監査人が信頼できるIT統制を。

監査人はIT全般統制に注目します。誰が財務システムにアクセスできるか、変更はどう承認・記録されるか、バックアップと復旧はテストされているか、そしてそのすべてに証拠があるかです。お客様の規模の企業であれば、書き出してスケジュールに沿って運用すれば、十分に管理できる範囲です。

監査人が検証する時点でアクセスレビュー、変更管理、ログ記録が四半期をまたいで運用済みとなるよう、予定している上場の少なくとも1年前には着手してください。早く始めるほど作業は小さくなります。整ったアクセス権と良好なバックアップは、後から作り直すより維持する方が簡単だからです。

はい。Microsoft 365、Google Workspace、お客様の財務システムについて、誰が何にアクセスできるかをエクスポートし、統制責任者が承認できるようレビュー資料を準備し、証拠として保管します。レビューで判明した変更も、同じ方法で実施し記録します。

まず、現在のアクセス、変更、バックアップの状況を文書化するIT全般統制の評価から始め、本社から届いた質問票と照らし合わせます。その後、当社がギャップを埋め、グループの監査人が求める形式で証拠をお渡しします。

はい。同じアクセス、変更、バックアップ、ログの統制で、SOC 2準備状況レビューの大半と、顧客からのセキュリティ質問票の大半に答えられます。お客様のチームが自信を持って回答できるよう、当社がIT関連の回答と裏付けとなる証拠を準備します。

いいえ。統制を検証するのは監査法人で、当社は検証に耐える確かなものがあるよう、IT側を設計、導入、運用します。こうした役割の分離が、統制の信頼性を支える要素の一つです。