SF3TECHNOLOGIES
ガイドガイド · SOXおよびコンプライアンス

IPO準備企業のためのSOX IT統制：準備チェックリスト

監査人がIT面で何をテストするのか、SOXの各規定がいつから適用されるのか、そして初回監査の前にアクセス、変更、バックアップ、ログの統制を稼働させるために当社が使っているチェックリストをご紹介します。

読了時間：9分最終更新日

結論から言うと

今後12か月から18か月以内に上場を予定しているなら、今すぐIT全般統制に着手してください。監査人が見たいのは、監査の1か月前に整えた統制ではなく、数四半期にわたって機能してきたアクセス、変更、バックアップ、ログの統制です。従業員5名から150名のほとんどの企業は、すでに使っているMicrosoft 365またはGoogle Workspace、いくつかのライセンスのアップグレード、そして社員が実際に守っている少数の文書化された手順で、この状態に到達できます。

SOXがITに求めることを、わかりやすく

サーベンス・オクスリー法（SOX）の目的はひとつ、投資家が信頼できる財務報告です。ITが対象になるのは、システムが数値を作成、保存、変更する部分に限られます。そのため、ITに関わる範囲は、多くの人が心配しているよりも狭いのです。

条項内容新規上場企業の適用開始時期
SOX 302CEOとCFOが、各四半期報告書と年次報告書、およびその裏付けとなる開示統制について、個人として宣誓します。上場後最初の四半期報告書または年次報告書から。
SOX 404(a)経営者が、財務報告に係る内部統制（ICFR）を毎年評価します。通常はCOSO 2013フレームワークに基づきます。通常は上場後2回目の年次報告書から。
SOX 404(b)外部監査人が、それらの統制をテストし、その有効性について証明します。一定規模以上の提出会社のみ。新興成長企業（emerging growth company）は最長5年間、非早期提出会社（non-accelerated filer）は適用が免除されます。

当面は404(b)が免除される場合でも、財務諸表の監査人はIT統制を確認します。また、IPO準備中に見つかった不備は、登録届出書で開示されることにもなりかねません。だからこそ、証拠は最初から監査に耐える水準である必要があります。

いつ始めるか

上場までの期間IT側で行うべきこと
18か月前から12か月前上場スケジュールと提出会社区分（filer status）を、弁護士および監査法人と確認します。財務数値に関わるすべてのシステムと、その責任者を一覧にします。IDを整理します：個人名のアカウント、すべてのアカウントへの多要素認証（MFA）、管理者の削減。
12か月前から6か月前ポリシーと手順を文書にまとめます。統制の運用を始めます：アクセスレビュー、変更記録、バックアップの復元テスト。証拠は運用しながら集めていきます。
6か月前から上場まで監査人と同じやり方で、すべての統制のウォークスルーを予行演習します。不備を是正し、四半期ごとに統制を運用し続けます。
上場後SOX 302の宣誓は最初の報告書から始まります。証拠収集のカレンダーを続けておけば、経営者による最初の404(a)評価は、ファイルを作り直すのではなく取り出すだけで済みます。

対象となるシステム

すべてではありません。対象は、財務データを作成、保存、処理するシステムです：

  • 会計またはERP：QuickBooks Online、NetSuite、Sage Intacct、Xeroなど
  • 給与計算と人事：ADP、Gusto、Paylocity、Ripplingなど
  • 銀行、決済、経費精算のツール
  • 上記すべてへのアクセスを管理するIDプラットフォーム：MFAとシングルサインオン（SSO）を備えたMicrosoft Entra IDまたはGoogle Workspace
  • 財務関連のファイルやスプレッドシートの保存場所：SharePoint、OneDrive、Teams、Google Drive
  • 財務チームが使うコンピューター

自社で運用していないクラウドサービスについては、監査人はベンダーのSOC 1 Type IIレポートに依拠します。毎年入手して、「complementary user entity controls」（利用者側で実施すべき補完的な統制）のセクションを確認してください。ベンダーが利用者側に求める対応が記載されており、通常はアクセスレビューとMFAです。

準備チェックリスト

以下は、監査人がテストするIT全般統制（ITGC）を、監査人がテストするときの区分ごとにまとめたものです。

アクセス管理

  • 入社・異動・退職の手続きが文書化され、アクセス権は付与する前に承認されている
  • 退職者のアカウントが速やかに無効化され、人事上の退職日と無効化した日を照合できる
  • すべての財務システムで四半期ごとにユーザーアクセスレビューが行われ、システム責任者が承認している
  • 管理者アカウントが個人名で分けられている。共有ログインはなく、日常業務用のアカウントには管理者権限がない
  • 管理者ロールが少人数に限られ、管理者の操作が記録され、四半期ごとに確認されている

論理セキュリティ

  • すべてのアカウントでMFAが有効になっており、管理者にはパスキーなどフィッシング耐性のある方式が使われている
  • 従来型のサインイン方式（レガシー認証）がブロックされている
  • 条件付きアクセスのルール、または同等のサインインポリシーが文書化されている
  • 会社のコンピューターがデバイス管理に登録されている（WindowsはIntune、MacはMosyleまたはその他のMDMソリューション）

変更管理

  • 財務システムとセキュリティ設定の変更が、申請、承認、テスト、記録されている
  • 変更を申請した人が、その変更を承認することはない
  • 会計システムの設定変更履歴が保存されている

IT運用とバックアップ

  • Microsoft 365またはGoogle Workspaceと財務データがバックアップされ、失敗したときにはフォローアップされている
  • 四半期ごとに復元テストが行われ、書面で記録されている
  • インシデントが記録、調査され、クローズされている

ログと証拠

  • サインイン、管理者操作、ファイルアクセスのログが、少なくとも監査対象年度の全期間にわたって保存されている
  • 証拠が、監査週にまとめて集めるのではなく、月次・四半期・年次のカレンダーに沿って収集されている
  • ポリシーに署名と日付があり、年に1回見直されている

職務分掌（IT側）

  • IT管理者が、財務システムで取引処理のロールを持っていない
  • ITプロバイダーが、自らのアクセスや自らの変更を承認できない
  • 経営幹部の責任者が、プロバイダーの管理者操作を確認し、承認している

Microsoft 365またはGoogle Workspaceをお使いの場合

Microsoft 365で特に役立つ機能は2つあります。管理者権限を一時的なものにして記録するPrivileged Identity Management（PIM）と、アクセスレビューです。どちらもMicrosoft Entra ID P2が必要で、これはMicrosoft 365 E5に含まれるほか、Business Premiumに追加することもできます。標準の監査ログの保存期間は180日で、監査対象の1年より短いため、より長い保存期間のライセンスを追加するか、毎月ログをエクスポートして監査人が参照できる場所に保管してください。

Google Workspaceでは、スーパー管理者用のアカウントを分け、2段階認証プロセスを必須にし、ご利用のエディションで管理者ログとログインログがどれくらいの期間保存されるかを確認してください。1年に満たない場合は、定期的にエクスポートしてください。

よく見かける5つの間違い

  1. 監査年度になってから始める。統制は、テストを受ける前に一定期間運用されている必要があります。
  2. 管理者アカウントを1つ共有している。誰が変更したのか誰にもわからなければ、変更管理の統制は不合格になります。
  3. アクセスレビューの証拠がない。実施していても署名と日付がなければ、監査人にとってはレビューを実施しなかったのと同じです。
  4. ITプロバイダーが自分の作業を自分で承認している。プロバイダーの作業は、社内の誰かが承認し、確認する必要があります。
  5. ベンダーを見落としている。給与計算サービスのSOC 1レポートが欠けていれば、自社の統制が完璧でも指摘事項になります。

誰が何を担うか

SOXはチームで取り組むものであり、役割の線引きが重要です：

  • 貴社の財務チームは、業務プロセスの統制を担います。収益、決算、仕訳、そして仕入先の登録や支払の実行を誰が行えるか、といった領域です。
  • ITプロバイダーは、IT全般統制を構築して運用し、その証拠を作成します。
  • 独立した担当者が、経営者評価を裏付けるテストを行います。統制を運用する本人とは別の人で、貴社のコントローラー、外部委託の内部監査会社、SOXコンサルタントなどです。

こうした役割の分離そのものも、監査人が確認するポイントです。

FAQ

よくいただくご質問

創業者や財務責任者の方から特によくいただく質問に、簡潔にお答えします。

その他のご質問はこちら

上場の12か月から18か月前に始めれば余裕があります。統制はテストを受ける前に数四半期にわたって運用されている必要があり、急成長した企業ではIDの整理だけで数か月かかることもあります。

SF3 Technologiesによる支援

当社は、上場企業とIPO準備中の企業のために、SOXのIT部分を構築し運用します。監査人がテストする統制に照らしたギャップ評価、Microsoft 365、Google Workspace、デバイスでの是正、証拠を伴う四半期ごとの統制運用、そして監査の往査期間中のサポートです。当社は貴社名義の専用管理者アカウントを通じて、貴社のテナント内で作業します。これらのアカウントはMFAで保護され、操作が記録されており、それ自体が監査人に示せる統制の一つになります。

まずはギャップ評価からSOXおよびコンプライアンス対応

本ガイドは一般的な情報の提供を目的としたもので、法務上または監査上の助言ではありません。提出会社区分、スケジュール、対象範囲については、証券法務の弁護士および監査法人にご確認ください。