J-SOX・内部統制
EUC（Excel等）統制の評価｜スプレッドシートのリスクと統制の実務
決算や見積りで使うExcel等のスプレッドシートは、J-SOXではEUCとして評価が必要です。内基報1号が示す計算式の検証・代替手段・アクセス制御等の3観点を軸に、EUC台帳、重要度判定、統制設計と評価手続を記入例付きで解説します。
AUDIT THEME
IT監査
ITGC と ITAC、クラウドと SOC 報告書、アクセス管理の監査手順。
IT監査の記事
12 本の記事
IT・サイバー監査
ITGC（IT全般統制）とは？クラウド時代の評価ポイントとSOC報告書の見方
ITGC（IT全般統制）の4領域と、クラウド・SaaS利用時の評価範囲の決め方を解説。SOC1/SOC2報告書の構成、Type1/Type2の違い、例外事項・CUEC・ブリッジレターの確認手順を記入例付きでまとめます。
IT・サイバー監査
ITACとITGCの違い｜自動統制の評価手順と「1件テスト」の根拠
ITAC（IT業務処理統制）とITGC（IT全般統制）の違いを実施基準に沿って整理。自動統制が1件のテストで足りる理由、ITGCとの依存関係、IPE（システム出力帳票）の確認、過年度評価の継続利用の3条件を記入例付きで解説します。
基準・法令
経済産業省のシステム監査基準・システム管理基準｜2023年改訂の要点
経済産業省が2023年4月に改訂した「システム監査基準」と「システム管理基準」の構成と要点を解説。12の基準と監査人の倫理、ITガバナンスとITマネジメントの判断尺度、ガイドラインや追補版との関係、内部監査での使い方まで整理します。
IT・サイバー監査
変更管理の監査手順｜本番移行・緊急変更・職務分掌の確かめ方
IT全般統制の中核である変更管理の監査手順を解説します。母集団を本番環境の記録から作る理由、申請・承認・テスト・移行の証跡の追い方、緊急変更の事後承認、開発者の本番アクセスと職務分掌、SaaSやCI/CDの論点までチェックリスト付きで整理します。
IT・サイバー監査
システム開発・導入プロジェクトの監査｜要件定義から移行判定まで
基幹システム刷新などの開発・導入プロジェクトを内部監査はどう見るか。実施基準が示す開発の留意点を起点に、関与の型と独立性、要件定義・テスト・データ移行・移行判定・稼働後のフェーズ別監査ポイントを表とチェックリストで解説します。
IT・サイバー監査
IT運用管理の監査手順｜バックアップ・ジョブ管理・障害対応
夜間バッチの異常終了や復元できないバックアップは、財務報告にも事業継続にも響きます。実施基準が示す「システムの運用・管理」の留意点を起点に、ジョブ管理・バックアップと復元テスト・障害管理・委託先運用の監査手続を記入例とチェックリストで解説します。
IT・サイバー監査
インシデント対応態勢の監査｜CSIRT・訓練・報告ルートの確認手順
インシデント対応は手順書があっても動くとは限りません。サイバーセキュリティ経営ガイドラインVer3.0、NIST SP 800-61 Rev.3、個人情報保護法の漏えい等報告（速報3〜5日・確報30日）を踏まえ、CSIRT・報告経路・訓練の監査手順を解説。
IT・サイバー監査
脆弱性管理の監査手順｜資産把握・パッチ適用・例外管理の見方
脆弱性管理の監査は「スキャン結果」より先に資産台帳の網羅性を確かめるのが要点です。NIST SP 800-40 Rev.4やCSF 2.0、ISO/IEC 27001の管理策を手がかりに、優先度判断、パッチ期限、例外管理の評価手順と調書の記入例を解説します。
IT・サイバー監査
アクセス管理の監査手順｜特権ID・棚卸・退職者アカウントの確認方法
IT全般統制の中核であるアクセス管理の監査手順を解説。退職者アカウントの全件突合、特権IDの貸出・ログレビュー、アクセス権棚卸の精度確認、SaaS・SSO環境での注意点まで、調書の記入例とチェックリスト付きでまとめます。
IT・サイバー監査
サイバーセキュリティ監査の進め方｜NIST CSF 2.0で評価する手順
NIST CSF 2.0（2024年2月公表）の6機能・22カテゴリ・106サブカテゴリを内部監査に使う方法を解説。スコープ設定、機能別の監査手続と証拠、Tierとギャップ評価、ITGCとの対応表まで記入例付きで紹介します。
実務テンプレート
【テンプレート】IT全般統制（ITGC）監査チェックリスト｜記入例付き
IT全般統制（ITGC）の監査チェックリストを、アクセス管理・変更管理・運用管理・システム開発・外部委託の5領域で公開。対象システム一覧の作り方、記入例、SaaSとSOC報告書の扱い、よくある記入ミスと運用のコツを解説します。