デジタル内部統制に対するサービス

> テクノロジーリスク

企業のデジタル化の進展により、ERP導入、クラウド化、業務プロセスの自動化が進む中で、内部統制は複雑化し、新たなリスクへの対応が求められています。新技術を導入することによって顕在化したリスクに対し、EYの知見を使って、適切な内部統制の構築を提案します。

関連トピック リスクや規制の変化 企業を守る リスク デジタル テクノロジーリスク

チーム

坂本 和良

坂本 和良

EY新日本有限責任監査法人　Technology Risk事業部　プリンシパル

新技術に対する内部統制、ガバナンスの評価、構築支援

企業を取り巻く環境を大きく変化し、ERPシステムの導入、実行基盤のクラウド化、業務プロセスの自動化等、デジタル化が進んでいます。

このような環境の中で、内部統制は複雑化しており、要求内容は多くなっています。これらの要求事項や新技術を活用するに伴って顕在化した新たなリスクにアプローチする必要があります。

EYができること

クラウド環境活用に向けた内部統制の評価及び構築支援

  • 背景・目的

    近年はSaaSシステムに限らず、システムの実行基盤をクラウドの関連サービスを活用して、アプリケーションの開発や発行されるアプリケーションIDの管理に対し、クラウドシステムを活用する場合があります。また、業務上の利便性から各種ツールを連携させることによる利用もあります。

    このような環境において、自社で開発したオンプレミスシステムと比較して、クラウド環境を利用することによるリスクの識別に伴い、新たな内部統制の構築が求められます。

  • 提供可能なサービス（例）

    • クラウド基盤に構築されたITアプリケーションシステムに対するIT全般統制の評価、構築
    • クラウド基盤に対するロールポリシーの策定、実機上の権限割り当て状況のレビュー、改善
    • クラウド基盤に構築されたITアプリケーションシステムが関連する業務処理統制の評価、構築
クラウド環境活用に向けた内部統制の評価及び構築支援

Web3ビジネスに係るシステムリスク／セキュリティ管理態勢整備支援

  • 背景・目的

    Web3ビジネスには、新しいテクノロジーと分散型ネットワークの性質に関連したリスク要因があります。例えば、ウォレット使用時の流出リスクには内部管理態勢の構築が必要です。

    暗号資産管理やトークンビジネスの経験を生かし、Web3に関連するセキュリティ対策や内部統制、ガバナンスの構築に関するサービスを提供しています。

  • 提供可能なサービス（例）

    • ブロックチェーン固有の秘密鍵管理、アクセス制御、インシデント管理、委託先管理等の各種ポリシーの策定支援
    • ブロックチェーン関連システムに対するIT内部統制の構築支援
      • 秘密鍵管理、暗号資産・トークンの有高管理、権限管理、ログ監査、障害管理
Web3ビジネスに係るシステムリスク／セキュリティ管理態勢整備支援

アジャイル開発、DevOps環境における内部統制構築支援

  • 背景・目的

    アジャイル開発は、従来のウォーターフォールモデルとは異なり、アプリケーションの機能単位で開発し、コードをシンプルにビルド、テスト、本番環境に反映させる行為を繰り返して、一つの大きなアプリケーションを完成させます。

    また、自動化ツール等を導入することで人手を介さないプログラムデプロイを実施する傾向にあります。

    そのため、従来の承認手続が簡略化されたり、プロセスが自動化されたりと、従来のウォーターフォールモデルとは異なる内部統制の視点が必要になります。

  • 提供可能なサービス（例）

    数多くのアジャイル開発、DevOps環境における内部統制評価を実施した経験を生かして、以下のサービスを提供可能です。
    • DevOps環境適用に伴って導入されたCICDツール、プログラムバージョン管理ツール、WFシステム等の権限管理、設定管理状況のレビュー、構築支援
    • ウォーターフォールモデルからアジャイル開発プロセスに移行に伴う変更管理プロセスポリシーの策定支援、内部統制の構築支援
アジャイル開発、DevOps環境における内部統制構築支援

ビジネス・ITプロセスとコントロールの構築支援サービス

今後顕在化が見込まれるリスクを事前に識別し、それに対応するITプロセスとコントロール対応を事前に実施する必要があります。

EYはIT関連の内部統制の構築や評価を単なる内部統制報告制度への対応にとどまることなく、業務の標準化、効率化、自動化等、既存業務の継続的な改善を含めてサービスを提供してまいります。

詳細ページへ

  • 財務報告に係るIT内部統制の構築、高度化サービス

    財務報告に係るIT内部統制に関する支援（評価範囲の決定、評価、文書化、不備の改善、コソーシング）

    M&A等によってグループ会社の増加によって新たに3点セットの作成等、J-SOXの対応が必要になります。また、社内のデジタル化によって既存の業務プロセス全体を見直し、システムに高度に依存した業務プロセスへ移行する場合には、既存のJ-SOX文書の大幅な見直しが必要になります。

    詳細ページへ

     

  • デジタル内部統制に対するサービス

    新技術に対する内部統制、ガバナンスの評価、構築支援

    企業を取り巻く環境は大きく変化し、ERPシステムの導入、実行基盤のクラウド化、業務プロセスの自動化等、デジタル化が進んでいます。
    このような環境の中で、内部統制は複雑化しており、要求内容は多くなっています。これらの要求事項や新技術を活用するに伴って顕在化した新たなリスクにアプローチする必要があります。

     

デジタル内部統制について詳しく見る

デジタル内部統制について詳しく見る

EYの関連サービス

ビジネス・ITプロセスとコントロールの構築支援サービス

今後顕在化が見込まれるリスクを事前に識別し、それに対応するITプロセスとコントロール対応を事前に実施する必要があります。

続きを読む
データ分析支援サービス

企業各部署でDX対応が求められる中、社内にある大量のデータを分析して新たなビジネスの視座を獲得することは有効かつ効率的なDX対応となります。監査におけるデータ分析の経験をもとに各種のデータ分析を支援します。

続きを読む
セキュリティガバナンスサービス

技術の急速な進歩は、サイバー脅威の指数関数的な増加と相まって、技術インフラへのリスクエクスポージャーを増大させています。近年では、サイバーセキュリティインシデントによって生産設備が停止し、ビジネスの継続が困難になる事象や、決算をつかさどるシステムが停止し、決算遅延やその他会計数値に直接的な影響を与えるような事象も複数発生しています。また、従業員や部外者による不正アクセスや不注意による情報漏えい等も依然としてビジネスにおける脅威となっています。

続きを読む
セキュリティ監査・アセスメントサービス

近年のデジタルトランスフォーメーション（DX）の進展や、IoT機器の普及、サイバー犯罪の進化、テレワーク等の勤務環境の変化により、セキュリティリスクが高まっています。セキュリティリスクに対して十分な対応を行い、企業価値を維持するためには、セキュリティ対策状況についての現状の診断及び改善に向けた目標の設定と改善点の明確化を行うことが必要です。EYでは、サイバーセキュリティを含む監査実績を基に、監査目的に合致したクライテリアで評価を行い、課題の抽出及び具体的な改善案を提示します。また、EYのグローバルなネットワークを活用し、海外拠点に対する監査・診断も対象スコープに含めることで、グローバル全体での管理態勢の維持・向上に貢献します。

続きを読む
セキュリティポリシー策定支援サービス

セキュリティポリシーの策定は、企業や組織が情報セキュリティを保つための全体的な指針や方針を定める重要なプロセスです。セキュリティポリシーが存在しない場合、組織内の対応が一貫したものにならない。または、責任が明確にならず適切なセキュリティリスクへの対応が行われない可能性があります。また、企業や組織を取り巻くIT環境の変化やサイバー脅威の高まりによりセキュリティリスクは日々進化しております。これらの変化にセキュリティポリシーが対応できていない場合には、セキュリティ対策が陳腐化し、セキュリティリスクへの適切な対応ができない可能性が高まるため、定期的にセキュリティポリシーを見直し、適切なセキュリティ対策を維持することが重要です。

続きを読む
クラウドセキュリティ・ガバナンス構築支援サービス

近年、企業や組織がデジタルトランスフォーメーション（DX）を推進する中、DX推進に不可欠なクラウドサービスの利用拡大の動きが加速しています。クラウドサービスは新規サービスの登場や機能追加等、変化が激しいため、利用する企業や組織にとっては膨大なクラウドサービスを安全に使いこなすための実践的な管理態勢構築の重要性が増してきています。クラウドサービスを安心・安全に利用するには、技術的なセキュリティ対策にとどまらず、コンプライアンスや法規制への対応等のガバナンスも含め、幅広い領域での検討が必要です。

続きを読む
OTセキュリティサービス

現在、制御系システム（OT“オペレーショナルテクノロジー”）でサイバーセキュリティインシデントが多数発生しています。現在の製造業では、各サプライヤー、工場、外部委託先を含め、グローバルのサプライチェーン上で各種のコンピューターや機器が接続されています。これらの機器については、古い世代のOS（オペレーティングシステム）で稼働し、そこでの各種脆弱（ぜいじゃく）性をついた攻撃も増加し、それが原因で業務が停止し、大規模な経済的損失が発生しているケースが増えています。EYでは、制御系システムのセキュリティについてもリスク評価を実施してきた経験を生かし、OT領域のセキュリティ監査サービスを提供します。通常のセキュリティ監査は監査対象となる情報システムや機器を把握し各種標準（ISO27000シリーズやIEC62443）をもとに監査を進めますが、OTセキュリティではIPA等がガイダンスとして提示しているリスクシナリオベースに監査を進めることで、効果的、かつ効率的な監査サービスを提供することが可能となります。

続きを読む
サイバーセキュリティ戦略・ロードマップ策定・実行支援サービス

サイバー攻撃の増加・高度化、デジタルトランスフォーメーションやAIをはじめとする新興技術の進展、リモートワークの拡大や各国のセキュリティ関連の法規制の強化に伴い、情報漏えいやランサムウェア攻撃等のインシデントが経営へ与えるインパクトも深刻化しており、組織が直面するセキュリティ上の検討課題もテクノロジーにとどまらず、人・組織・プロセス等のあらゆる領域へ広がっています。このような中、効果的に組織のセキュリティ強化を図っていくためには、自組織における現状のCapabilityを可視化した上でセキュリティリスクを把握し、リスクの深刻度に応じた課題の優先順位付けを行い、限られた経営資源を重点的に優先度の高いセキュリティ施策へ投下していくことが必要不可欠です。

続きを読む
パブリック（公的機関）向けサービス

EYはパブリックセクターにおける先駆者として、多くの公的機関に対して監査及び保証サービスを提供してきました。この豊富な経験と深い専門知識をベースに、情報セキュリティ評価や監査に係る包括的なサービスを展開しています。パブリック（公的機関）における情報セキュリティ対策では、「政府機関等のサイバーセキュリティ対策のための統一基準群（以下、政府統一基準群）」内閣サイバーセキュリティセンター:（NISC））の他、関連省庁のガイドラインを順守する必要があります。他方、各組織を取り巻く環境は日々変化しており、情報セキュリティに関するリスクは高まる一方です。EYでは、政府統一基準群や各省庁のガイドラインに定められる基本的な順守事項のみならず、各組織における情報の重要性や業務特性を理解した上で、リスクを適切に把握し、クライアントにとって最適な助言と支援を行います。

続きを読む
サイバーセキュリティ内部統制構築支援サービス

サイバー空間をめぐる脅威は、日々高まりを見せ、その高度化は複雑さを増しています。それに伴い、監査基準委員会報告書315「企業及び企業環境の理解を通じた重要な虚偽表示リスクの識別と評価」においてセキュリティに係る重要性がうたわれるようになり、日本公認会計士協会テクノロジー委員会研究文書報告第10号「サイバーセキュリティリスクへの監査人の対応（研究文書）」が公開される等、財務諸表監査でもサイバーセキュリティリスクへの対応が求められるようになりました。また、2024年4月1日から始まった事業年度から適用となる「財務報告に係る内部統制の評価及び監査に関する実施基準」（通称：J-SOX）の改訂においても「情報システムに係るセキュリティの確保が重要」と明記されています。これらを受け、企業や組織はサイバーセキュリティリスクに対応した内部統制の構築・運用が求められています。

続きを読む
EY Japan Assurance Hub

EY Japan Assurance Hub

時代とともに進化する財務・経理に携わり、財務情報のみならず、非財務情報も統合し、企業の持続的成長のかじ取りに貢献するバリュークリエーターの皆さまにお届けする情報ページ 

詳細ページへ

 

お問い合わせ

詳細をご希望の場合はお問い合わせください。