これは何か
IT全般統制・監査証跡対応表は、会計や業務に関わるシステムについて、監査で求められる統制（誰が変更を承認したか、誰がアクセスできるか、処理が正しく動いたか、障害にどう対応したか）の項目ごとに、それを示す証跡（記録）がどこに・どの形で・誰の管理で・どれだけの期間残っているかを対応づけた成果物です。
会計に関わるシステムは、「正しく動いている」と言うだけでは足りず、「正しく動いていることを、第三者が記録で確かめられる」必要があります。この考え方は、財務報告の信頼性を支える仕組み（内部統制）の一部として、多くの国と会社で求められています。世界で共有されている考え方では、システムに関わる部分を「IT全般統制」と呼びます。
なぜ作るか
- 監査のたびに「記録を探す」のではなく、統制ごとに証跡の所在が決まっている状態にする
- 統制の抜け（承認の記録がない、アクセスの棚卸しがない）を、監査の前に自分たちで見つける
- 証跡が残らない仕組み（共有アカウント、記録のない手作業）を、設計の段階でなくす
- 監査の指摘を、どの統制のどの証跡の問題かに分解して対応する
誰が使うか・いつ作るか
- 作る人：セキュリティの責任者と、経理業務のリーダー。運用の担当と各システムの開発の取りまとめ役が証跡の所在を提供する
- 使う人：監査に対応する人、運用の担当、変更を承認する人、経営層
- 一般的には、要件定義で統制の要件を決める段階で骨組みを作り、設計・運用の設計で証跡の所在を埋め、稼働の前に監査の担当と読み合わせます
- アステリア案件でどの統制が求められ、証跡がどこに残されたかは、正本に記載がありません。未確定
CASE FACTFROZEN正本に記載されたアステリア案件の事実
統制に関係する記載
- 正式な会計残高・仕訳は FIN-CORE が正本。請求・案件原価は新基幹が正本
- 連携：IF-05 売上仕訳連携、IF-07 原価仕訳連携（新基幹 → 連携基盤 → FIN-CORE）
- システムに SYS-08 認証・ID基盤、SYS-11 監視・ログ基盤 がある
- 成果物に SEC-002 権限設計表、SEC-003 本番特権アクセス管理表、SEC-004 監査ログ要件一覧、PRG-008 変更管理台帳 がある
- P-005 藤本 遥 — 経理業務リーダー、P-012 石井 稔 — セキュリティ責任者
- AIへ最終委任しない事項：投資承認、要件確定、設計承認、セキュリティ例外承認、本番移行承認、Go / No-Go、重大障害判断
アステリア案件で求められた統制の項目、証跡の所在、保存期間、監査の結果は、正本に記載がありません。未確定
主な項目
一般的には、統制の項目 1 件ごとに次を持ちます。
- 統制の領域：変更の管理（誰が何をいつ承認して本番に出したか）、アクセスの管理（誰がどの権限を持ち、定期的に棚卸ししているか）、運用の管理（処理が正しく終わったか、障害にどう対応したか）、外部委託の管理（委託先の作業と権限）
- 統制の内容：何を、誰が、どの頻度で行うか（たとえば「本番への変更は、申請・承認・実施・確認を別の人が行い、記録する」）
- 証跡：統制が行われたことを示す記録。どのシステム・文書に、どの形で残るか
- 所在と取り出し方：どこにあり、誰が、どうやって取り出すか。監査の担当が自分で取り出せるか
- 保存期間：どれだけの期間残すか。法令・監査の要求と合っているか
- 責任者：統制を実施する責任者と、証跡を保全する責任者
- 自己点検：監査の前に自分たちで証跡の有無と内容を確かめる手順と周期
- 指摘と対応：監査で指摘された事項と、対応の状態
CASE FACTFROZEN正本に記載されたアステリア案件の事実
正本にある成果物と統制の領域の対応
- 変更の管理：PRG-008 変更管理台帳、DEV-001 Git・ブランチ運用方針、DEV-003 自動テスト・自動配布構成、AI-003 AI変更実行記録
- アクセスの管理：SEC-002 権限設計表、SEC-003 本番特権アクセス管理表
- 運用の管理：SEC-004 監査ログ要件一覧、OPS-003 運用手順書、OPS-005 障害報告書
- 外部委託の管理：PRG-004 役割・責任分担表、BUS-006 ベンダー評価表
上の対応は、正本にある成果物の名称を統制の領域に並べたもので、アステリア案件で実際にその成果物が証跡として使われたという記載はありません。未確定
教材用サンプル成果物の読み方を学ぶための例
教材用サンプル — 統制と証跡の対応表
この成果物は学習用サンプルです。FROZEN正本に記載されたCASE FACTと、成果物の読み方を学ぶための教材用サンプル値を区別して表示しています。
次の表は、対応表の書き方を学ぶための例です。内容はすべて教材上の架空の例で、アステリア案件の記録ではありません。
| 領域（教材上の例） | 統制の内容 | 証跡 | 所在と取り出し方 | 保存期間 | 責任者 |
|---|---|---|---|---|---|
| 変更の管理 | 本番への変更は、申請者・承認者・実施者を分け、承認後にのみ自動の流れで配布する | 変更管理台帳の記録、合流の承認記録、配布の記録 | 変更管理の仕組みと配布の仕組み。監査の担当が閲覧権限で自分で取り出せる | 7 年 | 開発の責任者 |
| アクセスの管理 | 本番の権限は四半期ごとに棚卸しし、不要な権限を削除する | 棚卸しの一覧と承認、削除の記録 | 認証・ID 基盤の記録と棚卸しの文書 | 7 年 | セキュリティの責任者 |
| 運用の管理 | 会計への仕訳の連携は、件数と金額の一致を毎日確かめ、不一致は経理が承認してから処理する | 連携の処理結果、一致の確認の記録、経理の承認 | 連携基盤の記録と、確認の記録 | 10 年 | 経理業務の責任者 |
| 外部委託の管理 | 委託先の作業者の権限は、契約の期間に限り、終了時に削除する | 権限の付与と削除の記録、契約の期間 | 認証・ID 基盤の記録と契約の管理簿 | 契約終了後 7 年 | 契約の責任者 |
| 点検（教材上の例） | 周期 | 確かめること | 見つかったときの扱い |
|---|---|---|---|
| 変更の記録の抜き取り | 四半期 | 無作為に選んだ変更 10 件について、申請・承認・実施・確認の記録が揃い、人が分かれているか | 揃わない変更は原因を調べ、統制の手順を直す |
| 権限の棚卸しの実施 | 四半期 | 棚卸しが期限内に行われ、削除すべき権限が削除されたか | 未実施なら責任者に報告し、期限を切って実施 |
| 共有アカウントの有無 | 半期 | 複数人で使うアカウントが残っていないか | 残っていれば、個人のアカウントに置き換える計画を立てる |
読み方
- 統制の領域（変更・アクセス・運用・外部委託）がそろい、それぞれに証跡が対応しているか
- 証跡の所在が「担当者に聞く」ではなく、システムや文書の名前で書かれているか
- 保存期間が、法令・監査の要求と合っているか
- 証跡が「人が後から作れる」形でないか（システムが自動で残す記録が優先）
- 自己点検の手順と周期があり、実施の記録が残っているか
書き方
- 監査の担当と、求められる統制の領域と項目を確かめる（会社の内部統制の文書が出発点）
- 統制ごとに、設計と運用の中で「どこに証跡が残るか」を探し、残らない統制を見つける
- 残らない統制は、設計を直す（記録を自動で残す）か、手順を足す（記録を人が残す）
- 所在・取り出し方・保存期間・責任者を埋め、監査の担当と読み合わせる
- 自己点検を定例の運用に組み込む
何を書いてはいけないか
- 「適切に管理している」のような、証跡の所在のない記述
- 担当者の記憶に頼る証跡（「担当が覚えている」は証跡ではない）
- 後から作り直せる証跡だけで統制を示すこと
- 実在の製品名を、案件の正式な採用として書くこと（正本に記載がない）
どこを見るか
- 4 つの領域の網羅
- 証跡の所在の具体性
- 保存期間と要求の整合
- 自動で残る証跡か
- 自己点検の実施記録
赤信号
- 監査の直前に、証跡を探し回っている
- 共有アカウントが残り、「誰が」の証跡が残らない
- 変更の申請者・承認者・実施者が同じ人で、分離の統制が機能していない
- 前回の監査の指摘が、対応されないまま残っている
よくある失敗
- 統制を稼働の直前に考え始め、証跡が残らない設計になっていることに気づく
- 証跡を人が手で作る運用にし、作業が増えて続かなくなる
- 監査の指摘を「監査の都合」と捉え、統制の抜けとして直さない
関係するUnit・成果物・危機演習
- Unit：14-06 監査にどう備えるか、08-04 誰が何をしたか残す、08-03 権限を役割単位で設計する、08-05 開発者は本番データを自由に見てよいのか
- 成果物：SEC-002 権限設計表、SEC-003 本番特権アクセス管理表、SEC-004 監査ログ要件一覧、PRG-008 変更管理台帳、AI-005 AI変更来歴記録
- 危機演習：この成果物を直接の題材にする危機演習はありません
AI WORKFLOW
AIは、統制の項目の一覧と、設計・運用の文書を突き合わせ、証跡の所在が書かれていない統制を見つける下書きに役立ちます。
「次の統制の項目の一覧について、項目ごとに、添付の設計書・運用手順書・台帳の中で証跡に当たる記録の記述を探し、該当する文書名と箇所を示してください。見つからない項目は『所在不明』として示し、証跡を提案したり、統制が機能しているかを評価したりしないでください。」
REVIEW
- AIが「証跡に当たる」とした記述が、本当に統制の実施を示す記録か（手順の説明と、実施の記録は違う）
- 「所在不明」の統制について、設計を直すか手順を足すかを人が決めたか
- 設計・運用の文書を AI に渡してよいか（構成・権限情報の扱い）を事前に確かめたか
人間が判断すること
- どの統制の項目を対象にするか（監査の担当との合意）
- 証跡が残らない統制を、設計で直すか、手順で補うか
- 監査の指摘への対応の優先順位
セキュリティ例外承認は、AIへ最終委任しない事項です（正本の方針）。
いつ使うか
この教材では STAGE 14｜稼働した後が本当のスタート の文脈で扱います。 アステリア案件での正式な作成・使用時期（月）は正本に記載がないため、未確定としています。
最後の問い
この対応表を見た監査の担当は、「この統制が機能していることを示す証跡はどこにあり、誰が、いつから、どの期間分を出せるか」を、担当者に聞かずに答えられますか？