富士通のミドルウェアが支援する「内部統制」4つのテーマ

実際に、富士通がこれまで支援したきたお客様の多くが、ITにかかわる不備指摘事項に対する改善を必要としている傾向にあります。改善にあたっては、その対応をより効率よく、より正確に実施できるようにするために、ITツールの適用を含めた情報システムの変更を検討していくことになるでしょう。

IT全般統制の主な評価項目には、表1のようなものがあります。この評価項目について、仕組みが有効でない、あるいは期待通りに運用されていない場合は、整備が必要となります。

事前監査などを実施している企業でも、改善を必要とする不備が多数発見されています。具体的な数は企業の業務形態や統制活動の実施状況によって異なりますが（図2）、IT全般統制にかかわるものだけで100件を超す事例もあります。

改善の順番としては重要度の高いものから始めるのが一般的ですが、統制強化による業務の効率化やコストへの影響も考慮する必要があります。日本版SOX法への対応が企業価値向上へつながるようにするためにも、改善項目全体を把握し、中長期的な視野で取り組むことが必要です。短期的には、セキュリティ関連など影響範囲が狭く特定しやすく、かつ優先度の高いものから着手し、計画を立てながら複数年で最適化を目指す方法が現実的でしょう（図3）。

よくある不備改善対応のポイント

優先順位の高い不備指摘事項に対して、ポイントを紹介しましょう。

（1）セキュリティ管理

まず、一般利用者の統制のためには、ID管理が最優先課題となります。ID管理はアクセス管理など全てのセキュリティ対策のベースとなるためです。多くの企業では、IDの棚卸しができていないために、退職者のIDが削除されていなかったり、人事異動が反映されずに残っているケースが存在します。IDをできるだけ統合し、ITの仕組みで管理することが必要です。さらには人事マスターと連動させることで、棚卸しも不要となります。

次にシステム管理者の統制のためには、ログ管理が重要になります。管理者の作業内容をログとして残すことで、第三者による“正しさ”の確認ができるようになります。ただ、膨大な量のログを取得してもレビューできなければ意味がありません。システム管理上、あるいはセキュリティ運営上、最も重要なログに範囲を絞って取得することが、確実なレビューを行うためのポイントとなります。

さらに、システム管理者に与えるrootやAdministratorなどの最高権限のIDについては注意が必要です。ログの改ざんも可能となってしまうからです。統制の観点からは、システム管理者に一律に最高権限のIDを与えるのではなく、役割ごとにIDを分けることが望まれます。

（2）バックアップ管理・ジョブ管理

データの整合性を保証する上で、バックアップは欠くことのできない処理となります。ここでのポイントは、“運用の自動化”です。管理者のセンスやノウハウに頼って運用していると、どうしても漏れが発生します。
バックアップ管理に必要なのは、

1. 間違いなく実施すること
2. 実施したことを後から確認できること

になります。そのため、運用の自動化とその結果の記録ができるジョブ管理ツールが有効です。

（3）変更管理

システム構成が勝手に変更されることのリスクを回避するため、IT全般統制では、

1. システムの変更管理のルールを決めて、責任者が承認すること
2. 状況を管理・把握すること

が求められています。従来のように紙ベースで回す運用では、押印により承認を行うことはできますが、状況を常に把握していたり、後から確認したり証拠として提示することなどが非常に困難です。そのため、変更管理ツールが有効となります。

（4）資産管理

資産保全の観点から、保有しているハード・ソフト資産を把握していることが求められます。そのためには、まず、現状の保有資産を明確にして棚卸しを定期的に行うとともに、途中で資産の変更があった場合には情報の最新化がタイムリーに実施されることが必要です。このような資産情報の把握や変更情報の更新・管理を人手で行うにはたいへんな労力を必要とするため、IT資産管理ツールなどを活用して効率的に管理することをおすすめします。

内部統制強化支援ソリューション「Internal Eyes」の提供

富士通は、お客様の内部統制強化に貢献するために、ITを支えるハードウェア・ソフトウェアから、コンサルティング、教育・研修サービスまで、豊富なITソリューションを用意しています。「Internal Eyes」は、富士通の内部統制強化支援ソリューションの総称です。

これまで富士通が培ってきた様々なノウハウをもとに、内部統制の整備のために必要となる要件において、ITソリューションが支援できることを抽出しました。これを、80を超えるIT機能要件にブレークダウンし、社内基準として設けております。Internal Eyesは、この基準に照らして、各ITソリューションが、内部統制上のどのリスクに対するコントロールとして、どのように有効であるかを明確にしてお客様に提供するものです。統合運用管理ソフトウェア「Systemwalker」は、Internal Eyesにおいて、IT全般統制の重要な部分を担っています。

今回は内部統制（その中でも特にIT全般統制）の概要についてご紹介しました。次回からはそれぞれのテーマについて、富士通のミドルウェアとの関連を含めて詳しく取り上げていきます。