組み込まれたＩＴに係る内部統制である。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅰ.2(6)②〔ITの統制〕ロb｜金融庁 企業会計審議会（令和5年4月7日改訂）
つまりIT全般統制は、IT業務処理統制が日々正しく働き続けるための足場です。足場が崩れていれば、個別の業務プロセスの統制がいくら整っていても、その有効性を保ち続けられなくなります。
内部統制報告制度（J-SOX）・IPOの中での位置づけ
IT全般統制が求められる背景には、内部統制報告制度（J-SOX）があります。金融商品取引法は、上場会社などに対し、財務報告に係る内部統制を経営者が評価した内部統制報告書の提出を義務づけています（金融商品取引法第24条の4の4）。この制度は、上場会社を対象に平成20（2008）年4月1日以後に開始する事業年度から適用されてきました。
評価・監査の基準と実施基準は、その後の実務を踏まえて改訂されています。直近では、企業会計審議会が令和5（2023）年4月7日に改訂の意見書を公表しました。
金融商品取引法により、上場会社を対象に財務報告に係る内部統制の経営者による評価と公認会計士等による監査（以下「内部統制報告制度」という。）が平成20（2008）年４月１日以後開始する事業年度に適用されて以来、15 年余りが経過した。
出典：財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）｜金融庁 企業会計審議会（令和5年4月7日）
誰が・なぜ求めるのか（IT統制の三層）
財務報告に係るIT統制は、IT全社的統制・IT全般統制・IT業務処理統制の三層で捉えられます。IT全社的統制が組織全体の方針や体制を示し、その下でIT全般統制がシステム基盤の環境を保証し、さらにIT業務処理統制が個別の業務処理を支える構造です。経済産業省のガイダンスは、この区分を次のように示しています。
ITへの対応は、IT環境への対応、ITの利用、IT統制から構成される。さらに、IT統制は、IT全社的統制、IT全般統制、IT業務処理統制に区分される。
出典：システム管理基準 追補版（財務報告に係るIT統制ガイダンス）第Ⅱ章｜経済産業省（令和6年12月25日改訂）
そのため、IT全般統制を評価・報告するのは、最終的には内部統制報告書を提出する経営者です。実務では、情報システム部門や内部監査・経営企画の担当者が整備・評価を担い、監査法人による監査を受けます。
IPO準備での位置づけ
IPO（新規上場）を準備する企業にとって、IT全般統制の整備は上場後に内部統制報告制度へ対応するための準備の一部です。上場実務では、直前々期・直前期といった段階を追って内部統制を整えていくのが一般的で、IT全般統制もこの過程で構築・運用・評価を進めます。上場申請の直前に一度に整えるのではなく、日常業務として運用しながら記録を積み上げていく点が、IPO準備における実務上のポイントです。
上場までの各期（申請期の期首を基準に、直前々期をN-2期、直前期をN-1期と呼ぶことが多い）に当てはめると、大まかには次のような流れになります。上場する事業年度（申請期）から内部統制報告制度が適用されるため、それまでに運用実績を積んでおくのが狙いです。
- 直前々期（N-2期）：評価範囲やIT基盤を洗い出し、4領域の統制を整備して運用を開始する
- 直前期（N-1期）：整備した統制を通期で運用し、証跡を積み上げながら評価を回して、監査法人のレビューを受ける
- 上場後（申請期以降）：内部統制報告制度に基づき、経営者による評価と内部統制報告書の提出を毎期行う（内部統制監査＝監査法人による監査証明は、新規上場後3年間は原則として免除され、その後に受けることになる）
整備・評価の進め方｜各領域で何を用意・記録・評価するか
ここからは、IT全般統制を実際に整備・評価する際の進め方を、範囲の決定から運用までの順で整理します。全体像として4領域を押さえたうえで、各領域で「何を記録し、どの頻度で確認するか」を具体化していく流れです。
進め方の入口（評価範囲の決定・IT基盤の把握・評価単位）
最初に決めるのは、どこまでを評価対象にするかです。財務報告に重要な影響を及ぼすシステムを絞り込み、それらを支えるIT基盤（サーバー・ネットワーク・データベース・パッケージなど）を把握します。そのうえで、どの単位で評価するか（システムごと、基盤ごとなど）を決めるのが出発点になります。
経済産業省のガイダンスは、経営者評価のロードマップとして評価範囲の決定と対象となるITの把握を示しており、リスク・コントロール・マトリクス（RCM）やIT基盤質問書といった様式も付録で例示しています。評価対象を広げすぎると負担が過大になり、狭すぎると重要なシステムを取りこぼすため、範囲の決定が実務の出発点になります。
評価範囲や評価単位の考え方は、後の監査で認識がずれると手戻りにつながります。そのため実務では、どのシステム・IT基盤を評価対象とし、どの単位で評価するかを、早い段階で監査法人と擦り合わせておくのが安全です。事前に共通認識を持っておくと、期末に対象の追加や見直しを求められるリスクを抑えられます。
各領域で用意・記録する成果物と証跡
範囲を決めたら、統制の内容とリスクの対応関係を「リスク・コントロール・マトリクス（RCM）」に整理していきます。経済産業省のガイダンスも、付録でIT全般統制向けのRCMや、対象システムの前提を洗い出す「IT基盤質問書」の例を示しています。
RCMは、業務プロセスの統制で作成する3点セット（業務記述書・業務フロー図・RCM）でも使われる様式です。IT基盤についても同じ考え方で、「どのリスクを、どの統制で、どう防ぐか」を一覧にして整理します。
そのうえで、各領域で統制が働いた証跡を残します。開発・保守では、変更の申請・承認・テストの記録に加え、緊急変更を事後承認する場合の扱いや、開発担当者と本番反映の担当者の権限を分けていることを示せるようにします。運用・管理では、ジョブやバックアップの実行記録に加え、復元テストの実施日と結果を残します。
アクセス管理では、権限一覧に加え、半期ごとなど定期的な棚卸しの記録と、人事情報（入退社・異動）との突合結果、特権IDの利用ログを用意します。外部委託では、委託先から受け取るSOC報告書（受託業務に係る内部統制の保証報告書）のうち、財務報告に関わる内部統制を対象とするSOC1報告書を中心に、対象範囲・期間・例外事項を確認した記録を残します。
各領域で用意・記録がそろっているかを自己点検するための観点を、次に整理します。先ほどの証跡の説明を、点検リストの形に言い換えたものです。
- ①開発・保守：変更の申請・承認・テストの記録が残っているか／緊急変更を事後承認する手続きがあるか／開発担当者と本番反映の担当者の権限が分かれているか
- ②運用・管理：ジョブとバックアップの実行記録があるか／バックアップの復元テストの実施日と結果を残しているか／障害発生時の対応記録があるか
- ③アクセス管理：権限一覧を整備しているか／定期的な権限棚卸しの記録があるか／人事情報（入退社・異動）と権限を突合しているか／特権IDの利用ログを取得しているか
- ④外部委託：委託先のSOC報告書（財務報告に関わるSOC1が中心）を受領しているか／対象範囲・期間・例外事項を確認した記録があるか／再委託先まで確認できているか
これらの証跡は、統制を「実施した事実」だけでなく「実施した記録」として、評価時に監査法人が確認できる形で保存しておくことが求められます。
運用・評価で守ること（ルール遵守・定期評価・モニタリング）
整備したルールは、日常業務で遵守され続けて初めて意味を持ちます。運用段階では、定めた手続きが守られているかを定期的に評価し、権限棚卸しや変更管理の運用状況をモニタリングします。組織変更やシステム変更があった際にルールを見直すことも欠かせません。評価は年に一度の一括作業ではなく、日常的な遵守と定期的な点検の組み合わせで維持していくものです。
運用状況の評価を期末より前に実施した場合は、評価時点から期末までの残りの期間についても、統制が継続して有効に機能していたことの確認が必要になります（ロールフォワード評価）。期中の評価だけで終えず期末までの継続を押さえることで、その事業年度を通じて統制が働いていたことを示せます。
統制と業務効率のバランスを取りながら、無理なく続けられる運用ルールにしておくことが、形骸化を防ぐうえで重要になります。
不備が見つかったらどうなるか（重要な不備の判断・補完統制）
整備・評価を進める中で、IT全般統制に不備が見つかることもあります。ここで押さえておきたいのは、IT全般統制の不備が直ちに開示すべき重要な不備になるとは限らない点です。実施基準は次のように示しています。
ＩＴに係る全般統制の不備は、それ自体が財務報告の重要な事項に虚偽記載が発生するリスクに必ずしも直接に繋がるものではないため、業務処理統制が現に有効に機能していることが検証できているのであれば、全般統制の不備をもって直ちに開示すべき重要な不備と評価されるものではないことに留意する。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準 Ⅲ.4(2)④ニ｜金融庁 企業会計審議会（令和5年4月7日改訂）
ただし、不備を放置してよいという意味ではありません。実施基準は、全般統制に不備が発見された場合には「それをすみやかに改善することが求められる」としています。また経営者の評価においても、「ＩＴに係る全般統制に不備がある場合には、代替的又は補完的な他の内部統制により、財務報告の信頼性という目的が達成されているかを検討する」とされています。
不備が見つかったら、改善に着手しつつ、業務処理統制など他の統制で目的が達成されているかを確認するのが基本の順序です。
SaaS・クラウドで複雑化するアクセス権・委託先管理
前述のアクセス管理（領域③）と外部委託の管理（領域④）は、SaaSやクラウドの利用が広がるほど負担が増します。委託先の統制状況はSOC報告書などで確認しますが、利用する外部サービスが増えるほど受領・点検の手間がかさみます。
アクセス管理でも、財務報告に関わるサービスはクラウド上にあっても評価対象になります。利用サービスが増えるほど、入退社や異動のたびの権限付与・削除と、定期的な棚卸し・証跡の突合が複雑になっていきます。
具体的には、情報システム部門が把握しないまま現場でSaaSが契約・利用される「シャドーIT」では、評価対象そのものを取りこぼしがちです。また、異動を繰り返すうちに過去の権限が削除されず積み上がる「権限の滞留（権限クリープ）」では、不要な権限が残ります。いずれも、棚卸しの対象一覧が最新に保たれていないと見逃されがちです。
アカウントと権限の付与・棚卸しを一元管理する手段としては、シングルサインオン（SSO）やアクセス権管理を担うIDaaS（ID管理システム）があります。導入形態や監査ログ・人事システム連携といった選び方は、以下の記事で詳しく整理しています。
外部委託の管理（領域④）でも、委託先の数が増え、再委託先まで含めた確認が必要になります。委託先の統制状況を確認するためにSOC報告書を受領・点検する作業も、対象が増えるほど負担が大きくなります。こうした管理を表計算ソフトやメールだけで回すと、証跡が分散し、監査対応のたびに情報を集め直すことになりがちです。
そこで、アクセス権や委託先の管理、内部統制の文書化・評価をシステム上で一元化し、証跡を自動で残せるツールを活用する方法があります。次章では、IT全般統制の整備・評価に活用できる主なサービスを紹介します。
一括ダウンロードする
IT全般統制の整備・評価を効率化するサービス
ここからは、IT全般統制の4領域の棚卸しや整備・評価、アクセス管理・委託先管理・内部統制の文書化を効率化できるサービスを紹介します。それぞれ得意とする領域が異なるため、自社が課題を感じている領域と照らし合わせて確認してください。
以下は、今回紹介するサービスの比較表です。
| サービス名 | VendorTrustLink | Oracle NetSuite GRC | LMIS | AuditnQ | smoove J-SOX |
|---|---|---|---|---|---|
| タイプ | 委託先リスク管理（TPRM） | ERP一体型GRC | ITサービス管理（ITSM／ITIL） | 委託先リスク管理（TPRM） | 内部統制SaaS（J-SOX） |
| 主に対応するITGC領域 | ④外部委託の管理 | ③アクセス管理 ②運用・管理 | ①開発・保守の管理 ②運用・管理 | ④外部委託の管理 | 内部統制の文書化・評価 （ITGC全体を含む） |
| 提供形態 | クラウド（SaaS） | クラウド（ERP付帯機能） | クラウド（Salesforce基盤） | クラウド（SaaS） | クラウド（SaaS） |
| 主な機能 | 委託先へのチェックシート自動配信・回収・採点、委託先／契約情報管理、経年比較 | 職務分掌・多要素認証・IP制限、監査証跡、第三者監査報告書（SOC1/2・ISO27001等）対応 | 変更管理・構成管理、承認履歴・変更ログの自動保存、インシデント／問題管理 | 委託先・再委託先のチェックシート監査、定期監査支援、Netskope CCI連携による第三者評価 | 3点セット作成、業務フロー→RCM自動連動、証憑管理、整備・運用・ロールフォワード評価、AIリスクスキャン |
| 料金 | 要お問い合わせ | NetSuite ERPライセンスに含まれる | 初期30万円＋月額10万円〜 （25ユーザー・税別） | 要お問い合わせ | 要お問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト |
※料金は2026年9月時点の公開情報に基づきます。「要お問い合わせ」は各社が金額を公開していないものです。「主に対応するITGC領域」は各サービスの主な用途をもとに整理したもので、記載外の領域に一切対応しないという意味ではありません。
1. VendorTrustLink（株式会社アトミテック）
委託先・取引先へのセキュリティチェックシートの配信から回収・自動採点・履歴管理までをクラウド上で一元化する、委託先リスク管理（TPRM）サービスです。自社が設計した設問を委託先に送り、回答を自動で集計・可視化することで、表計算ソフトやメールで運用していた委託先審査を置き換えられます。
国際的なリスクマネジメントガイドラインであるISO 31000に沿った設計を掲げています。IT全般統制の4領域のうち「外部委託に関する契約の管理」で、委託先の統制状況を継続的に確認・記録する運用に向いています。
2. Oracle NetSuite GRC（日本オラクル株式会社）
統合型クラウドERP「Oracle NetSuite」に組み込まれた、ガバナンス・リスク・コンプライアンスの機能群です。職務分掌・多要素認証・IPアドレス制限といったアクセス管理、誰がいつどのデータを変更したかを残す監査証跡、SOC1/2・ISO 27001・PCI DSSといった第三者監査報告書への対応をカバーします。これらを、会計や受発注などの業務データと同じ基盤の上で扱えます。
独立したGRC製品ではなくERPのバンドル機能である点が特徴で、業務システムのデータを書き出して突き合わせる手作業を減らせます。IT全般統制の「アクセス管理」や「運用・管理」を業務基盤と一体で整えたい企業や、IPO準備で業務と統制をまとめて見直したい成長企業に向いています。
IPO準備の局面で、こうした基盤の検討が社内のどの立場から始まるのかについて、日本オラクルの福宮氏は次のように話しています。
ご相談をいただくのは、IT部門や経営企画の方が多いです。システム全体をどう作っていくかという視点で検討されるケースです。一方で、IPOを準備しているスタートアップの場合は、CFOやCEOといった経営トップから直接お問い合わせをいただくことも珍しくありません。
上場に向けて内部統制をきちんと整えなければならない、というタイミングで、業務と統制を一体で見られる基盤を探していらっしゃる、という背景が多いように思います。
3. LMIS（株式会社ユニリタ）
ITILに準拠したクラウド型のITサービスマネジメント基盤で、インシデント管理・問題管理・変更管理・リリース管理・構成管理などのプロセスをカバーします。変更管理では承認履歴や変更ログが自動で保存され、構成管理と連動するため、IT全般統制の「開発・保守に係る管理」「運用・管理」で求められる証跡を、運用の流れの中で残せます。
公式サイトでもIT全般統制・システム監査対応の基盤としての利用が挙げられており、旭化成をはじめ国内大手企業150社以上での導入実績があります。料金は初期登録費用が300,000円（税別）、25ユーザーの基本プランが月額100,000円（税別）です（2026年9月時点）。
4. AuditnQ（RenderingConsulting株式会社）
委託先・再委託先（Nth Party）のセキュリティチェックと定期監査業務をクラウド上で一元管理するTPRMシステムです。既存の表計算ソフトのチェックシートを取り込んで回答をデータベース化できるため、これまでの審査資産を活かしたまま、初回選定から定期監査までを統合できます。
2026年2月にはNetskope CCIとの連携により、8万件を超えるクラウドサービスの外部評価スコアを取り込み、委託先の自己申告と客観的な評価を組み合わせて確認できるようになりました。IT全般統制の「外部委託に関する契約の管理」で、再委託先まで含めたサプライチェーンの統制を定期的に回したい場合の選択肢になります。
5. smoove J-SOX（株式会社WARC）
J-SOX対応で必要となる3点セット（業務フロー・業務記述書・RCM）の作成から、証憑の管理、整備状況・運用状況の評価、ロールフォワード評価までを、年間を通じてクラウド上で管理できる内部統制SaaSです。公認会計士監修のもとで設計され、業務フローの変更をRCMに自動で反映することで、文書間の整合を手作業で突き合わせる負担を抑えます。
子会社・事業部門ごとにワークスペースを分けて管理でき、2026年3月にはシングルサインオンと多要素認証にも対応しました。製薬・小売・IT・インフラなど400社以上で導入されています。IT全般統制単体というより、IT全般統制を含む内部統制の整備・評価を文書化から回したいIPO準備・上場企業に向いています。
ここで取り上げたのはIT全般統制の整備・評価に関わるサービスの一部です。委託先管理・アクセス管理・内部統制の文書化まで含めて、GRC（ガバナンス・リスク・コンプライアンス）ツール全体を対応領域や機能で広く比較したい場合は、次の記事もあわせてご覧ください。
まとめ
IT全般統制（ITGC）は、財務報告を支えるシステムが正しく動く「環境」を保証するための統制で、開発・保守／運用・管理／アクセス管理／外部委託の4領域を対象とします。個別の業務プロセスに組み込まれたIT業務処理統制（ITAC）とは役割が異なり、両者が一体となって機能することで財務報告の信頼性が保たれます。
整備・評価は、評価範囲の決定から始めて、各領域で証跡を残し、日常の運用と定期的な点検で維持していく流れが基本です。不備が見つかっても直ちに重要な不備になるとは限りませんが、速やかな改善と補完統制の確認が求められます。SaaSやクラウドの利用が広がる中で管理対象が増えるほど、アクセス権・委託先管理や内部統制の文書化をツールで効率化する意義は大きくなります。
自社の課題がどの領域にあるかを4領域に照らして整理し、必要な手段を検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. IT全般統制（ITGC）とは何ですか？
A. IT全般統制（ITGC）とは、業務処理統制が有効に機能する環境を保証するための統制活動で、複数の業務処理に共通して関わる方針と手続きを指します。会計や受発注などのシステムが正しく動く前提として、システムの開発・運用・アクセス・外部委託が適切に管理されている状態をつくることを目的とし、IT基盤（ハードウェア・ソフトウェア・ネットワーク等）を単位として構築します。
定義は金融庁 企業会計審議会の実施基準に示されています。
Q. IT全般統制の対象範囲（統制する領域）は何ですか？
A. IT全般統制の対象範囲は、①システムの開発・保守に係る管理、②システムの運用・管理、③内外からのアクセス管理などシステムの安全性の確保、④外部委託に関する契約の管理の4領域です。これは実施基準や経済産業省のガイダンスが具体例として挙げる区分です。
ただし、いずれの文書も4領域を「具体例」「例えば」として挙げており、この4区分に閉じた限定列挙ではない点には注意が必要です。
Q. IT全般統制とIT業務処理統制（ITAC）の違いは何ですか？
A. IT全般統制は業務処理統制が働く「環境」を保証する統制であるのに対し、IT業務処理統制（ITAC）は個別の業務プロセスに組み込まれた統制という違いがあります。IT全般統制がIT基盤（ハード・ソフト・ネットワーク）を単位に構築されるのに対し、IT業務処理統制は承認された業務がすべて正確に処理・記録されることを確保する仕組みです。
両者は二層構造で、一体となって機能することで財務報告の信頼性が保たれます。
Q. IT全社的統制とIT全般統制の違いは何ですか？
A. IT全社的統制は組織全体のITに関する方針や体制を示す上位の統制で、IT全般統制はその下でシステム基盤の環境を保証する統制です。経済産業省のガイダンスは、財務報告に係るIT統制をIT全社的統制・IT全般統制・IT業務処理統制の三層に区分しています。IT全社的統制が全体の方針を定め、IT全般統制がシステム基盤の環境を整え、IT業務処理統制が個別の業務処理を支える、という上下関係にあります。
Q. 内部統制とIT統制（IT全般統制）の違いは何ですか？
A. IT統制は内部統制の一部であり、内部統制のうちITに関わる部分を担うのがIT統制です。 内部統制は財務報告の信頼性や業務の有効性などを確保するための仕組み全体を指し、そのITへの対応がIT統制にあたります。IT統制はさらにIT全社的統制・IT全般統制・IT業務処理統制に区分され、IT全般統制はその中の一層という位置づけです。
Q. IT全般統制に不備があると、必ず「開示すべき重要な不備」になりますか？
A. IT全般統制の不備は、それだけで直ちに開示すべき重要な不備と評価されるわけではありません。 実施基準は、業務処理統制が現に有効に機能していることが検証できていれば、全般統制の不備をもって直ちに開示すべき重要な不備とは評価されないとしています。
ただし放置してよいという意味ではなく、速やかに改善に着手したうえで、代替的・補完的な他の統制で財務報告の信頼性という目的が達成されているかを確認することが求められます。
Q. IPO準備ではIT全般統制をいつから整備すればよいですか？
A. IT全般統制は、上場申請の直前にまとめて整えるのではなく、直前々期・直前期といった段階を追って構築・運用・評価していくのが一般的です。 IT全般統制は「実施した事実」だけでなく「実施した証跡」が確認できて初めて評価できるため、日常業務として運用しながら記録を積み上げる必要があります。
上場後に内部統制報告制度へ対応することを見据え、早い段階から着手して運用実績を残していくことが実務上のポイントです。
Q. IT全般統制は社内の誰が対応する必要がありますか？
A. IT全般統制を評価・報告する最終的な責任は、内部統制報告書を提出する経営者にあります。 実務では、情報システム部門が統制の整備・運用を担い、内部監査・経営企画が評価に関わったうえで、監査法人による監査を受けるのが一般的です。
Q. SaaSやクラウドサービスもIT全般統制の対象になりますか？
A. SaaSやクラウドサービスも、財務報告に関わるシステムであればIT全般統制の対象になります。 特にアクセス権の管理（領域③）と外部委託先の管理（領域④）に直結し、利用するサービスが増えるほどアカウントと権限の管理対象や、委託先のSOC報告書を確認する作業の負担が増えていきます。
表計算ソフトやメールだけで管理すると証跡が分散しやすいため、アクセス権・委託先管理や内部統制の文書化をシステム上で一元化し、証跡を自動で残せるツールを活用する方法もあります。
IT全般統制の整備・評価に役立つサービスの資料を一括チェック
MCB FinTechカタログでは、委託先管理・アクセス管理・内部統制の文書化に使えるサービスの最新資料を無料で一括請求できます。対応領域や機能を横並びで比較して、自社の課題に合う手段を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
出典・参考資料（3件）
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
