内部統制で有用なログの活用術：SOX法コンサルタントの憂い（13）（2/3 ページ）

日本版SOX法対応監査が最終段階に迫っているいま、内部統制対応の強化に取り組む企業は多い。その内部統制対策に、従来セキュリティなどで用いられることの多かった“ログ”が非常に有効だ。今回は、内部統制におけるログの活用方法について説明する。

[鈴木英夫，＠IT] PC用表示

LINE

Hatena

ITにかかわる内部統制が担保すべきリスク

　さて、IT分野について、内部統制が防止あるいは発見しなければならないイベントあるいはリスクと呼ばれるものは何でしょうか？

　ITシステムならびに、その業務にかかわるリスクを例示してみましょう。

　などなど。たくさんありますね。しかし、これらは起こっては困る事柄ばかりです。

　これらのリスクは、ログを取りそれを有効に管理する（これも内部統制です）ことで予防または発見することができるのです。

　さて、一般的にログについては、下記のような管理活動が行われています。

　まず重要なことは、ログごとにユーザーサイドのひも付きががあることを確認します。「どのユーザーが行った処理なのか？」が特定できないと、追跡できないからです。

　例えば、「同じIDで3人の担当者がアクセスしている」というような場合にはユーザーの特定ができません。

　さらに、関係者ごとの職務の分担が必要です。その区分は、

開発者＝システムを作る。自分たちでログを読むのはシステムトラブル解消の目的のための原因追跡のとき
ユーザー＝マスタデータの中身はすべてユーザーが入力する。IT部門では中身は動かせないことを基本とする
IT部門の中、あるいは外に第三者的なログモニタを置く＝その役割はログを見て監視している。不正なアクセスとか、権限外の入力や書き換えなどがないかどうか、など日常的なモニタリングを行う。この日常的モニタリングは、内部統制の重要な要素です
監査部門＝内部統制の有効性の評価、そのほかの監査のためにログを活用する

　という区分がしっかりできていることが必要です。

　さて、ログを使ったIT業務処理統制の例を示しておきます。

　この統制の目的は、「すべての支払いに正当な申請書があるか」をチェックすることにあります。発見的統制ですが、それを経理部門あるいは監査部門がやっていることにより、社内で不正をやりにくく抑止する作用があります。

　例えば、「業者マスタの変更履歴ログ」に関連する支払いからサンプルを1月に50件取り、支払システムの次のような項目を選び出し、「裏付けがあるか」「正当なものか」をチェックします。項目としては、

*** 一部省略されたコンテンツがあります。PC版でご覧ください。 ***

　以上をシステムから取ってきています。これらの項目が「支払いに対するマスタデータモニタリング」のために必要となります。

*** 一部省略されたコンテンツがあります。PC版でご覧ください。 ***

　この3つは前述のデータから読み替えて打ち出します。

*** 一部省略されたコンテンツがあります。PC版でご覧ください。 ***

　これら3つはマニュアルで確認します。

　この例では、マスタデータのログでシステム上追跡しているものは、上記のように、かなりの内容までが取れるようになっています。この活動により、不正な支払いはできにくくなります。

　このような、ログモニタリングは重要なプロセスに対して行います。その対象となるようなIT業務処理におけるハイリスク項目の例は以下のようなものです。