IT全般統制チェックリスト｜IT統制の自己点検用16項目（無料・A4・1枚）

「IT全般統制の自己点検をやってください」と言われても、何から見ればいいのか分からない。監査法人から質問が来る前に、自社の状況を一度整理しておきたい。そんな担当者の方向けに、A4・1枚、16項目で状況を把握できるチェックリストを用意しました。

この記事を読んでわかること

チェックリストが扱う3領域（アクセス管理・変更管理・IT運用）と、16項目の内訳
実際のチェックポイントの例と、「なぜ聞かれるのか」のポイント
使い方の3ステップと、できていない領域を深掘りする記事
IT全般統制とIT業務処理統制の違い、2023年の基準改正との関係

IT全般統制チェックリスト（自己点検用）

A4・1枚のPDFです。印刷して、そのまま書き込めます（無料）。

資料をダウンロードする

このチェックリストでわかること

本チェックリストは、財務報告に係る内部統制のうち、IT全般統制（アクセス管理／変更管理／IT運用）の整備状況を、10〜20項目で速く把握するための自己診断ツールです。監査基準報告書315の考え方（リスクの識別・評価）と、一般的なITGCの枠組みに基づいて作成しました。

① アクセス管理 5項目誰が何に触れるか。権限・DB・設定

② 変更管理 6項目変更が承認・記録されているか。アプリ・DB・データ移行

③ IT運用 5項目止まらず、失われないか。ネットワーク・バックアップ・ジョブ管理

3領域・計16項目で構成されています。

チェック項目の一部抜粋

実際のチェックポイントを、領域ごとに紹介します。全16項目は、ダウンロード資料に収録しています。

領域	チェックポイント（抜粋）	なぜ聞かれるか
アクセス管理	最小権限の原則に則り、システム上のアクセス権限は、必要最低限のメンバーにだけ与えているか	必要以上の権限があると、不適切な職務の分離を引き起こすおそれがあるため
アクセス管理	DBを直接操作できるユーザーはいるか。いる場合、所定の手続きを踏んで変更しているか	アプリを通さない変更は、財務データの不適切な変更につながるため
変更管理	アプリケーションの変更に際して、所定のルールが設けられているか	自動計算やレポートのロジックへの不適切な変更を防ぐため
IT運用	バックアップのルールが整備され、運用されているか	財務データが失われたとき、適時に復元できるようにするため
IT運用	ジョブスケジューリングのバッチ処理や、監視処理が実施されているか	不正確・不完全・未承認なデータ処理を防ぐため

※「なぜ聞かれるか」は、各項目に対応するリスクの趣旨を、やさしく言い換えたものです。プロセス欄・リスク欄は、監査基準報告書315「付録6　IT全般統制を理解するための考慮事項」を引用しています。

IT統制の「分からない」を、月1回のメールで解消します

月次決算・IPO準備・IT統制の実務知見を、月1回メールでお届けします

無料でメルマガを受け取る

使い方は3ステップ

STEP1　印刷するダウンロードして印刷します。A4・1枚なので、そのまま書き込めます。

→

STEP2　記入するチェック結果欄に、できている・できていない・分からない、を項目ごとに書きます。

→

STEP3　深掘りするできていない領域は、下の記事で実務のやり方を確認します。

できていなかった領域	次に読む記事
アクセス管理	アカウント棚卸のやり方／アカウント棚卸Excelテンプレート
変更管理	変更管理｜GitHubのプルリクエストが監査証跡になる仕組み
IT運用	インシデント対応で「やってはいけないこと」
委託先の管理（本チェックリストの対象外）	SOC1レポートのあるシステムを選ぶべき理由

IT全般統制とIT業務処理統制の違い

内部統制の構築にあたり、IT全般統制とIT業務処理統制（情報処理統制）の構築が求められます。

IT全般統制とは、業務処理統制が有効に機能する環境を保証するための統制活動を意味しており、通常、複数の業務処理統制に関係する方針と手続をいいます。また、IT業務処理統制（情報処理統制）とは、業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保するために業務プロセスに組み込まれたITに係る内部統制です。

なぜIT統制の構築は難しいのか

IT統制の構築のためには、IT環境の理解をしたうえで、ITプロセスの構築などを行う必要があることから、内部統制とITの両側面の知識が必要となります。しかし、両側面の知識を持つ人材は限られていることから、IT統制のあるべき姿がわからないことも多いかと思います。詳しくはIT統制がわかりにくい本当の理由で解説しています。