内部統制やJ-SOX（内部統制報告制度）への対応を進めるなかで、監査人との会話や社内資料に「ITGC（IT全般統制）」という言葉が出てきて、正確な意味をつかみきれていないという方は少なくありません。略語のまま使われることが多く、「結局どんな統制で、自社では何をすればよいのか」が見えにくい用語です。
ITGCは、財務報告の信頼性を支えるIT統制の土台にあたる考え方で、J-SOXの評価対象にも含まれます。意味をあいまいにしたまま対応を進めると、整備すべき文書や監査で求められる証跡に抜けが生じ、評価や監査の段階で手戻りが起きやすくなります。
本記事では、IT全般統制（ITGC）の定義と4つの管理領域を金融庁の基準に沿って整理します。あわせて、混同しやすいIT業務処理統制（ITAC）や全社的な内部統制との違い、J-SOXで評価対象になる理由、各領域で整備する文書・残す証跡と評価の進め方までを解説します。
SaaS・外部委託先への対応や、整備・評価を支えるサービスも紹介しますので、自社のITGC対応の抜け漏れを点検する材料としてご活用ください。
目次
一括ダウンロードする
IT全般統制（ITGC）とは
IT全般統制（ITGC：IT General Controls）とは、業務を処理するシステムが正しく機能する環境を保証するための統制活動です。個々の業務処理そのものではなく、その処理を支えるシステムの開発・運用・アクセス管理・外部委託といった基盤を適切に保つことで、財務報告に用いる情報の信頼性を土台から支えます。
金融庁（企業会計審議会）の「財務報告に係る内部統制の評価及び監査に関する実施基準」は、IT全般統制（原文の表記は「ＩＴに係る全般統制」）を次のように定義しています。
ＩＴに係る全般統制とは、業務処理統制が有効に機能する環境を保証するための統制活動を意味しており、通常、複数の業務処理統制に関係する方針と手続をいう。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（Ⅰ．内部統制の基本的枠組み）｜金融庁
同基準は、ITに対する統制活動を「全般統制」と「業務処理統制」の2つに分け、正確な情報処理を確保するには両者が一体となって機能することが重要としています。ITGCは、後述するIT業務処理統制（ITAC）が有効に働くための前提となる、いわば土台にあたる統制です。
ITGCの4つの管理領域
ITGCが具体的に「何を管理する統制か」については、金融庁の実施基準が具体例として4つの領域を挙げています。解説記事によっては3領域とされることもありますが（外部委託に関する管理を独立させずに他の領域へ含めるなど、区分の粒度の違いによるものです）、金融庁の基準が具体例として示す区分は次の4領域です。
ＩＴに係る全般統制の具体例としては、以下のような項目が挙げられる。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（Ⅰ．内部統制の基本的枠組み）｜金融庁
- システムの開発、保守に係る管理
- システムの運用・管理
- 内外からのアクセス管理などシステムの安全性の確保
- 外部委託に関する契約の管理
システムの開発・保守に係る管理
システムを新しく開発したり、既存システムを改修したりする際に、承認を経ていない変更が本番環境に反映されないよう管理する領域です。要件定義・設計・テスト・承認・リリースといった工程に統制を組み込み、変更内容と承認の記録を残します。
システムの運用・管理
日々のシステム運用を安定して行うための領域です。バッチ処理の実行管理、ジョブの監視、障害対応、データのバックアップと復旧などを対象とし、想定どおりに処理が行われたことを記録で確認できるようにします。
内外からのアクセス管理などシステムの安全性の確保
誰がどのシステムにアクセスできるかを適切に制御する領域です。利用者ごとの権限付与、特権IDの管理、入退社や異動に伴うアカウントの登録・削除、不要な権限が残らないようにする定期的な棚卸しなどを行い、不正アクセスや権限の過剰付与を防ぎます。
権限付与や特権IDの管理、アクセス権の棚卸しを具体的にどう仕組み化するかは、専用ツールの選び方とあわせて以下の記事で整理しています。
外部委託に関する契約の管理
システムの開発・運用・保守を外部の事業者やクラウドサービスに委託する場合に、委託先の統制状況を確認・管理する領域です。委託先任せにせず、契約内容や委託先の内部統制の有効性を確認する仕組みが求められます。近年はSaaSの利用拡大に伴い、この領域の重要性が高まっています。
この4領域の区分は金融庁の実施基準が示す具体例に基づきます。経済産業省の「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」も実務の参考になります。
出典・参考資料（1件）
ITGCとITAC・全社的な内部統制の違い
ITGCとあわせてよく登場するのが、IT業務処理統制（ITAC）と全社的な内部統制です。監査人との会話でも混同しやすいため、それぞれの対象と関係を整理します。
金融庁の実施基準は、IT業務処理統制（原文の表記は「ＩＴに係る業務処理統制」）を次のように定義しています。
ＩＴに係る業務処理統制とは、業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保するために業務プロセスに組み込まれたＩＴに係る内部統制である。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（Ⅰ．内部統制の基本的枠組み）｜金融庁
ITGCがシステム全体の運用環境を保証する「土台」であるのに対し、ITACは個々の業務処理（入力・計算・記録など）が正確に行われることを確保する「業務プロセスに組み込まれた統制」です。ITGCが有効に機能していることがITACの前提となるため、両者は一体で評価されます。
一方、全社的な内部統制は、金融庁の実施基準では「連結ベースでの財務報告全体に重要な影響を及ぼす内部統制」と定義され、その基本的要素の一つに「ITへの対応」が位置づけられています。
IT全社統制・IT全般統制・IT業務処理統制という3分類で整理されることもありますが、これは経済産業省のシステム管理基準 追補版などで用いられる枠組みで、金融庁の基準自体に「IT全社的統制」という用語はありません。
ここでいう「IT全社統制」は、全社的な内部統制のうちITに関わる部分を指す呼称で、本記事の「全社的な内部統制（ITへの対応）」と同じものと考えて差し支えありません。本記事では、金融庁基準に沿ってこの呼び方で整理します。3者の関係は次の表のとおりです。
| 3者の違い | IT全般統制（ITGC） | IT業務処理統制（ITAC） | 全社的な内部統制（ITへの対応） |
|---|---|---|---|
| 対象 | 業務処理統制が有効に機能する環境（システムの基盤） | 個々の業務処理（入力・計算・記録など）の正確性 | 連結ベースで財務報告全体に重要な影響を及ぼす統制 |
| 具体例 | システムの開発・保守、運用・管理、アクセス管理などの安全性の確保、外部委託契約の管理 | 入力データのチェック、計算の自動化、例外処理のアラート、マスタ更新の承認 | IT戦略・方針、全社的なIT管理体制、内部統制の基本的要素としての「ITへの対応」 |
| 主な担当 | 情報システム部門（内部監査・経理と連携） | 各業務部門（経理・販売などの現場） | 経営層・管理部門 |
| 位置づけ | ITACが有効に働くための前提となる土台 | 業務プロセスに組み込まれた統制。ITGCを前提に機能する | ITGC・ITACを方向づける全社レベルの枠組み |
※上記は金融庁の実施基準の定義に基づく一般的な整理です。呼称や区分の詳細は各基準・ガイダンスをご確認ください。
出典・参考資料（2件）
J-SOX（内部統制報告制度）でITGCが評価対象になる理由
ITGCの整備が求められる最大の理由は、J-SOX（内部統制報告制度）の評価対象に含まれるためです。上場企業などは、金融商品取引法に基づき、財務報告に係る内部統制を自ら評価した内部統制報告書を事業年度ごとに提出する義務があります。その法的根拠が金融商品取引法第24条の4の4です。
第二十四条第一項の規定による有価証券報告書を提出しなければならない会社［…］のうち、第二十四条第一項第一号に掲げる有価証券の発行者である会社その他の政令で定めるものは、内閣府令で定めるところにより、事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（以下「内部統制報告書」という。）を有価証券報告書［…］と併せて内閣総理大臣に提出しなければならない。
出典：金融商品取引法 第24条の4の4｜e-Gov法令検索
この「財務計算に関する書類その他の情報の適正性を確保するために必要な体制」の評価が、内部統制報告制度（J-SOX）です。評価の枠組みを定める金融庁の基準・実施基準では、内部統制の基本的要素の一つに「ITへの対応」が置かれており、財務報告に用いる情報はITシステムで処理・記録されます。そのため、システムの基盤を支えるITGCも評価の対象に含まれる、という関係になります。
さらに、2023年4月に改訂された実施基準（2024年4月1日以後開始事業年度から適用）では、ITの委託業務に係る統制の重要性が次のように明記されました。
「ＩＴへの対応」では、ＩＴの委託業務に係る統制の重要性が増していること、サイバーリスクの高まり等を踏まえた情報システムに係るセキュリティの確保が重要であることを記載した。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（意見書 主な改訂点）｜金融庁
この改訂では「財務報告の信頼性」が「報告の信頼性」という用語に整理されましたが、金融商品取引法上の内部統制報告制度は、あくまで財務報告の信頼性の確保を目的とする点は変わりません。内部統制報告書の提出義務があるのは、有価証券報告書提出会社のうち政令で定めるもの（上場会社等）です。
ITGCの整備と評価の進め方
ここからは、自社で何を整備し、どう評価するかという実務の流れを整理します。整備する文書・残す証跡、評価の進め方、評価範囲の決め方、そしてIPO準備でのスケジュールまで、順に見ていきます。
各領域で整備する文書・残す証跡
ITGCの対応では、各領域で「どんなルール・文書を整備し、運用の結果としてどんな証跡を残すか」をあらかじめ決めておくことが重要です。監査では、ルールが定められているか（整備状況）だけでなく、そのとおりに運用された記録が残っているか（運用状況）が確認されます。実務で一般的に整備・保存される文書と証跡の例を、4領域に対応させて整理すると次のとおりです。
| 4領域と文書・証跡 | システムの開発・保守 | システムの運用・管理 | アクセス管理などの安全性の確保 | 外部委託に関する契約の管理 |
|---|---|---|---|---|
| 整備する文書・ルール（例） | 変更管理規程、開発・改修の手順、承認フロー | 運用手順書、ジョブ管理・バックアップの規程、障害対応手順 | アクセス権限管理規程、特権ID管理のルール、入退社・異動時の手順 | 委託先管理の規程、委託先評価の基準 |
| 残す証跡（例） | 変更の申請〜承認〜テスト〜本番反映の記録、リリース承認の記録 | ジョブ実行・監視のログ、バックアップの取得記録、障害対応の記録 | アカウント台帳、権限付与・削除の申請・承認記録、アクセス権の定期棚卸し記録 | 委託契約書、委託先の内部統制の評価結果（SOC報告書等）の入手・確認記録 |
※上記は実務で一般的に整備・保存される文書・証跡の例です。必要な文書や記録は、自社のシステム構成やリスクに応じて監査人と確認してください。
自社の点検では、各領域について「整備（規程・ルールが定められているか）」と「運用（その証跡が実際に残っているか）」の2つの軸で確認すると、抜け漏れを見つけやすくなります。外部委託の証跡にあるSOC報告書については、後述のSaaS・クラウド時代のITGCと外部委託先管理の節で詳しく解説します。
評価の進め方（文書化から報告まで）
ITGCの評価は、業務プロセスを把握して文書化し、整備状況を評価し、運用状況を評価して、最終的に内部統制報告書へつなげる流れで進みます。文書化については、金融庁の実施基準が業務の流れ図（フローチャート）・業務記述書・リスクと統制の対応（RCM）といった図表の例を「参考」として示していますが、これは必要に応じて作成する参考例であり、決まった必須様式ではありません。
運用状況の評価について、実施基準は次のように定めています。
経営者は、業務プロセスに係る内部統制が適切に運用されているかを判断するため、業務プロセスに係る内部統制の運用状況の評価を実施する。経営者は、関連文書の閲覧、当該内部統制に関係する適切な担当者への質問、業務の観察、内部統制の実施記録の検証、各現場における内部統制の運用状況に関する自己点検の状況の検討等により、業務プロセスに係る内部統制の運用状況を確認する。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（Ⅱ．財務報告に係る内部統制の評価及び報告）｜金融庁
整備状況の評価はルールや仕組みが適切に設計されているかを確認するもので、原則として毎期実施します。運用状況の評価は、そのルールが実際に運用されているかを、記録の検証やサンプリングによって確かめます。ITGCでは、前項で整理した証跡が、この運用状況評価の裏づけになります。
評価範囲の決め方（統制上の要点）
すべての統制を同じ深さで評価すると現場の負担が過大になるため、評価は重要なポイントに絞り込みます。金融庁の実施基準は、この絞り込みの考え方を「統制上の要点」（いわゆるキーコントロール）として次のように定めています。
経営者は、全社的な内部統制の評価結果を踏まえ、評価対象となる内部統制の範囲内にある業務プロセスを分析した上で、財務報告の信頼性に重要な影響を及ぼす統制上の要点（以下「統制上の要点」という。）を選定し、当該統制上の要点について内部統制の基本的要素が機能しているかを評価する。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（Ⅱ．財務報告に係る内部統制の評価及び報告）｜金融庁
実務では、全社的な内部統制の評価結果を踏まえ、重要な事業拠点や財務報告への影響が大きい勘定科目へと評価対象を絞り込みます。さらに、それらに関わる業務プロセスを分析し、その中から統制上の要点を選ぶ流れで評価範囲を決めていきます。範囲は財務報告への金額的・質的影響の重要性を考慮して合理的に決定し、その決定方法と根拠を記録します。
重要な事業拠点を選ぶ目安として、かつては連結売上高などでおおむね3分の2程度をカバーする、といった数値例が示されていました。ただしこの数値例は2023年の改訂で本文から注記へ移され、機械的に当てはめるのではなく、リスクに応じて判断する考え方が強調されています。
統制と効率のバランスを取り、重要な統制に評価を集中させることが、現場の負担を抑えながら実効性を確保するポイントです。
出典・参考資料（1件）
IPO準備企業がITGC整備で押さえるスケジュール
これから上場を目指す企業にとって、ITGCの整備は上場準備と並行して進めるべきテーマです。上場申請の直前期（N-1期）には内部統制報告制度への対応状況が問われるため、一般的な上場準備の実務では、その前段階から計画的に整備を進めます。
目安としては、申請期の2〜3期前（N-3〜N-2期）に対象システムの洗い出しと規程・ルールの整備、文書化に着手します。そしてN-1期で整備状況・運用状況の評価を一巡させ、残った課題を是正していく流れが一般的です。システムの変更や増加が続く時期でもあるため、早い段階から変更管理やアクセス管理の記録を残す運用を定着させておくと、評価の段階で証跡の不足に悩まされにくくなります。
SaaS・クラウド時代のITGCと外部委託先管理
財務報告に関わる業務をSaaSやクラウドサービス、外部の運用事業者に委託するケースが増えています。委託したからといって統制の責任がなくなるわけではなく、金融庁の実施基準は委託業務も評価範囲に含まれることを明記しています。
委託業務に関しては、委託者が責任を有しており、委託業務に係る内部統制についても評価の範囲に含まれる。委託業務が、企業の重要な業務プロセスの一部を構成している場合には、経営者は、当該業務を提供している外部の受託会社の業務に関し、その内部統制の有効性を評価しなければならない。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（Ⅱ．委託業務の評価）｜金融庁
とはいえ、委託先の内部統制を自社で直接検証するのは容易ではありません。そこで実施基準は、受託会社から内部統制の評価結果を記載した報告書を入手し、自らの評価の代替手段とすることを認めています。この報告書にあたるのが、一般にSOC報告書と呼ばれる「受託業務に係る内部統制の保証報告書」です。
「SOC1」「SOC2」という呼称は米国公認会計士協会（AICPA）のもので、日本では日本公認会計士協会の保証業務実務指針が対応します。財務報告に関連する受託会社の内部統制を対象とするのが保証業務実務指針3402（SOC1に相当）、情報セキュリティなどのTrustに係る内部統制を対象とするのが保証業務実務指針3702（SOC2に相当）です。
ITGCの外部委託領域で確認するのは、主に財務報告関連を扱う3402（SOC1相当）の報告書になります。
報告書には、評価の対象期間によってType 1とType 2の2種類があります。保証業務実務指針3402によると、Type 1の報告書は基準日現在において、受託会社のシステムが適正に表示され、統制が適切にデザイン（整備）されているかを対象とします。
一方、Type 2の報告書は、特定期間にわたって統制が有効に運用されていたかまでを対象とします。委託先の統制が運用まで有効であることを確かめたい場合は、Type 2の報告書を入手できるかが確認の観点になります。
出典・参考資料（3件）
一括ダウンロードする
ITGCの整備・評価を支えるサービス
ここまで見てきたように、ITGCの対応では規程・ルールの整備、証跡の記録、文書化、評価の管理といった継続的な作業が発生します。これらを表計算ソフトや手作業だけで回すと負担が大きく、証跡の抜け漏れも起きやすくなります。
ここで紹介するサービスは、ITGC対応の異なる場面（J-SOXの文書作成と評価、IT運用の変更・構成管理の記録、社内規程の整備と改定証跡など）を支えます。料金を公開していないサービスもあるため、各社の得意領域で選ぶと比べやすくなります。以下は主なサービスの比較表です。
| ITGC対応サービスの比較 | smoove J-SOX | LMIS | KiteRa Biz |
|---|---|---|---|
| 提供会社 | 株式会社WARC | 株式会社ユニリタ | 株式会社KiteRa |
| 種別（得意領域） | 内部統制（J-SOX）業務のDX SaaS | ITIL準拠のITサービス管理（ITSM） | 社内規程管理（規程DX） |
| ITGC対応で役立つ主な場面 | 内部統制の文書化・証跡管理・評価を一元化 | 開発・保守／運用・管理の証跡（変更・構成管理） | 規程の整備と改定履歴の証跡化 |
| 主な機能 | 3点セット作成、証憑管理、整備・運用・ロールフォワード評価、全社統制、監査法人のクラウドレビュー | インシデント・問題・変更・リリース・構成管理、承認ワークフロー、変更ログの自動保存 | 設問式規程作成、新旧対照表の自動作成、編集・承認履歴の管理、社内通知 |
| 提供形態 | クラウド（SaaS） | クラウド（Salesforce Platform基盤） | クラウド（SaaS） |
| 初期費用 | 要問い合わせ | 300,000円 | 要問い合わせ |
| 月額費用 | 要問い合わせ | 120,000円〜（25ユーザー基本料金） | 要問い合わせ |
| 無料トライアル | ●（1週間） | ● | ● |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. smoove J-SOX（株式会社WARC）
smoove J-SOXは、株式会社WARCが提供する、J-SOX（内部統制報告制度）対応の文書作成から評価までをクラウド上で一貫して行う内部統制業務のSaaSです。公認会計士の監修のもとで設計されており、東証プライム上場企業からIPO準備中のスタートアップまで利用されています。
フローチャート・RCM・業務記述書のいわゆる3点セットの作成に対応し、フローチャート上でリスクとコントロールを追加するとRCMに自動反映される仕組みを備えます。証憑データの管理やコントロールとの紐付け、整備・運用・ロールフォワード評価（前期の評価結果を当期に向けて更新する手続）までを同じ画面で扱え、監査法人がクラウド上で直接レビューできる閲覧アカウントも用意されています。
2025年10月には、金融庁の実施基準の全社的な内部統制に関する項目をもとにした全社統制機能も追加されました。ITGCの文書化・証跡管理・評価の実務を一つのツールにまとめたいケースに向いています。
料金は組織規模やID数に応じた個別見積もりで、1週間の無料トライアルが用意されています（2026年10月時点、公式サイト）。
2. LMIS（株式会社ユニリタ）
株式会社ユニリタが提供するLMISは、ITIL（ITサービス管理のフレームワーク）に準拠したクラウド型のサービスマネジメントプラットフォームです。インシデント管理・問題管理・変更管理・リリース管理・構成管理といったITILの主要プロセスをカバーします。
ITGCの観点では、変更管理や構成管理、承認・変更のログといった機能が、システムの開発・保守や運用・管理の領域で残すべき証跡の整備に役立ちます。導入事例にはグループ全社のIT全般統制の基盤として活用した旭化成などがあり、国内で300組織以上の導入実績があります。社内のIT運用を記録に基づいて標準化し、変更やインシデントの履歴を証跡として残したい企業に適しています。
料金は初期費用300,000円、月額120,000円（25ユーザーの基本料金）で、追加ユーザーは1名あたり月額4,800円です。無料体験版も用意されています（2026年10月時点、公式料金ページ）。
3. KiteRa Biz（株式会社KiteRa）
KiteRa Bizは、株式会社KiteRaが提供する、就業規則をはじめとする社内規程の作成・改定・管理・周知をクラウド上で一元管理する社内規程DXサービスです。ITGCの運用には、アクセス管理規程や変更管理規程といった社内ルールの整備と、その改定を記録として残すことが欠かせません。
設問に回答する形での規程作成や、新旧対照表のワンクリック作成に対応し、編集者・編集日時を含む改定履歴をクラウド上で証跡として管理できます。承認・決裁の経過をログとして記録する機能や、規程改定を全従業員に通知して閲覧状況を把握する周知機能も備えます。ITGCに関わる規程類を最新の状態に保ち、いつ・誰が・どのように改定したかを証跡として残したい企業に向いています。
料金プランは公式サイトでは非公開で、問い合わせまたはオンライン相談で案内される形式です。無料のお試しも用意されています（2026年10月時点、公式サイト）。
ここで紹介したのは、ITGC対応に役立つサービスの一例です。内部統制・リスク管理に関わるGRC関連ツールを、機能や料金で広く比較して選びたい場合は、以下の記事で主要サービスをまとめて解説しています。
まとめ
IT全般統制（ITGC）は、システムの開発・保守、運用・管理、アクセス管理などの安全性の確保、外部委託契約の管理という4つの領域を通じて、業務を処理するシステムの基盤を適切に保つ統制です。IT業務処理統制（ITAC）が有効に働くための土台であり、J-SOX（内部統制報告制度）では「ITへの対応」の一部として評価の対象に含まれます。
対応を進める際は、各領域で整備する規程・文書と、運用の証跡をあらかじめ決め、整備状況・運用状況の評価を重要な統制（統制上の要点）に絞り込んで進めるのが実務のポイントです。SaaS・外部委託が増えるなかでは、委託先のSOC報告書の確認も欠かせません。
これらの継続的な作業は、文書化・証跡管理・規程管理を支えるサービスを活用することで負担を抑えられます。自社の課題に合うサービスの資料をまとめて取り寄せ、比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. IT全般統制（ITGC）とは何ですか？
A. IT全般統制（ITGC）とは、業務処理統制が有効に機能する環境を保証するための統制活動で、システムの開発・保守、運用・管理、アクセス管理などの安全性の確保、外部委託契約の管理という4つの領域からなります。個々の業務処理そのものではなく、それを支えるシステムの基盤を適切に保つことで、財務報告に用いる情報の信頼性を土台から支える統制です。
出典・参考資料（1件）
Q. IT全般統制（ITGC）とIT業務処理統制（ITAC）の違いは何ですか？
A. IT全般統制（ITGC）がシステム全体の運用環境を保証する「土台」であるのに対し、IT業務処理統制（ITAC）は入力・計算・記録など個々の業務処理の正確性を確保する「業務プロセスに組み込まれた統制」です。ITGCが有効に機能していることがITACの前提となるため、両者は一体で評価されます。
Q. IT全般統制（ITGC）とIT全社的統制の違いは何ですか？
A. IT全般統制（ITGC）がシステムの基盤そのものを対象とする統制であるのに対し、IT全社的統制は全社的な内部統制の基本的要素である「ITへの対応」を全社レベルで方向づける枠組みを指します。ただし「IT全社的統制」は経済産業省のシステム管理基準 追補版などで用いられる呼称で、金融庁の実施基準にこの用語自体はなく、同基準では「全社的な内部統制（のうちITへの対応）」として整理されます。
Q. IT全般統制（ITGC）は上場していない企業にも必要ですか？
A. 内部統制報告書の提出義務があるのは上場会社等に限られるため、ITGCが法令上求められるのも原則としてこれらの企業です。ただし、IPO（上場）を目指す企業は申請前から整備を進める必要があり、上場企業の連結子会社などは親会社の評価範囲に含まれる場合があります。これらに当てはまらない非上場企業でも、財務報告の信頼性やセキュリティの確保という観点からITGCの考え方を取り入れる意義はあります。
出典・参考資料（1件）
Q. IT全般統制（ITGC）の評価は毎年必要ですか？
A. 整備状況の評価は原則として毎期実施し、運用状況の評価も毎期が基本ですが、一定の条件を満たす場合は前年度の評価結果を利用して範囲や手続を簡素化できる余地があります。全社的な内部統制が有効であるなどの条件を満たす場合に、運用状況の評価をローテーションで行うことが実施基準で認められています。具体的な頻度や範囲は、自社のリスクを踏まえて監査人と相談して決めるのが実務的です。
出典・参考資料（1件）
Q. 利用しているSaaSがSOC報告書を発行していない場合はどうすればよいですか？
A. SOC報告書が入手できない場合でも、委託業務に係る統制評価の責任は委託者（自社）に残るため、自社で代替的な手続を行う必要があります。具体的には、委託先への質問やチェックリストによる確認、現地調査（往査）、あるいは受領データの検証など自社側で補完的な統制を設ける、といった対応が考えられます。
財務報告に関わる重要な業務を委託している場合ほど、契約段階でSOC報告書（財務報告関連を扱う保証業務実務指針3402相当）の提供可否を確認しておくと評価がスムーズです。
Q. IT全般統制（ITGC）に不備が見つかった場合はどうなりますか？
A. 不備が「開示すべき重要な不備」に該当し、期末日までに是正されない場合は、内部統制は有効でないと評価し、その旨と理由を内部統制報告書に記載する必要があります。軽微な不備であれば是正を図りながら評価を継続できますが、ITGCの不備は複数の業務処理統制に影響を及ぼすため、早期に発見して是正する運用が重要です。該当性の判断は監査人と確認しながら進めます。
出典・参考資料（1件）
IT全般統制・GRCの料金・資料を一括チェック
MCB FinTechカタログでは、内部統制・J-SOX対応や規程・証跡の管理を支えるGRC関連サービスの最新資料を無料で一括請求できます。機能や料金、対応できる統制領域をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
