IPO監査で指摘されやすい“IT全般統制の落とし穴”

「そのままでは通らない」、IT全般統制領域の盲点とは？

IPO準備においては、「経理」や「事業計画」に注目が集まりがちですが、実はIT全般統制も上場審査・監査における大きなハードルの一つです。CTOやCIOの方々のなかには、「今時、内部統制なんてシステム任せで問題ない」とお考えの方もいらっしゃるかもしれませんが、それは大きな落とし穴となり得ます。とくに、以下のような項目は、審査・監査において高い確率でチェックされます。

上場審査・監査では、「誰が、どのシステムに対し、どのレベルの権限を持っているか」が詳細に確認されます。
よく見られる問題としては、以下のようなケースがあります。

• 退職者や異動者のIDが削除されずに残っている
• 開発者が本番環境に自由にアクセスできる
• 取締役などの役員が管理者権限を保持している
• 共有IDが運用されている

監査法人からは、「権限の付与・変更・削除に関するルールが整備されているか」「整備された権限のルールは適切な職務分掌となっているか」「定期的な棚卸しが実施されているか」「申請・承認の証跡が残っているか」といった点が問われます。とくにSaaSの導入が進んでいる企業では、複数のシステムが乱立し、管理が煩雑になりがちであるため、注意が必要です。

開発環境から本番環境への移行プロセスが曖昧で記録も残っていない場合、監査対応で大きな問題となります。たとえ「開発者がコードをGitHubにプッシュし、自動テストを経て本番環境にリリースされる」といったCI/CD体制が整っていても、「誰が、いつ、何を」本番環境にリリースしたのかが明確でなければ、統制が効いていないと判断される可能性があります。CTOには、「スピード感を重視した開発体制」と「内部統制の要請」との両立が求められます。