ITAC（IT業務処理統制）とは？ITGC・ITDMとの違いと具体例、実施基準の評価方法

ITAC（ITに係る業務処理統制）は、承認された業務がすべて正確に処理・記録されることを確保するために業務プロセスへ組み込まれた、ITに係る内部統制です。ITGC（ITに係る全般統制）はその土台となるIT基盤側の統制で、ITDM（IT依存の手作業統制）はシステムが出力したリストや帳票をもとに人が確認する統制を指します。3つの略語はいずれも実施基準の原文に無く、よく引かれる「25件」も監査人の試査の例示なので、規程やRCMに書くときに原文との対応が問題になります。この記事では金融庁・企業会計審議会の実施基準（令和5年4月7日改訂、2024年4月1日以後開始する事業年度から適用）と、日本公認会計士協会の監査基準報告書（以下、監基報）の原文に当たって整理します。

まとめ：ITAC・ITGC・ITDMの違いと評価で外せない点

3つの区分は、統制がどこに組み込まれ、何に依存しているかで分かれます。

押さえておくべき点は4つです。ITACは自動化された統制と同義ではなく、実施基準は「これらの業務処理統制は、手作業により実施することも可能である」と明記しています。ITGCが有効でもITACが有効だとは言えず、2023年の改訂でこの留意事項が書き加えられました。ITDMは原典に語として存在せず、評価では人の確認手続より先に、その確認が使う出力情報の正確性・網羅性を確かめます。よく引かれる「25件」は監査人の試査の例示で、ITACには「サンプル件数を減らし、サンプルの対象期間を短くする」という別の取扱いがあります。

実施基準が定めるITACの定義と4つの具体例

実施基準の定義文と「ITAC」の略語が原文に無い点

ITACはIT Application Controlsの略で、「アイティーエーシー」と読みます。実施基準はこれを「業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保するために業務プロセスに組み込まれたITに係る内部統制」と定義しています。注意したいのは、改訂実施基準の全文（意見書を含む138ページ）を正規化して検索すると「ITAC」「ITGC」「ITDM」がいずれも0件である点です。原文はほぼ一貫して「ITに係る業務処理統制」「ITに係る全般統制」と書き（「IT全般統制」は注記の1か所だけ）、「IT業務処理統制」という略記はありません。略語は監査法人やコンサルティング会社の実務用語なので、規程やRCMには原文の表記を併記しておくと、どの区分を指すのかを監査人と突き合わせやすくなります。

実施基準が挙げるITACの具体例は次の4項目です。

• 入力情報の完全性、正確性、正当性等を確保する統制
• 例外処理（エラー）の修正と再処理
• マスタ・データの維持管理
• システムの利用に関する認証、操作範囲の限定などアクセスの管理

実務で漏れやすいのは「例外処理（エラー）の修正と再処理」です。評価の観点も「エラーデータの修正と再処理の機能が確保されているか」と書かれており、エラーを検知するだけでは統制として完結しません。4項目の直後には「これらの業務処理統制は、手作業により実施することも可能であるが、システムに組み込むことにより、より効率的かつ正確な処理が可能となる」という一文が続きます。ITAC＝自動統制という説明は原文の定義より狭いということです。

ITの統制目標4区分と正当性・完全性・正確性

ITACの統制目的を「完全性・正確性・正当性の3つ」と並べる解説がありますが、実施基準の構成は2段になっています。経営者が設定するITの統制目標は準拠性・信頼性・可用性・機密性の4つで、そのうち信頼性の括弧内に正当性・完全性・正確性が置かれています。

実施基準は続けて「財務報告の信頼性を確保するためのITの統制は、会計上の取引記録の正当性、完全性及び正確性を確保するために実施される」とし、正当性＝取引が組織の意思・意図にそって承認され行われること、完全性＝記録した取引に漏れ・重複がないこと、正確性＝発生した取引が財務や科目分類などの主要なデータ項目に正しく記録されること、と定義します。RCMのリスク欄と統制目的欄はこの3語で書くと監査人の用語と揃います。内部統制そのものの4つの目的や6つの基本的要素との関係は、内部統制とは？4つの目的・6つの基本的要素とJ-SOX・会社法の違いを解説で整理しています。

ITACの具体例を入力・処理・出力に分けた整理

実施基準の業務記述書・RCM例に出てくる統制

入力・処理・出力の3段階で統制を並べる整理は実務の慣行で、実施基準そのものの分類ではありません。ただし実施基準の参考2（業務の流れ図）・参考3（リスクと統制の対応）と本文の例示には、各段階に当てはまる統制が具体的に書かれています。参考2・参考3の卸売販売プロセスの例を中心に、本文の例示も合わせて拾うと次のとおりです。

同じ受注の工程でも、与信超過は「登録条件に適合した注文のみ入力できる」というシステムの制御で防ぎ、入力金額の誤りは出力された出荷指図書と注文書を人が照合して防いでいます。後者は人の確認がシステム出力に依存しているので、実務上はITDMに当たります。RCMを作るときは、1つのリスクに自動の統制と手作業の統制のどちらを当てたのかを欄として分けておくと、評価の手続が決めやすくなります。

監査人が行うITACの運用テストの手順

監査人がITACの運用状況を確かめる手順も、実施基準に具体的に書かれています。統制上の要点ごとに一部の取引を抜き出し、「当該取引に係るシステムへの入力情報とシステムからの出力情報を比較し、予想していた出力情報が得られているかを、例えば、入力データに基づいて、検算を行うこと等により確認する」。整備状況の確認では、システム設計書等を閲覧して「企業の意図した会計処理が行われるシステムが作成されていること」を確かめます。経営者側の評価でも、入力データ・設定値・出力結果の3点を同じ取引で追える証跡を残しておくと、監査人の手続とそのまま噛み合います。

ITGC（IT全般統制）との違いと4領域の評価項目

ITGCはIT基盤単位、ITACはシステム単位という評価単位の差

ITGCは実施基準で「業務処理統制が有効に機能する環境を保証するための統制活動を意味しており、通常、複数の業務処理統制に関係する方針と手続」と定義されます。両者の違いがはっきり出るのは評価単位です。ITGCはIT基盤（ハードウェア、ソフトウェア、ネットワーク等）を単位として構築し、自社開発の販売・購買・物流システムをシステム部が、会計システムを経理部がパッケージで管理している場合は、評価単位を「システム部」と「経理部」の2つとして識別する例が置かれています。一方でITACは「基本的には個々のシステム毎に行う必要があり」と書かれています。ITGCは基盤や管理部門でまとめ、ITACはシステム単位に分解する。この非対称を押さえないと、評価対象一覧の粒度が最初から監査人の想定とずれます。

実施基準が例示するIT全般統制4領域のチェック項目

実施基準に様式としてのチェックリストは付いていませんが、Ⅲ（内部統制監査）には、監査人がITGCの4領域で確認する点が例示されています。社内の点検表はここから作るのが原文に沿ったやり方です。

実施基準は、これらについて「財務諸表監査の実施過程において一定の監査証拠を入手しているのが一般的と考えられ、その場合には、その利用が可能である」とも述べています。監査人は、財務諸表監査で入手したITGCの監査証拠を内部統制監査にも利用できるということです。経営者自身のITGC評価が省けるという意味ではありません。

監査人の側の基準である監査基準報告書315（最終改正2024年9月26日）は、IT全般統制を「IT環境の継続的かつ適切な運用を支援する企業のITプロセスに係る内部統制」と定義し、ITプロセスを「IT環境へのアクセスの管理、プログラムの変更又はIT環境に対する変更の管理及びIT業務の管理」の3つとしています。アクセスの管理は安全性の確保、変更の管理は開発・変更・保守、IT業務の管理は運用・管理におおむね対応します。外部委託に関する契約の管理には直接の対応がなく、監基報315付録5は、ITサービスプロバイダの活動に対する内部統制も考慮してIT全般統制を識別する、という書き方をしています。監査法人の調書がこの3分類で書かれていても、実施基準の4領域と突き合わせて読めます。

ITGCとITACの両方に出てくる「アクセス管理」の切り分け

ITGC側は「内外からのアクセス管理などシステムの安全性の確保」、ITAC側は「システムの利用に関する認証、操作範囲の限定などアクセスの管理」です。ITGCのアクセス管理は、プログラムやデータそのものへの不正使用・改竄・破壊を防ぐ層を指します。ITACのアクセス管理は、業務アプリケーション上で誰がどの操作をできるかという業務側の権限設定で、単価マスタを更新できるのは誰か、与信限度の解除ができるのは誰か、といった粒度です。業務権限の不備をITGCの不備として扱うと、同じIT基盤に載る全システムまで影響範囲を過大に見積もることになります。職務分掌と承認権限の設計は、購買管理規程と内部統制とは？承認権限・職務分掌の設計とシステムでの不正防止を解説で購買プロセスを例に扱っています。

2023年改訂で加わったITGCの有効性に関する留意事項

令和5年4月7日の改訂で、実施基準に次の一文が加わりました。「ITに係る全般統制は、業務処理統制が有効に機能する環境を確保するものであるが、ITに係る全般統制が有効に機能していると評価されたとしても、それだけでITに係る業務処理統制も有効に機能しているという結論に至らない点について留意することが必要である」。言われているのは一方向だけです。逆向きは従来から「全般統制が有効に機能しない場合には、適切な内部統制（業務処理統制）を組み込んだとしても、その有効性が保証されなくなる可能性がある」と可能性として書かれており、ITGCに不備があったときは不備の影響範囲とITACの検証結果を個別に評価します。改訂の全体像は内部統制の評価・実施基準の改訂版とは｜2023年改訂の現行版と基準・実施基準の違いにまとめています。

ITDM（IT依存の手作業統制）の位置づけと評価の順序

実施基準・監基報における「ITDM」の不在と対応する原典表現

ITDMはIT Dependent Manual Controlの略です。前述のとおり実施基準に「ITDM」は現れず、「IT依存」という語も0件で、対応するのは2つの記述です。1つは「この内部統制には、コンピュータ・プログラムに組み込まれて自動化されている内部統制、人手とコンピュータ処理が一体となって機能している内部統制がある」で、後者がITDMに当たります。もう1つはITACの評価の節にある「ITに係る業務処理統制は、多くは自動化されたITに係る業務処理統制であるが、一部、ITシステムに組み込まれていない手作業によるITに係る業務処理統制が存在している場合がある」です。

監基報315も同じ構造をとっています。情報処理統制の定義は「情報のインテグリティ（すなわち、取引及びその他の情報（データ）の網羅性、正確性、正当性）のリスクに直接対応する、企業の情報システムにおけるITアプリケーションの情報処理又は手作業による情報処理に関連した内部統制」で、手作業によるものを最初から含んでいます。つまり日本の基準はITDMを手作業統制の一種として切り出すのではなく、ITに係る業務処理統制の中に手作業のものがある、と整理しています。統制一覧でITDMを単なる手作業統制へ寄せて分類すると、ITに係る統制の評価対象から外れかねません。分類名より、その統制がどのシステム出力に依存しているかを記録に残すほうが、評価手続を決めるときに役立ちます。

なお「ITDM」で検索すると、日立のIT資産・配布管理製品「JP1/IT Desktop Management 2」（略称JP1/ITDM2）も表示されます。内部統制のITDMとは無関係です。

ITDMの具体例と、出力情報を先に確かめる理由

典型例は、システムが出力した与信限度超過リストを与信管理担当者が確認して出荷を止める統制、滞留債権の年齢調べ表をもとに経理担当者が貸倒引当金の対象を判定する統制、月次の仕訳明細を管理者がレビューする統制です。判断は人がしていますが、判断材料はシステムが作っています。リストの抽出条件が誤っていれば、担当者がどれだけ丁寧に見ても統制目的は達成されません。

監査人が企業の出力情報を使うときの要求事項は、監査基準報告書500の第8項にあります。企業が作成した情報を利用する場合には「企業が作成した情報の正確性及び網羅性に関する監査証拠を入手すること」を含めて信頼性を評価しなければならない、とされています。適用指針A49は、承認の有無をテストする母集団が網羅的でなければテスト結果の証明力が弱くなる、と例示しています。ITDMの運用テストで承認印や確認署名だけを見て有効と結論づけるのは、確認の材料になった出力情報の検証を飛ばしていることになります。適用指針A50は、情報の作成と管理に関する内部統制の運用評価手続で正確性・網羅性の証拠を得る方法も挙げています。経営者の評価でも、確認手続の証跡と並べて、出力情報を作る関連ITAC・ITGCの評価結果を参照できるようにしておきます。

逆方向の注意も原文にあります。「自動化されたITに係る業務処理統制であっても過信せずに、内部統制の無効化のリスクを完全に防ぐことは困難であるという視点を持つことが重要である」「電子記録について変更の痕跡が残り難い場合には、内部統制の無効化が生じてもその発見が遅れることがある」。ログが残らない仕組みほど、出力情報の検証を厚くする必要があります。

EUC（エンドユーザー・コンピューティング）とスプレッドシートに依存する統制の扱い

実施基準の本文に「スプレッドシート」「表計算」「EUC」の語は0件で、改訂時の新旧対照表とパブリックコメントへの回答にも見当たりません。直接の手当ては監査人側の監基報315にあり、付録5第14項は、表計算ソフトウェア等のエンドユーザー・コンピューティングのツールは「一般的には（中略）ITアプリケーションとしては識別されない」とし、そのアクセスや変更に対する内部統制が「IT全般統制と同等又は同程度の有効性を持つことはまれである」と述べています。そのため表計算ソフトで集計した資料をもとに人が確認する統制は、自動化されたITACとしてではなく、出力情報に依存する手作業の統制、つまりITDMとして扱います。

同項は代わりに、レポートと抽出元データを照合する内部統制や、数式やマクロを検証する内部統制との組合せを挙げています。この場合に検証対象となるのは、確認者の承認だけではありません。元データの取り込み範囲、計算式と参照範囲、ファイルの版と変更者が、監基報500第8項でいう「正確性及び網羅性」の中身になります。決算の重要な見積りに使う計算シートで計算式の保護も変更履歴も無いなら、そのシートを自動統制として扱わず、毎期の再計算で検証する前提を組むべきです。

ITACの運用評価とサンプル件数25件の適用範囲

実施基準の25件は二項分布・90%の信頼度を前提にした試査の例示

「25件」の出所は実施基準のⅢ（内部統制監査）で、監査人自ら選択したサンプルを用いた試査について述べた箇所の括弧書きです。「例えば、日常反復継続する取引について、統計上の二項分布を前提とすると、90%の信頼度を得るには、評価対象となる統制上の要点ごとに少なくとも25件のサンプルが必要になる」。前提は二項分布で、正規分布ではありません。25件はサンプル件数で、母集団の件数でもありません。参考図3には「反復継続的に発生する定型的な取引等については、サンプル数の低減等が可能」との注記もあります。

許容できる逸脱率は実施基準に書かれていませんが、逆算はできます。25件で逸脱0件なら、90%の信頼度で言える逸脱率の上限は、1から0.1の25乗根（約0.912）を引いた約8.8%です。計算の考え方はベルヌーイ分布と二項分布の違いとは？幾何分布・多項分布との関係と期待値・分散の公式で扱っています。

ITACでサンプル件数・対象期間を減らせる2つの前提

ITACの運用評価に25件をそのまま当てはめる必要はありません。実施基準は「ITを利用した内部統制は一貫した処理を反復継続するため、その整備状況が有効であると評価された場合には、ITに係る全般統制の有効性を前提に、人手による内部統制よりも、例えばサンプル件数を減らし、サンプルの対象期間を短くするなど、一般に運用状況の評価作業を減らすことができる」としています。前提は、整備状況が有効と評価されていることと、ITGCが有効であることの2つです。ITGCの評価が終わる前にITACのサンプルを絞ると前提が崩れるため、評価計画ではITGCのスケジュールを先に固めます。

過年度の評価結果の継続利用と「3年に1回」の出所

自動化されたITACは、過年度に不備なく有効に運用されていると評価された場合、次の3点を確認・評価した結果を記録すれば、その評価結果を継続して利用できます。

• 評価された時点から内部統制が変更されていないこと
• 障害・エラー等の不具合が発生していないこと
• 関連する全般統制が有効に機能していると判断できること

条件は「システム」ではなく「内部統制」が変更されていないことなので、バージョンアップがあっても、変更管理のITGCで評価対象の統制に変更が及ばないことを確かめた記録があれば、継続利用はあり得ます。この取扱いには一定の複数会計期間に一度の頻度で運用テストを行う方法も含まれますが、実施基準は「特定の年数を機械的に適用すべきものではない」と釘を刺しています。

ITGCにも同様の扱いがあり、財務報告の信頼性に特に重要な影響を及ぼす項目を除き、前年度の評価結果が有効で整備状況に重要な変更がない項目は、前年度の運用状況の評価結果を継続して利用できます。2023年の改訂では、ITGC・ITACいずれのこの頻度についても「特定の年数を機械的に適用すべきものではない」ことが明確化されました。

一方で「3年に1回」という数字には出所があります。監査基準報告書330の第13項(2)は、過年度の監査証拠を利用する監査人に対し、変更がない場合でも「少なくとも3年に1回は内部統制の運用評価手続を実施しなければならない」とし、依拠する内部統制の全部をある年度にまとめて評価して2年間何もしない方法は認めていません。特別な検討を必要とするリスクに対する内部統制は、第14項で毎年の評価が求められます。社内規程に「3年に1回」と固定で書くのは、監査人側の要件をそのまま経営者の評価頻度に流用した運用で、実施基準の「機械的に適用すべきものではない」とは噛み合いません。規程には頻度を判断する根拠（変更の有無・不具合・ITGCの評価結果）を毎期記録する手順を書きます。制度全体の枠組みはJ-SOX（内部統制報告制度）とは？対象企業・3点セット・罰則と2023年改訂後の実務を解説で確認できます。

ITAC評価でつまずきやすい論点と実施基準の手当て

パッケージをそのまま使う企業におけるITGC重点の評価

パッケージをそのまま使う企業について、実施基準は監査人の手続として「販売されているパッケージ・ソフトウェアをそのまま利用するような比較的簡易なシステムを有する企業の場合には、ITに係る全般統制に重点を置く必要があることに留意する」と書いています。無改変のパッケージでも、設定値・アクセス権・マスタ・更新の適用は利用企業が管理する部分が残ります。ITACの統制項目を大企業と同じ粒度で並べる前に、自社が管理している範囲を切り分けるのが先です。上場準備で業務システムの入れ替えと内部統制の整備を同時に進める場合は、IPO準備・内部統制システム支援のように、システムの設計段階から統制上の要点を組み込む進め方もあります。

システム更改・データ移行時に確認する項目

更改や移行で問題になるのは、ITGCの開発・変更領域の例示にある「変更前のシステム、ソフトウェアに関する内部統制の整備状況に係る記録が更新されていること」と「データを保管又は移行する場合に、誤謬、不正等を防止する対策が取られていること」の2点です。移行そのものを慎重に進めても、移行後にRCMと評価対象システムの一覧が更新されなければ、過年度の評価結果を継続利用できるかの判定も誤ります。更改のたびに、評価対象システム・統制上の要点・継続利用の可否の3つを突き合わせる手順を運用に入れておきます。

IT業務を外部委託している場合の評価方法

クラウドサービスや運用委託を使う企業では、ITGCの「外部委託に関する契約の管理」が評価対象になります。実施基準は委託業務の有効性の評価方法として2つを挙げています。1つはサンプリングによる検証で、給与計算を例に、委託した給与データの対象人数と受託会社から受領した計算データの件数を企業側で比較し、無作為抽出した一部を検算する手順が示されています。もう1つは、受託会社から評価結果を記載した報告書等を入手し、自らの判断で評価に利用する方法です。後者で使う保証報告書はSOC1レポートとは？Type1・Type2の違いと読み方、ブリッジレターまで実務指針で解説で解説しています。

よくある質問

ITACの読み方と正式名称は？

「アイティーエーシー」と読み、IT Application Controlsの略です。実施基準上の表記は「ITに係る業務処理統制」で、監査基準報告書315では「情報処理統制」が近い用語です。ITGC（IT General Controls）は実施基準で主に「ITに係る全般統制」、監基報315で「IT全般統制」と書かれます。

ITCLC（IT全社的統制）はITAC・ITGCとどう違いますか？

ITCLCはIT Company Level Controlsの略として実務で使われることがある呼び方で、実施基準に「IT全社的統制」という区分はありません。実施基準はITに対する統制活動を全般統制と業務処理統制の2つで整理しています。近い内容は参考1「財務報告に係る全社的な内部統制に関する評価項目の例」の「ITへの対応」欄にあり、ITに関する戦略・計画、手作業とITを用いた統制の利用領域の判断、ITGC・ITACの方針と手続などを経営者が定めているかを問う項目が並びます。ITの管理全体の考え方はITガバナンスとは？システム管理基準の定義とITマネジメント・IT統制との違いで整理しています。

ITACのチェックリストは公表されていますか？

実施基準に汎用のチェックリストは付属していません。代わりに、具体例4項目を「確保されているか」という問いに置き換えた評価の観点（入力情報の完全性・正確性・正当性、エラーデータの修正と再処理、マスタ・データの正確性、認証・操作範囲の限定）が示されています。この4観点をシステム単位に展開し、本文の入力・処理・出力の表のように統制を当てはめて作るのが原文に沿った作り方です。J-SOXとは別の任意のシステム監査の観点は、システム監査とは？2023年改訂の基準12項目と委託先が用意する証跡を解説で扱っています。

RCMにITACはどう記載しますか？

ITACはシステム単位で識別するため、RCMでは対象システム名と統制上の要点を対応させて記載します。実施基準は業務の流れ図の右列にシステムに関する流れの欄を設け、その注記か業務記述書の中で業務処理統制の内容を記述することが考えられる、としています。自動か手作業かの別と、依存しているシステム出力を欄として持たせておくと、ITDMの評価順序を決めやすくなります。

改訂実施基準はいつから適用されますか？

令和6（2024）年4月1日以後開始する事業年度の評価および監査から適用されています。3月決算の会社なら2025年3月期が最初の適用期です。

関連記事

• 内部統制とは？4つの目的・6つの基本的要素とJ-SOX・会社法の違いを解説
• J-SOX（内部統制報告制度）とは？対象企業・3点セット・罰則と2023年改訂後の実務を解説
• 内部統制の評価・実施基準の改訂版とは｜2023年改訂の現行版と基準・実施基準の違い
• SOC1レポートとは？Type1・Type2の違いと読み方、ブリッジレターまで実務指針で解説
• ITガバナンスとは？システム管理基準の定義とITマネジメント・IT統制との違い