統制とITガバナンス

内部統制におけるITへの対応は、組織を取り巻くIT環境への対応と、ITの利用及び統制からなります。ITに係る全般統制は、システム開発・変更やアクセス管理、運用など、複数の業務処理に共通する基盤を対象にします。ITに係る業務処理統制は、入力チェックや自動計算など、個々の業務処理に組み込まれた統制を対象にします。

全般統制は基盤、業務処理統制は個別処理を見る。

内部統制を整えても、判断の誤り、複数人による共謀、経営者による統制の無視などによって、目的が達成できない場合があります。このような内部統制の限界を理解し、仕組みを設けたこと自体で十分と考えず、運用状況を継続して確認します。内部統制報告制度では、内部統制の整備や運用の状況を評価する考え方が重要になります。COSOフレームワークも内部統制を考える代表的な枠組みです。

内部統制は整備後も運用状況を確認する。

ITガバナンスは、組織の目的に沿ってITを適切に利用し、価値、リスク、資源などを組織として方向付け、評価、監視する考え方です。CIOは情報戦略や情報システムを担う最高情報責任者、CISOは情報セキュリティを担う最高情報セキュリティ責任者です。IT統制はITに関する統制活動を指し、ITガバナンスはより上位からITの方向性や監督を考えます。JIS Q 38500はITガバナンスに関する規格です。

ITガバナンスはITの方向付け・評価・監視を扱う。

組織は、会社法や金融商品取引法など、自らの業務に関係する法令やルールを把握し、遵守状況を評価して改善します。評価では、ルールが定められているかだけでなく、実際の業務で守られているかを確認することが重要です。CSAはControl Self Assessmentの略で、業務を担当する部門などが自ら統制の状況を評価する考え方です。評価で見つかった不備は、原因を確認し、手続やチェック体制の見直しにつなげます。

法令遵守は実際の運用状況まで評価して改善する。

科目Aの形: 四肢択一(このページのために作った問題)

購買業務で、発注申請を作成する担当者と、その申請を承認する担当者を分ける目的として最も適切なものはどれか。

1. ITガバナンスによってIT投資全体の方向性を評価する
2. ITに係る業務処理統制によって入力値の形式を自動確認する
3. CSAによって担当者自身が統制状況を自己評価する
4. 職務分掌によって誤りや不正を発見・抑止しやすくする

答えと解説を見る

正解: 職務分掌によって誤りや不正を発見・抑止しやすくする

申請と承認を異なる担当者に分けるのは職務分掌の例です。相互に牽制できるように役割を分けることで、誤りや不正の発見・抑止に役立ちます。

まちがえやすい点: 自動入力チェックはITに係る業務処理統制であり、担当者を分ける職務分掌とは異なる。

科目Aの形: 四肢択一(このページのために作った問題)

販売システムで、受注数量に負の値が入力された場合にエラーとして受け付けない機能を設けた。この統制として最も適切なものはどれか。

1. 統制自己評価
2. ITに係る全般統制
3. ITガバナンス
4. ITに係る業務処理統制

答えと解説を見る

正解: ITに係る業務処理統制

特定の業務処理に組み込まれた入力チェックなので、ITに係る業務処理統制です。全般統制はアクセス管理やシステム変更管理など、複数の業務処理を支える共通基盤を対象にします。

まちがえやすい点: 個々の取引入力を確認する統制と、システム全体の管理基盤を対象にする全般統制を区別する。

科目Aの形: 四肢択一(このページのために作った問題)

ある部門が、自部門の業務手順やチェックが定めたとおり機能しているかを自ら点検し、不備を洗い出して改善につなげた。この活動に最も近いものはどれか。

1. ITに係る業務処理統制
2. ITに係る全般統制
3. 職務分掌
4. CSA

答えと解説を見る

正解: CSA

CSAは統制自己評価を表し、業務を担当する部門などが自ら統制の状況を評価する考え方です。評価結果から不備を把握し、改善へつなげます。

まちがえやすい点: 職務分掌やIT統制は統制を実施する仕組みであり、自部門が統制状況を自己評価するCSAとは役割が異なる。