コントロール（統制活動）とは？こんとろーる
コントロール（統制活動）とは、内部統制を実際に働かせるために業務へ組み込む個々の仕組みや手続き。承認、照合、職務の分離、システムによる自動チェックなどが該当し、リスクを許容できる水準まで下げる手段として置かれる。ソフトウェアのパッチ適用など変更に伴うリスクを抑える手続きも、監査で妥当性を確かめる対象になる。
最終更新：2026-10-09
この語が出る過去問を解く →背景
不正や誤りは悪意のある人だけが起こすものではなく、1人に作業と承認の権限が集まる仕組みそのものが生む。金融商品取引法の内部統制報告制度により、経営者は「仕組みとして防いでいる」ことを説明する必要が生じた。そのため統制は個人の注意力ではなく、業務手順や情報システムの中に埋め込まれる。FEではシステム監査の側から評価する目線で問われる。
具体例
会計システムで、伝票を入力する担当者と支払を承認する担当者に別々の権限を割り当て、1つのIDでは両方の操作ができないよう設定しておく。パッチ適用でも、検証環境で動作を確かめて責任者が承認するまで本番へ適用できない手順を定めておく。
試験での引っ掛け
予防・発見・是正のどれに当たるかを分類させる出題が定番で、権限分離や入力チェックは予防、ログの突合や照合は発見、バックアップからの復旧は是正にあたる。統制はそれ自体が目的ではなく手段なので、リスクの大きさに見合わない過剰な統制は監査で妥当でないと評価される。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 春期 基本情報技術者試験 午前 問60（IPA）
出典：平成28年度 春期 基本情報技術者試験 午前 問61（IPA）
ソフトウェアのパッチの適用において，システムに不具合が発生するリスクを低減するコントロールを監査する際のチェックポイントはどれか。
正解：本稼働前にシステムの動作確認を十分に実施していること
要点：パッチは本稼働前の十分な動作確認で不具合リスクを下げる
パッチの適用は既存機能への影響が避けられず、適用後に不具合が表面化する危険がある。これを抑えるコントロールは、本稼働前に検証環境で十分な動作確認を行い、問題がないと確かめたうえで適用することである。監査ではその手続と実施記録の有無を確認する。
出典：平成29年度 春期 基本情報技術者試験 午前 問59（IPA）
出典：平成31年度 春期 基本情報技術者試験 午前 問40（IPA）解説で登場
リスク対応のうち、リスクファイナンシングに該当するものはどれか。
正解：システムが被害を受けるリスクを想定して、保険を掛ける。
要点：保険など資金面の備えはリスクファイナンシング
リスク対応は、損失そのものの発生や大きさを技術的・物理的に抑えるリスクコントロールと、損失が生じたときの資金面を手当てするリスクファイナンシングに大別される。保険を掛ける行為は、被害が起きた場合の金銭的な補填を用意するものなので後者に当たる。自己資金を積み立てておく方法も同じ分類である。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (3) システム監査の対象業務に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。