内部統制(IT全般統制)何から取り組むべきか?-COBIT、ITILⓇの活用-
サン・マイクロシステムズ株式会社
サービスビジネス統括本部
木田 律子氏
http://www.itcomp.jp/a/article.aspx?aid=244
アクセス管理、ログ管理、セキュリティ、アイデンティティ管理・・・内部統制ソリューションという名のもとに、多種多様のプロダクトが出てきている。そのような中で何から導入していけばいいのか?本セッションでは、「内部統制」の中でもIT全般統制にフォーカスを当て、効率的な内部統制整備のためのCOBIT、ITIL活用術が紹介された。
--------------------------------------------------------------------------------
効率的な内部統制の3つのキーワード―自動化・集中化・標準化
サンは米国SOX法の対象企業である。日本法人も、子会社ということで米国SOX法対応のための整備を進めてきた。米国SOX法対応を振り返り、「大変厳しいものだった」と語るのはサン・マイクロシステムズ株式会社 サービスビジネス統括本部の木田律子氏。その経験から、「大変な思いをしたが、文書の整備はあくまで一時的な苦労で、本当に大変なのは、文書化されたものを統制していくこと」に気づいたという。その結果、サンでは、効果的・効率的な内部統制のために、「予防的統制・自動化統制」「自動化(作業負荷削減)・集中化(管理対象削減) ・標準化(複雑性・属人性の排除)」という2つの方針を打ち出した。
まず、限られた予算とリソースの中、効率的に取り組むための重要な視点として、木田氏は「全体最適化」を挙げる。木田氏は「全体を見ないとバランスを欠いた一点豪華主義になってしまったり、あとから強化が必要な統制が判明しても予算が続かず放置されたままになるなど、統制にばらつきがでてきてしまう」と警鐘を鳴らす。「内部統制を整備するということは、一部分だけを整備しても他に穴があいているとそこに漏れが出てくる」からだ。そこで、IT全般統制適用範囲全体を見渡し、整備状況を評価したうえで、整備が必要な箇所を特定し、重要度の高いものから優先度をつけることが重要となってくる。
サンのITでの標準/規格の実際の適用
それでは、「全体最適化」とは、具体的にどのように行っていけばよいのか。サンではITについては、「COBIT」を使用している。COBIT(Control Objectives for Information and related Technology)はITガバナンスのフレームワークの業界標準である。経営者、IT管理者、監査人に対してわかりやすいITコントロールフレームワークを提供することを目的として作成された。まず、ビジネスありきであり、ビジネス目標とIT 目標とを関連付け、各目標の達成度を測定するための測定基準と成熟度モデルを提供し、それらに関するビジネスプロセスオーナとIT プロセスオーナの責務を特定する。ITガバナンスでやらなければいけないこと(=What : 何をコントロール対象とするか)が網羅されているのが特徴だ。これに加え、実際の運用(How : どのようにコントロールするか)については、ITILⓇ(運用管理)、CMM(開発管理)、Prince2(プロジェクト管理)等を利用することで、整合性のとれたITへの対応が可能になるという。
木田氏は、COBITフレームワークの3つの構成要素について解説。内部統制のフレームワークであるCOSOとの違いについて、「COSOは、ITにかかわらず内部統制全般に関するフレームワークであるのに対し、COBITは、『【ITプロセス:削除】ビジネス要件を満たす為にIT資源をどのように活用するか』という視点にたったフレームワークである」と語る。
引き続き木田氏は、SOXに特化したIT統制目標をまとめた「COBIT for SOX」について解説。COBIT for SOX では、SOX遵守のための12のIT統制目標が定義されている。COBIT活用の意義について、木田氏は「信頼性」「網羅性」「数値評価が可能であること」「経済性」「グローバル・スタンダード」「利便性」を挙げる。
サンでは、COBIT for SOXベースでアセスメントを実施、改善案と共にサービスとして提供しているという。さらにこれに加え、実際の運用についてITILを活用していくことで、IT全般統制整備が効率的に進めることができるという。
内部統制とIT、メインテーマは運用管理
IT全般統制について木田氏は「中核を担うのは運用部門」と断言する。しかし、「ITの運用部門というのは、非常に属人性が高い」という。その上で、内部統制のとれた運用管理のために必要なポイントとして、木田氏が挙げるのが、「業務が複数の担当者で連携して実施され、相互チェックされている」「業務内容が明確であり、人の移動(職務の変更)が可能である」「監査記録として提出できる詳細な業務実施記録が残されている」の3つだ。これらの課題は言いかえれば「属人性をいかに排除していくか」(木田氏)という問題であるという。
これを踏まえ、木田氏は、運用プロセスのベスト・プラクティスであるITILⓇサービス・サポートの、インシデント管理、問題管理、変更管理、構成管理の各プロセスをまず構築することと、その運用をサポートするサービスデスクツールをあわせて導入することを強く薦める。サンのITILサービスの目的は企業における運用管理の負荷軽減を支援することにあるという。
内部統制整備はプロセス整備
「内部統制ソリューション」としてツールの導入を提案するものが世の中に多く出回っているが、「内部統制整備とは、ツール導入ではなく、人の介在するプロセスをいかに簡略化するかということ」であると木田氏は強調する。あくまで人の動きを支援するものとして、ツールの導入を薦めるのがサンの強みといえるだろう。
最後に木田氏は、「本社・本部からのIT統制整備指示・状況の問い合わせや、会計監査法人からのヒアリング、有識者のコメントにおける法の解釈の違いなどに振り回されることなく、ITとしての一貫した説明責任を果たしていってほしい」と結んだ。
スポンサードリンク