SOX法時代のセキュリティ体制へ…内部統制チェックテスト2

日本版SOX法に適用する、より安全性の高いシステム構築に向けての具体的な対策、第11回目です。

前回に引き続き、現行の情報システムのウィークポイントと課題が明確になる質問リストをご紹介しましょう。実際に監査法人に内部統制のコンサルティングを依頼した際、ほとんどの監査法人が質問してくると想定される質問リストです。

さて、今回はシステム開発プロセスに関する内部統制チェックです。開発されたプログラムを本番環境へと移行する際の管理体制に関してチェックしてみてください。

Q1.システム開発環境と本番環境が、別サーバーなどで明確に分離されていますか?
（ YES ・ NO ）

Q2.開発およびテスト終了後、プログラムを本番環境へ移行するにあたって、手順と様式が定められていますか?
（ YES ・ NO ）

Q3.本番環境への移行にあたっては、IT部門の責任者の最終承認を経て実行されていますか?
（ YES ・ NO ）

Q4.アプリケーション・システムの開発・テストの完了と本番環境への移行の関係が、ドキュメントによって明確にされていますか?
（ YES ・ NO ）

Q5.本番環境へ移行を行う担当者が、開発とテストを兼務できない体制を採用していますか?
（ YES ・ NO ）

Q6.本番環境へ移行する際の権限は、ユーザIDによって区分されていますか?
（ YES ・ NO ）

Q7.開発・テスト担当者が、本番環境への移行を兼務できない体制を採用していますか?
（ YES ・ NO ）

Q8.本番環境への移行の権限を有するユーザIDとパスワードは、適切に管理されていますか?
（ YES ・ NO ）

Q9.また、そのユーザIDは個人別に設定されていますか?
（ YES ・ NO ）

Q10.本番環境への移行に関して、更新日付やログの記録取得などよって、監査証跡が確保される体制が整備されていますか?
（ YES ・ NO ）

Q11.本番環境へ移行後、緊急にプログラムの修正などが必要になった場合、手順が適切に定められていますか?
（ YES ・ NO ）

いかがでしょうか。NOが一つでもあれば、内部統制評価でNGとなります。逆にすべてをクリアできていれば、新法に適用した内部統制システムが確立されていることを意味します。

2008年4月に向けて、カウントダウンははじまっています。

Dr.QがITサプリをお届けしました。次回もお楽しみに。

クオリティではメールマガジン「Q-NEWS」を毎週配信中。今回ご紹介したドキュメント管理に関するツールなど、即役立つ情報を無料で手に入れることができます。ただいまプレゼントが当たる、キャンペーン実施中です。