監査法人のIT監査対応ガイド｜IPO準備の質問票・ウォークスルー・サンプリング・不備対応

IT監査はIPO準備の正念場

監査法人によるIT監査は、IPO準備企業が必ず通過する関門です。内部統制報告制度の枠組みで、IT全般統制とIT業務処理統制の整備・運用状況が評価されます。本記事では、情シス側が実行面で対応すべきエビデンス整備・質問票回答・ウォークスルー対応・サンプリング対応に焦点を当てます。内部統制の設計・評価論点そのものは監査法人と専門コンサルティング会社の領域です。

指摘事項への対応が遅れると、上場スケジュール全体が遅延します。逆に、事前準備を計画的に進めれば、IT監査を円滑に通過できます。本記事では、情シス担当者が押さえるべきIT監査対応の流れと実務を解説します。

IT監査のタイムライン

IPO準備における監査法人の監査は、通常以下の流れで進みます。

時期	監査活動
N-3期	ショートレビュー（現状調査、リスク評価）
N-2期初	監査計画策定、評価範囲確定、IT質問票発行
N-2期中	整備評価（設計確認、ウォークスルー）
N-2期末〜N-1期中	運用評価（サンプリングテスト）
N-1期末	期末監査、意見形成
申請期	申請書類の確認、追加サンプリング

内部統制の運用評価は「期首から期末までの1年間の運用」を対象とするため、N-2期首までに統制が運用開始されている必要があります。

IT質問票対応

質問票の構成

監査法人のIT質問票は、一般的に以下の領域に分類されます。項目数は200〜500項目。

領域	主な質問内容
IT組織・ガバナンス	組織図、役割分担、IT戦略、規程体系
システム構成	システム一覧、アーキテクチャ、ネットワーク図
アクセス管理	ID管理プロセス、特権ID、MFA、アクセス権レビュー
変更管理	変更申請プロセス、テスト、リリース承認
運用管理	ジョブ管理、バックアップ、障害対応、監視
外部委託管理	委託先一覧、SOC2、SLA、評価記録
セキュリティ	インシデント対応、教育、脆弱性管理
IT業務処理統制	入力・処理・出力の統制、マスタ管理

質問票への回答方法

回答は「回答文＋エビデンス（規程・記録・画面キャプチャ）」の形式が基本です。エビデンスの添付がない回答は不十分と判定されます。

質問票作成は情シスアウトソーシング会社に委託可能ですが、最終承認は社内情シス責任者が行います。

回答期限管理

質問票は通常2〜4週間の回答期限が設定されます。項目数が多いため、社内の関係部門（経理・人事・法務）にも質問を振り分け、並行して回答する体制を整えます。

ウォークスルーテスト対応

ウォークスルーの目的

統制が設計通りに運用されているかを、業務プロセスを追跡して確認するテストです。内部統制の整備評価フェーズで実施されます。

典型的な対象プロセス

• ユーザーID発行・削除プロセス（入退社フロー）
• 特権ID利用プロセス
• プログラム変更プロセス（申請→テスト→リリース）
• バッチジョブ実行・エラー対応プロセス
• バックアップ取得・リストアプロセス

ウォークスルー当日の進行

1. 監査法人が対象プロセスを指定
2. 情シス担当者が業務フローを説明
3. 実際の申請書・承認記録・操作ログ・画面キャプチャを順に確認
4. 設計（規程・手順書）との整合性を確認
5. 不明点があれば追加質問

事前準備のポイント

• 対象プロセスの業務フロー図を最新化
• 規程・手順書と実運用の整合性を確認
• 直近3ヶ月分の記録・エビデンスを整理
• ウォークスルー対象のサンプル（特定の入社者・変更案件）を事前に選定可能に

サンプリングテスト対応

サンプリングの目的

統制が1年間を通して継続的に運用されているかを、サンプル抽出で確認するテストです。運用評価フェーズで実施されます。

サンプルサイズ

統制の頻度によってサンプル数が決まります。一般的な目安は以下の通りです。

統制頻度	サンプル数
日次	25件程度
週次	12〜15件
月次	3〜5件
四半期	2件
年次	1件

サンプリングで求められるエビデンス

サンプルごとに、統制が実施された証跡を提出します。例えば「ユーザーID発行統制」なら、サンプルの入社者について以下を提出します。

• 人事から情シスへのID発行依頼書
• 上長承認記録
• 情シスによるID発行記録（日時）
• 本人への通知記録
• 台帳への記入

不備指摘の主なパターン

• エビデンス欠落：統制は実施したが記録がない
• 承認者不在：承認記録に署名・承認印がない
• 遡及承認：事後的に承認が付与されている
• 統制設計逸脱：手順書と異なる運用がされていた

不備指摘への対応

不備の分類

監査法人が発見する不備は、影響度に応じて以下に分類されます。

• 整備不備（Design Deficiency）：統制の設計自体に欠陥
• 運用不備（Operating Deficiency）：設計は適切だが運用されていない
• 重要な不備（Significant Deficiency）：財務報告に影響し得る不備
• 重要な欠陥（Material Weakness）：重大な財務報告リスクがある不備

是正プロセス

不備指摘を受けたら、以下のプロセスで対応します。

1. 不備内容の確認・合意（監査法人と認識を揃える）
2. 原因分析（なぜ不備が発生したか）
3. 是正計画の策定（何を・いつまでに・誰が是正するか）
4. 是正実施
5. 是正状況の監査法人への報告
6. 監査法人による是正確認

期内是正の重要性

N-2期中に発見された不備は、期内に是正すれば運用評価には影響しません。しかし、N-1期末に発見された不備は期内是正が困難で、上場スケジュールに影響するリスクがあります。定期的な自己点検で不備を早期発見することが重要です。

期中監査・期末監査の流れ

期中監査

期中監査は、N-2期後半〜N-1期中に実施されます。期首から期中までの運用を評価し、期末までに是正可能な不備を洗い出します。サンプリングの一部を先行実施することが多いです。

期末監査

期末監査は、N-1期末〜申請期初に実施されます。期末時点での統制運用状況を総合的に評価し、意見形成します。重要な欠陥が残っていると、上場申請書類にその旨の記載が必要となり、上場審査に影響します。

情シス担当者が準備すべきエビデンス

IT監査対応で提出を求められる代表的なエビデンスは以下の通りです。事前に体系的に整理しておきます。

カテゴリ	エビデンス例
規程・文書	情報セキュリティ規程、IT運用規程、アクセス管理規程、RCM、業務フロー図
組織	情シス組織図、役割分担表、情報セキュリティ委員会議事録
ID管理	ID発行・削除記録、アクセス権レビュー記録、特権ID利用ログ
変更管理	変更申請書、テスト記録、リリース承認記録
運用管理	ジョブ実行ログ、バックアップ記録、リストアテスト記録、障害対応記録
外部委託	契約書、SOC2レポート、SLAレポート、委託先評価記録
セキュリティ	インシデント対応記録、教育実施記録、フィッシング訓練結果、脆弱性診断結果
IT資産	IT資産台帳、ライセンス棚卸し結果、SaaS一覧

監査対応のよくある失敗パターン

失敗1：ドキュメント整備と実運用が乖離

「規程はあるが現場運用と違う」状態が最頻出の不備。ウォークスルーで必ず発覚します。規程策定時から現場運用との整合性を確認することが重要です。

失敗2：エビデンス保管の体系化不足

「統制は運用しているが、どこに何の記録があるか分からない」状態だと、監査時にエビデンス収集に時間がかかります。統制ごとにエビデンス保管場所・保管期間を規程で定めます。

失敗3：変更反映の漏れ

組織変更・システム変更があったのに規程・文書に反映されていない。定期的（四半期毎）に規程・文書の棚卸しを実施します。

失敗4：委託先管理の不備

SOC2レポートを取得していない、委託先評価記録がない、委託先のセキュリティ事故を把握していない。委託先管理規程に基づく定期評価が必須です。

情シスアウトソーシングの活用

IT監査対応は専門性が高く、社内だけで進めるのは非効率です。以下の業務は情シスアウトソーシングに委託できます。

• 質問票回答ドラフト作成
• エビデンス整備・保管体系構築
• ウォークスルー当日の業務説明同席
• サンプリングテスト用データ収集
• 不備是正計画のドラフト作成
• 期中・期末監査の進行管理

情シス365エンタープライズでは、IPO準備企業向けに監査法人対応支援を提供しています。詳細はエンタープライズプランをご覧ください。

まとめ

監査法人のIT監査は、質問票→ウォークスルー→サンプリング→不備是正の流れで進みます。内部統制の運用評価は1年間を対象とするため、N-2期首までに統制を運用開始することが必須です。

事前準備として、規程・エビデンスの体系的整備、業務フロー図の最新化、統制運用記録の蓄積を進めます。不備発見時は期内是正を基本とし、早期発見のための自己点検サイクルを組み込みます。

関連記事

• IPO準備の情シス完全ガイド
• IPO準備におけるセキュリティ体制構築
• IPO準備のIT資産管理・SaaS棚卸し
• IPO準備における情シスアウトソーシング活用法