内部統制の評価及び監査の実施基準草案

以前、BLOGの中で触れていたが、ほぼ最終案として上がってきた。
(http://d.hatena.ne.jp/hate666komei/20061107)
多分、金融庁が11/21発表したこの草案がほぼそのまま通りそう。
http://www.fsa.go.jp/news/18/singi/20061121-2.html
ページが消えたり、わからなくなった場合の自分用バックアップ。
気になるのは基幹システム等がどう対応すべきかというところ。いろんなセミナーに出てみたが、この金融庁の草案資料のほうが実はずっとわかりやすい。
例えば、

ＩＴに係る全般統制の具体例としては、以下のような項目が挙げられる。
・ ＩＴの開発、保守に係る管理
・ システムの運用・管理
・ 内外からのアクセス管理などシステムの安全性の確保
・ 外部委託に関する契約の管理
ＩＴを利用した情報システムにおいては、一旦適切な内部統制（業務処理統制）を組み込めば、意図的に手を加えない限り継続して機能する性質を有しているが、例えば、その後のシステムの変更の段階で必要な内部統制が組み込まれなかったり、プログラムに不正な改ざんや不正なアクセスが行われるなど、全般統制が有効に機能しない場合には、適切な内部統制（業務処理統制）を組み込んだとしても、その有効性が保証されなくなる可能性がある。
こうした問題に対応していくためには、例えば、
① システムの開発又は変更に際して、当該システムの開発又は変更が既存のシステムと整合性を保っていることを十分に検討するとともに、開発・変更の過程等の記録を適切に保存する
② プログラムの不正な使用、改ざん等を防止するために、システムへのアクセス管理に関して適切な対策を講じる
など、全般的な統制活動を適切に整備することが重要となる。

などと、結構細かく書いてあるので、この資料だけで十分理解できる。
また、業務フローなどの資料もつくらなければいけないのだが、これも例がある

多分、既存にある業務フロー図でOKか、多少見やすいよう手を加えればOK。

全部で96Pぐらいなので、関係する人たちは目を通しておくべき。

• MEMO(29409)