米SOX法の実態：第3回「多岐にわたるIT部門の対応プロセスの複雑さ」

ITコントロールに言及していないCOSOフレームワーク

　SOX法に対応するに当たり、トレッドウェイ委員会組織委員会（COSO：Committee of Sponsoring Organizaiton of the Treadway Commission）が策定したフレームワークや情報システムコントロール協会（ISACA：Information Systems Audit and Control Association）が定めたITガバナンスの成熟度を測る手法である「COBIT（Control Objectives for Information and related Technology）」などがフレームワークとしてしばしば利用されている。COSOはビジネスプロセスのリスク測定、コントロール活動、コミュニケーションやモニタリングのガイドラインとして、COSOフレームワークを策定した。しかし、COSOはITコントロールには言及していないため、COSO標準に基づいて、COSOをIT部門が取るべき行動に「翻訳」したものがCOBITである。COBITは以下のドメインに焦点を当てている。

• 計画と組織化（Plan and Organize）：IT戦略企画と情報アーキテクチャ、リスク査定、プロジェクト管理、人的資源管理、技術指針の決定など
• 調達と導入（Acquire and Implement）：自動化ソリューションの検証、テクノロジインフラストラクチャとアプリケーションソフトウェアの調達と変更管理
• デリバリとサポート（Delivery and Support）：サービスレベルを定義・管理、パフォーマンスとキャパシティを管理、システムセキュリティの保証、問題とインシデントを管理
• モニタリングと評価（Monitor and Evaluate）：ITパフォーマンスのモニタリングと評価、内部統制のモニタリングと評価、外部監査

　2004年4月、ISACAの下部組織であるITガバナンス研究所（ITGI：IT Governance Institute）は「SOX法のためのITコントロール目標（IT Control Objective for Sarbanes-Oxley）」を発行し、企業によるITのSOX法対応のためのガイダンスを示している。詳細はITGIのサイトからダウンロードできる。

IT部門のSOX法対応プロセス

　では実際のIT部門のSOX法対応プロセスの詳細を見てみよう。財務に関する対応プロセスと同様、IT対応プロセスも、さまざまなコンサルティング企業が独自のプロセスを提唱している。しかし、共通して見られるプロセスには表2のようなものがある。