まさに同じことが私のところでもありました。
監査法人からの監査人に
「リストアの実験をやって失敗したらどうしてくれるんだ」といったら「予備機かテスト機を使ったらどうでしょうね」というので「それでは本機でリストアできるという証拠にならないでしょう　そもそも予備機なんてそんな余裕はありません」と言い返しました。
実際のところ、機材導入時に全体バックアップをリストアして動くことは確認しているし、ファイル単体の復元は時々行っている　ということを説明して「コントロール状況は問題ありません」と言い切ったら「そうですか」で終わりました。　要するに会社としてリスクコントロールができていると判定すればいいわけです。（と理解しています）

ＩＴＧＣ（ＩＴ全般統制コントロール）にかぎらずこの手の質問書はどういう環境（パソコンなのか汎用計算機なのか）を想定しているのかわからないですね。
この一項目ごとにここへの投稿ができそうな気がします。

こんにちはです。
IT全般統制でのリカバリ担保は良く話しは出ますが、J-SOXに限らず
ISMSでも非常時への対応が出てきます。
しかしJ-SOXの中に「開発・テスト環境は運用環境と切り分けましょう」の
項目があるので、リカバリテストは代替機が必要！って事になります。
でも実施する側では「そんなホストなんてリカバテストだけに設置出来
ない」「代替機が用意出来ても、完全に同じ状態でないのでリカバリが
完全かは問題がある」や「リカバリテスト中に失敗したりした
ら、元も子もないやんかぁ〜あ！（髭男爵風）」って話になります。
また、そもそも非常時・緊急時は「ハードが壊れる」「OSが飛ぶ」「人為的
にデータが消える」など、様々な場面があるので全部は無理な話です。
正直な所、「その時は、その時。」って感じですが、J-SOX上ではダメですね。（痛し痒しです。）
弊社では、ハードの非常時に「メンテナンス会社への連絡方法を記述する。」
や「リカバリ手順を作成し、サービス（機器構成や設定内容）が変更に
なった場合は定期的に見直す」などの書類を用意しています。
極論で言えば、ある程度作成し、それ以上を「受容」してしまいましょう。
会社の規模やシステム内容、停止期間の損失で受容範囲が大きく異なります
が、さほどみんなが必要としていないシステムへのリカバリを考えても
しかたが無い話です。会社の全般統制の経営者の方針が指針になるかも
しれません。
＃長文すいませんでした。

会社規模とシステムの重要度がわかりませんが。
私のとこの親会社は、システムを開発テストするマシンは
本稼動するマシンと同型で、本稼動マシンより高性能のを
いれています。
普通は反対とおもわれますが、これでいつでも本稼動のマシン
の代替ができます。
うちは３０００人規模ですが、開発テストと本稼動するマシン
と同型は同じものをいれています。
開発テスト機はイメージツールで、よく復元します。
ＤＢのリストアもよく行います。若手にも学習のため練習
させてます。

監査法人はかなり専門家ですが、実運用してるうちのほうが
２４Ｈ面倒をみていますしトラブル対応で徹夜もしばしばで
実力は上と思っています。
統制や監査は決めたことを守るのが趣旨です、リストアがいる
と決めてできない、やっていないことが問題です、
そんな会社はリストアしないと決めておけば監査はとうります。

リストアは、ＯＳを含めての全体（サーバー用のイメージツール）
とＤＢのダンプなどのＤＢのリストアなどと、アプリプログラムの
リストアがあるとおもいます。

どの程度の時間と手間で戻るか、本稼動前におこない、３−４年
程度で機能ＵＰ時に　テストとＤＩＳＫ整理で１日とめて行って
きました。時間の経過と共に、マニュアルは当てにならない部分
もありますが、特に間違えた部分はマニアルにはありませんよね！
マニアルは：知識、やるのは：経験です。

すべて、自分の会社のシステムを守るのが、目的です。基幹部署で
基準を決めるべき、でそれをまもればよいのです。

やらなくてよい、お金の出ない会社はそれでいいのです。システム
を守る必要がないのですから。。人海戦術でカバーすれば。。。

バックアップの対象がデータだけでなく、システムを含めたHDD全体のボリュームバックアップであれば、リスクはありませんよ。（複数のHDDをまとめてバックアップでききる製品もあります）

手順としては
現行のHDDを取り外す＞予備HDDと交換＞CDで起動＞バックアップイメージを復元＞HDDから起動＞バックアップの時点から起動しているか確認＞確認が終わったら現行のHDDへ戻す。＞起動を確認

バックアップデータの保存先がネットワーク越しであっても、数１００GBあっても１時間程度でリカバリできます。

結構バックアップ時のエラーを見逃していたとか、マニュアルに手順漏れがあったとか、想定外のトラブルが発生などで、過去のマニュアルが役にたたないってありがちです。
PDCAを回すためにも、リハーサルは年何度かやっておいて情シススタッフならビビらずに誰でもできる体制にしておくべきかと思います。

私の会社のシステムは３テラバイトのＮＡＳに作られていますので完全なバックアップを取るとＬＴＯが２５本になると言われています。テープドライブは２４本しか装填できないので完全なバックアップは出来ないとＳＥの人に言われました。ですから実際にバックアップしているのはデータの部分だけです。（それも今の所はデータが少ないので出来ますがディスクが満杯になるほどになったら時間がかかりすぎてバックアップ出来ないとも言われました）
最初のインストールの時にリカバリのテストは行ってあり、そのときの手順も記録されていますがほぼ１日かかる作業だそうです。
２４時間３６５日動かしているシステムなので「リカバリーのリハーサルをするので１日止めます」なんて言えません。
寿限無さんは「リスクはありませんよ。」と言われますが、私の会社のような事情もありますよ。

私の会社は小さいのでIT全般統制は関係ないみたいなので助かりますが。