J-SOXにおけるIT全般統制（ITGC）：監査人が実際に何を求めるか（2026年版）

J-SOXシリーズの一部です。J-SOXの第6の構成要素は「ITへの対応」——IT全般統制はその構成要素が機能するかどうかの核心です。

J-SOXのスコープに入った組織のITチームが最初に受け取るのは、「IT全般統制」という言葉と、それが何を意味するかわからないまま証跡を求められるという状況です。そして始まる混乱。これは避けられます。ITGCは神秘的なものではありません——有能なセキュリティ・運用チームなら本来持っているべきコントロールを、形式化して証跡を取り、テストするものです。

私はCISSP・CCSP保有の情報セキュリティ実務者として、J-SOXの場では常にIT側の席に座っています。監査人が実際に何を求めているかの実務的な視点をお伝えします。

ITGCとは何か、なぜJ-SOXはそれを重視するか

J-SOXが**「ITへの対応」を内部統制の明示的な第6の構成要素**として位置付けているのは珍しいことです。論理は反論の余地がありません——財務データはシステムで生成・変換・保管されるのだから、数字の信頼性はシステムとその周辺コントロールの信頼性に依存する。

IT全般統制は、その環境に対する基盤的なコントロールです——特定のシステムの内部に存在するアプリケーションコントロールとは区別されます。ITGCはITインフラ全体に及びます——IT組織と運用、そしてITアウトソーサーの管理を含みます（日本版SOXにおけるITコントロールの分析）。ITGCが弱ければ、その上に乗るアプリケーションコントロールにも監査人は依拠できません——スタック全体が疑問符に晒されます。

監査人がテストする4つのITGC領域

SOX型の制度全般で、ITGCは4つの領域に集約されます。それぞれで質問が来ることを想定してください。

2023年のJ-SOX改正はITコントロール要件を強化しており、証跡の水準は上がっています。

セキュリティ設計の読み方——ここが私の世界と監査の交差点

セキュリティ担当者として正直に言うと、このあたりは腑に落ちる話です——J-SOXのITコントロールは、セキュリティの観点から設計する場合とほぼ一言一句同じです。

• プログラムとデータへのアクセスは最小権限の原則に「財務報告」というラベルを貼ったものです。監査人が求めるアクセスレビューは、私が求めるアクセスレビューと同じです。
• 変更管理は完全性のコントロールです。管理されていない変更が財務報告の信頼性を損なうのは、それがセキュリティを損なうのと同じ理由によります——現在の状態を説明できないシステムは信頼できません。
• コンピュータ運用は測定です。バックアップ、ジョブログ、インシデント処理——「測定できなければ管理できない」は監査においても変わりません。

だからこそ、ITGCを「監査のための税金」として扱うのをやめるよう現場に伝えています。防御可能な環境を作るためにコントロールを構築してください——J-SOXの証跡はその副産物として得られるものであって、別の負担ではありません。

耐故障の原則は証跡そのものにも当てはまります——監査人がテストするのはコントロールが「存在した」かどうかではなく、1年を通じて「一貫して運用された」かどうかです。1月には機能していて6月には消えていたコントロールはテストに失敗します。誰かが思い出さなくても証跡が自動的に生成されるよう設計してください。

J-SOXスコープのための実務ITGCチェックリスト

• アクセス管理： 定期的なアクセスレビュー、文書化されたロール定義、職務分掌の強制、退職者の即時削除——すべてログに残す。
• 変更管理： すべての本番変更にチケット・承認・テスト記録・開発本番分離がある。
• 開発・移行： 新規システムとデータ移行にサインオフと検証の証跡がある。
• 運用管理： バックアップが実行・検証されている；ジョブとインシデントがログに残っている；例外がフォローアップされている。
• アウトソーサー管理： ITサービスプロバイダーのコントロールをカバーしている（多くの場合はSOC 1レポートによる——クラウド詳細記事参照）。
• 証跡の設計： コントロールが繰り返し可能な証跡を自動的に生成し、年度末の後付けに頼らない。

参考文献

• An analysis of IT Controls’ role in Japanese SOX （VARINDIA, 2026-06-11 確認）
• J-SOX: Japan’s Sarbanes-Oxley equivalent （EisnerAmper, 2026-06-11 確認）
• J-SOX internal control documentation for listed companies （TeamBench, 2026-06-11 確認）