- 追加された行はこのように表示されます。
- 削除された行は
このように表示されます。
!!!IT統制の評価が必要となる場合
キーコントロールを識別する過程の中で、ITに係る統制（IT業務処理統制）がキーコントロールとして識別されれば、そのIT基盤の全般統制を評価対象とするかどうかを検討する。ここで重要なことは、IT基盤が会社にあるからそれを評価・監査するということではなく、あくまでも一連の財務報告プロセスにおけるITの位置づけを見極めた上で、重要なものを選別して評価・監査するという点である。
!IT基盤の識別
評価・監査対象とすべきIT基盤の識別は一般に次のように行なわれる。すなわちそれぞれの段階での判断が加わるので、すべからくITを評価・監査しなければならないわけではない。
::評価対象とされた業務プロセスを識別
基本的には企業の主たる業務に関わるプロセスすなわちバリューチェーンと呼ばれる部分を識別すべきですが、日本の制度では、いわゆる｢三勘定」（売上・売掛金・棚卸資産）とされているので、これに係る部分を識別する。
なお、たとえばデリバティブなどを大規模に行なっている場合には、特定された固有のリスクがあるはずなので、三勘定以外にも例えば資金運用なども対象となる。
::支える自動化された統制活動
業務プロセスのフローチャートなどによって、財務報告に係るキーコントロールを識別する。ここが最も重要なところで、単にシステムを使っているからということではなく、財務報告に重要な影響を与える数値が生成加工される手続のうちITにより自動化されている部分があるか否かをきちんと識別するべきである。
自動化の中にも、単なる転記、集計といった自動化から、複雑な演算（ブラックショールズモデルによるオプション価値の計算など）まで色々とあるので、その依存度、誤りのリスクなどを考慮する。
一般には、ITにより自動化された部分のうち、最も大事なのは、人と一体となって機能する統制（いわゆるキーレポートの生成）のところである。
キーレポートとは、ITから出力される各種帳票（画面を含む）のうち、人がそれを見て何らかの判断をして何らかのアクションを起こすことが期待されているものである。そのアクションには、システム上の会計データに対して必要なフィードバックをするためのものもあれば、会計には直接関わらないが影響すると想定されるものなどが含まれる。
たとえば、
*一日の処理件数を出力して、手元にある入力原票の枚数と照合して、齟齬があればその原因を追究して対策をとる。
*滞留売掛金のリストを出力して、必要な回収措置をとる。
*異常なアクセスが検出された場合に、警告を発してアクセスの正当性の確認や、不正アクセスへの防止策をとる。
::それを実現するアプリケーションシステム
自動化された処理のうち、キーコントロールに相当するものがあった場合には、それを実現しているアプリケーションシステムを識別する。
::そのアプリケーションシステムを機能させる各種基盤
俗にプラットフォームと言われるアプリケーションが稼動する「システムの単位」を識別する。Operating System、データベース管理システム、ハードウェア構成、ネットワーク構成などから共通性を判断する。
::それらの機能を保証するIT全般統制を評価する
識別されたIT基盤に係る、開発管理、変更管理、運用管理、アクセス制御について評価する。
{{include ITGCとは}}
{{include IT全般統制におけるキーコン識別}}
{{include 人かITか}}
{{include ITvs経理}}
//この下は消さないでください
----
::※ちょっと一言
*経営者によっては、ＩＴから非ＩＴ化へという流れもあるでしょう。10年ぐらいまでＩＴ不要論がありましたが、それを思い起こします。 - shibayan (2008年03月13日 20時49分52秒)
*IT投資は一旦はじめたら中々やめられませんからね。投資効果は見極めるべきですね。 - なわ (2008年03月16日 07時35分28秒)
*ＩＴ投資をすることは、悪いことではないですが、それが、財務諸表の作成にどう係ってくるの検討を、投資段階から慎重に判断することがポイントとなりそうですね。 - shibayan (2008年03月16日 12時21分18秒)
*ごもっとも。おそらく今後は開発段階から財務報告への影響を評価するというプロセスが必要になるだろうという話を他所でしました。 - なわ (2008年03月16日 15時09分41秒)
*ITCLCって判りにくいけど、この制度での一番のポイントは、きっとそこですね。 - shibayan (2008年03月16日 18時00分23秒)