事業継続計画と内部統制

自社の内部統制システムの整備に関するプロジェクトに関わっている方も多いと思います。非常に広い範囲の業務について、文書化作業やリスクの洗い出し、それぞれの統制活動の検討といったことで、負担の大きい業務ですよね。その内部統制システムの整備において、事業継続に深く関わってくる分野があります。IT全般統制というやつですね。

IT全般統制は、（IT）業務処理統制がスムーズにいくための言わばベースの部分であり、前提条件みたいなものだと思います。IT全般統制が整備されている前提で、様々な業務処理活動が進んでいくことは明らかです。

例えば、皆さんが売上に関わる業務を行っているとします。営業部であれば、売上実績を伝票に記載し、それを営業事務にデータ入力してもらうこともあるかもしれません。また、その売上に関わる仕入れ処理についても、購買部門などが仕入先からの請求金額を取りまとめ、データ入力をおこなうような流れだと思います。それらのデータ入力について、上司の決済が必要であったり、証拠書類が添付されたり、と様々な数値の虚偽記載というリスクに対する統制活動を行っているはずです。しかし、それらの活動も、それらを取りまとめる会計システムが正常に作動しているという前提のもとに行われる必要があるでしょう。

会計システムを正常に作動させておくには、やはり事業継続と切り離せません。そして、事業継続計画のうち、IT分野に関する災害復旧計画（DRP）が密接に絡んでくるでしょう。

会計システムが存在している地域・場所によって、想定する災害は異なってくると思いますが、首都圏でしたら東京湾北部地震、関西・中部でしたら東海・東南海・南海地震、東北でしたら宮城沖地震など、また九州地方でしたら現在まさに被害を受けている大雨・洪水・台風といった風水害、ランドマークのような巨大な建物であればテロ。様々な災害を想定し、それらの災害が起こってしまった場合のDRPを予め立てておくことが必要になってきます。それらのDRPがきちんとPDCAサイクルで回転している状態であれば、IT全般統制について、リスクの洗い出しとその統制活動を文書化することは可能なはずです。

事業継続と内部統制は密接に関わってくるものなのですよね。新会社法や金融商品取引法など、様々な法規制が企業に圧し掛かってくる中で、世間の目は確実に企業の内部統制システムが整備されているかに注がれてきます。災害が起こっても、継続して企業活動が行えるかどうか、事業継続計画を世間にアピール出来る時代もそう遠くはないでしょう。