コラムカテゴリー：内部統制
2008年4月以降開始の会計年度から適用された日本版SOX（J-SOX)の対応では多くの企業がJ-SOX対応のサービスやシステムを導入し、会計士やコンサルタントとともに社内IT統制の整備・強化を図りました。導入当初は専門家に頼りっきりであったIT統制の整備も現在では自社社員により対応が出来るようになってきました。
しかし、ここ数年自社の業務監査や外部監査でIT統制について指摘をされるという話をよく聞きます。また、その中でも「『本番』と『開発』の分離」の指摘が多くなされているようです。このコラムでは少し「『本番』と『開発』の分離」（以下、「本開分離」）について振り返ってみたいと思います。
本開分離では以下に示す3つの「分離」を行う必要があります。
- 職務・職責の分離
- 環境の分離
- アクセスの分離
1.職務・職責の分離
開発部門と運用部門での業務が明確に分離され、リスクのある行為がどちらか一方の部門だけで行われないように相互牽制を働かす必要があります。これは部門間での牽制だけでなく、部門内での牽制、つまり実行権限を持つものと承認権限を持つものの分離についても考慮する必要があります。
具体的には、本番環境のプログラムやデータに対する計画的な変更は開発部門で実施するのではなく、標準化された作業手順や作業依頼に基づき運用部門が担当する。また、開発部門が本番環境での作業を行う際は、運用部門が作業に立会うとともに、事後的な検証を実施するなどのモニタリングを行うことで、お互いに牽制を働かせ、不正行為を行う余地を排除することができます。
2.環境の分離
開発環境と本番環境を物理的に分離する必要があります。本番環境と開発環境のネットワークが分離されていないと、開発環境から本番環境へ自由にアクセスが可能となり、アクセス制御の有効性が保証されないばかりか、データ漏洩・改ざんに対するリスクがあるからです。
具体的には、サーバやネットワークなどの物理資源を共有しないことや、本番環境に接続可能な端末を開発部門の執務スペースに置かないといった手段がとれるでしょう。
3.アクセスの分離
開発部門による本番環境へのアクセスが制限されているとともに、運用部門による開発環境へのアクセスが制限されている必要があります。
具体的には、本番環境のプログラムやデータに対する変更を可能とするIDや権限は運用部門がもち、開発環境のプログラムやデータを変更可能とする権限は開発部門のみが保有します。サポート等で開発部門が本番環境データにアクセスする必要がある場合は、期限付きで参照権限を付与するなどの手法がとれるでしょう。
本開分離では、本番データやプログラムに対する不正行為を排除し、企業のもつ情報の信頼性、正当性、正確性を実現することを目的とします。J-SOX対応ですでに対応をされた会社であっても、「開発部門と運用部門の分離が規程上だけでなく、実際も分離がされているか」、「職責・権限が曖昧になったまま運用されていないか」、いま一度本開分離について見直されることをおすすめします。
関連サービス
2015年02月20日 (金)
青山システムコンサルティング株式会社
