Tweet

内部統制で有用なログの活用術

鈴木 英夫

2009/2/10

前のページ｜1　2　3｜第14回

IT全般統制の例として：
変更管理における「ログを活用した内部統制」

　一方、ITシステムにおける変更管理（Change Management）は、通常、要求仕様についての変更要求について影響を正しく把握し、計画を立て、変更作業を実施し、結果を確認する、という一連の作業を管理し、ソフトウェアの信頼性・整合性を確保することをいいます。

　その変更管理において「ログを活用することにより適切なモニタリングを行うこと」は、重要なIT全般統制の例といえましょう。

　それにより、以下の効果を得ることができます。

• そのシステムを作る担当者に大きな過失がないことを保証すること
• デザインがユーザー部署の意図にかなっていることを確認できること
• 当事者以外の部門がモニタリングを行うことができること

　3番目のポイントは発見的コントロールですが、当事者以外の部門がモニタリングしていることで、不正などのリスクに対する抑止的効果があります。

　変更管理とそのモニタリングのプロセスとしては、

1. リスクを特定する
2. 「何のためのコントロールであるか」を定義する
3. Change management systemやMaster data monitoringをデザインする
4. システムにそれらを組み込む
5. そして、内部監査部門など第三者部門がモニタリングする

　この前提としては、職務分掌があることです。

　変更管理については、近年ITILそのほかで定義がされていますが、ここでは「ログを追うことで重要な統制活動となる」ことを繰り返しておきます。

■付加価値増大へのヒントと費用対効果

　内部統制におけるログの活用については、IT部門側だけでなく、監査部門側で付加価値を付けて、会社なりの使い方をする工夫が大切です。

　費用対効果の観点からは、「重大なリスクのみをカバーするようにすること」がキーになります。すなわち、アプリケーションが重くなり過ぎないようにする必要があります。

　例えば、ベンダマスタ、カスタマーマスタ、プライスマスタには必要ですが、細かいマテリアルマスタには不要でしょう。社員マスタはなかなか監査部門で触れることができないかもしれません。職務的権限については、「相互で利益相反する権限が、1人の人に付与されていないか」もログでモニタリングできます。

◇

　ログの取得と管理は、発見的統制などの社内的な活動を通じて、財務報告業務のみならず、あらゆる業務における不正や不完全な処理を、発見・防止することができます。

　ITシステムの業務プロセスにおいては、さまざまな内部統制の仕組みが組み込まれつつあります。そして、さらにログを活用した内部統制を整備することにより、IT部門の業務の信頼性向上にも寄与し、監査部門では抑止作用を通じて効果的な不正防止機能を発揮することが期待されています。

「日本版SOX法＆コンプライアンス」コーナーTOPへ

前のページ｜1　2　3｜第14回

	Page1 そもそも、内部統制とは？ ではログとは何だろうか？
	Page2 ITにかかわる内部統制が担保すべきリスク ログに対する管理運営
	Page3 IT全般統制の例として：変更管理における「ログを活用した内部統制」

＠IT情報マネジメント メールマガジン　情報マネージャのための情報源（無料）