この記事で分かること

  • ITGC（IT全般統制）とITAC（IT業務処理統制）の定義と区分の考え方
  • ITGCがITACの信頼性の基盤になるという評価上の重要な関係
  • サンプリング検証の整数設例と、許容逸脱率を超えた場合の対応
  • J-SOXでのITGC評価範囲の広がり（2026年8月時点）

30秒で分かる定義

ITGC（IT General Controls、IT全般統制）とITAC（IT Application Controls、IT業務処理統制、あわせて読み方：あいてぃーぜんぱんとうせいとあいてぃーぎょうむしょりとうせい）とは、内部統制報告制度（J-SOX）においてシステムに関する統制を2つの階層に区分する考え方です。ITGCはアクセス管理・変更管理・システム運用管理など、システム全体に横断的に関わる統制を指し、ITACは特定の業務アプリケーションに組み込まれた個別の統制（自動照合・計算ロジック・入力チェック等）を指します。

なぜ実務で重要なのか

内部統制評価担当・経営企画は、J-SOXの評価範囲を決める際にITGC・ITACをどこまで評価対象にするかを設計します。内部監査・外部監査は、ITACの自動化された統制に依拠して監査手続を効率化する前提として、まずITGCの有効性を確認します。システム部門（情報システム部）は、ITGCの実質的な運用主体として、アクセス権限の棚卸しや変更管理プロセスの証跡整備を担います。ERP導入・クラウド移行プロジェクトの担当者は、システム更改のたびにITGC・ITACの評価範囲がどう変わるかを検討する必要があります。

仕組み：ITGCとITACの関係

区分対象具体例
ITGC（IT全般統制）システム全体に横断的に関わる統制アクセス管理（ID発行・権限変更・退職者削除）、プログラム変更管理、システム運用・障害対応
ITAC（IT業務処理統制）個別業務アプリケーションに組み込まれた統制自動3点照合、承認金額の上限による自動エラー化、計算ロジックの自動検証

両者の関係で最も重要な点は、ITGCが有効に機能していなければ、ITACの信頼性そのものが揺らぐということです。ITAC自体のロジックが正しくても、プログラムを不正・誤って変更できる状態（変更管理統制の不備）や、権限のない者がデータを直接書き換えられる状態（アクセス管理の不備）があれば、自動化された統制は容易に無効化されます。そのためJ-SOXの評価では、まずITGCの有効性を確認したうえでITACへの依拠可否を判断する順序になります。

整数設例で確認する

設例（架空数値）。ITGCのうち「アクセス権限の変更管理」について、年間のアクセス権限変更申請500件を母集団とし、監査人が25件をサンプル抽出して統制の運用状況を検証したとします。許容逸脱率（トレラブル・レート）は5%と設定されていました。

検証の結果、25件中2件で「異動・退職に伴う権限削除が規定期限内に行われていない」という逸脱が発見されました。逸脱率 ＝ 2 ÷ 25 × 100 ＝ 8%となり、許容逸脱率5%を上回っています。この場合、当該統制は「サンプル結果に基づく限り有効に運用されているとは言えない」と判定され、母集団を追加でサンプリングするか、代替統制（補完的な棚卸し等）の有無を確認するか、不備の程度（重要な不備に至るか）を評価する追加手続が必要になります。

開示・規制上の位置付け

ITGC・ITACの評価結果は、内部統制報告制度（J-SOX）における業務プロセスに係る内部統制評価の一部を構成します。ITGCに重要な不備があると判定された場合、そのITGCが支えているITAC全般への依拠が困難になり、影響範囲が広がりやすいという特徴があります。したがって評価計画上は、ITGCの不備は個別のITACの不備よりも波及的な影響を及ぼしやすいものとして重点的に扱われます。財務諸表の信頼性の基盤という観点では財務三表のつながりを支えるバックエンドの統制と位置づけられます。

実務での確認手順

ITGC・ITACの評価は、次の手順で進めるのが一般的です。

  • アクセス管理：ID発行・権限変更・退職者アカウント削除の申請記録から母集団を特定し、統計的サンプリングまたはリスクベースの件数で検証する
  • 変更管理：本番環境へのプログラム変更が、テスト・承認を経て適切に反映されているかを変更管理台帳と照合する
  • ITAC：自動計算・自動照合のロジックについて、期待される結果と実際の処理結果を突き合わせるウォークスルーテストを実施する

内部統制報告書はEDINETで有報とあわせて提出され、監査法人の内部統制監査報告書の記載内容とも整合させる必要があります。有価証券報告書の読み方もあわせて確認してください。

この用語を実務で「使える」状態にする

J-SOXの評価範囲設計とITGC・ITACのサンプリング検証を実務レベルで理解する。

会計・内部統制の教材を見る →

実務家が確認するポイントとよくある誤解

誤解1：「ITACさえ正しく設計されていればITGCは重要ではない」→ 正しくは、ITGCが不備だとITACの信頼性が根底から崩れます。プログラムを勝手に書き換えられる、権限のない担当者がデータを直接修正できる状況では、ITACのロジックが正しくても意味を持ちません。

誤解2：「クラウドサービスを使えばITGCの評価は不要」→ 正しくは、クラウド事業者側の統制（受託業務に係る内部統制の保証報告書等）と自社側の統制（利用者側の権限管理等）の両方を評価する必要があります。責任分界点を明確にしないまま「ベンダー任せ」にするのは典型的な不備です。

実務家はさらに、ERPやクラウドサービスへの移行時にITGC・ITACの評価範囲がどう再定義されたか、移行期特有の暫定的なアクセス権限が放置されていないかを確認します。

日本実務での扱い（2026年8月時点）

J-SOX（内部統制報告制度）の実施基準では、IT統制をITGCとITACに区分して評価する考え方が示されています。近年はERP導入・基幹システムのクラウド化が進み、アクセス管理やAPI連携の増加により、ITGCの評価範囲が従来の社内サーバー中心の想定から広がっています。SaaS型サービスを利用する場合は、受託会社の内部統制に関する保証報告書（いわゆるSOCレポートに相当する枠組み）を入手し、自社統制と組み合わせて評価する実務が定着しつつあります（2026年8月時点）。

面接・モデルテストで問われるポイント

Q：ITGCとITACの違いと、両者の評価上の関係を説明してください。
「ITGCはアクセス管理・変更管理・運用管理などシステム全体に関わる統制で、ITACは個別の業務アプリケーションに組み込まれた統制です。ITGCが有効でなければ、いくらITACのロジックが正しくてもプログラムの不正な書き換えや不正アクセスによって無効化され得るため、評価はまずITGCの有効性を確認したうえでITACへの依拠可否を判断する順序で進めます。」

深掘りでは「クラウドサービス利用時のITGC評価の考え方」「ITGCに重要な不備があった場合、依拠していたITACの評価はどうなるか」が問われます。

よくある質問（FAQ）

Q. ITGCの評価対象にはどんな項目がありますか？
A. 代表的にはアクセス管理（ID発行・権限変更・退職者削除）、プログラム変更管理、システム運用・障害対応の3領域があり、これらがシステム全体の信頼性を支える基盤統制とされます。

Q. サンプルで逸脱が見つかったら必ず「重要な不備」になりますか？
A. いいえ。逸脱が発見された場合でも、影響範囲・代替統制の有無・金額的重要性を総合的に評価したうえで、不備の程度（軽微な不備か、開示すべき重要な不備か）を判定します。逸脱＝即重要な不備ではありません。

出典・参考（2026-08確認）

※本記事は教育目的の一般的な解説であり、法務・税務・投資助言ではありません。設例は理解のための架空数値です。

共有: