内部統制とは？

内部統制の意味

業務の有効性・効率性、報告の信頼性、法令等の遵守、資産の保全を達成するために組織が自ら整備・運用する仕組み。統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6要素からなり、構築責任は経営者が負う。

内部統制の具体例

受注システムで入力担当者と与信承認者を分け、月次で承認ログを上長がレビューする手続きが統制活動にあたる。モニタリングは日常業務に組み込む日常的モニタリングと、内部監査のような独立的評価の二層で設計するのが定石。

内部統制は試験でどう引っ掛けられる？

内部統制は不正をゼロにする仕組みではない。経営者による無効化、複数人の共謀、判断の誤り、想定外の事象には対応できない（固有の限界）。「共謀による不正も防止できる」とする選択肢は誤りで、抑止と早期発見が現実的な到達点になる。

内部統制と関連する用語

• IT統制（IT全般統制・IT業務処理統制）
• 3ラインモデル
• 職務分離

内部統制が出た過去問

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”におけるアクセス管理に関して、内部統制のうちのITに係る業務処理統制に該当するものはど…

  正解：組織内のアプリケーションシステムに、業務内容に応じた権限を付与した利用者IDとパスワードによって認証する機能を設ける。

  要点：個別アプリに組み込む権限制御はIT業務処理統制

  IT統制は、システム全体の管理体制を支えるIT全般統制と、個々の業務処理の正確性・網羅性を確保するIT業務処理統制に分けられる。個別のアプリケーションに、業務内容に応じた権限を与えた利用者IDとパスワードで認証させる機能を組み込むことは、その業務処理そのものに埋め込まれた統制なのでIT業務処理統制に当たる。規程の整備や教育といった組織横断の取組はIT全般統制の側である。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）

• アクセス管理に関する内部統制のうち,金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”におけるITに係る業務処理統制に該当するものはどれ…

  正解：組織内のアプリケーションシステムに,利用者IDとパスワードによって利用者を認証する機能を設ける。

  要点：業務処理統制はアプリに組み込まれた個別業務の統制

  ITに係る業務処理統制は、個々の業務を処理するアプリケーションシステムに組み込まれ、その処理が正確かつ網羅的に行われることを確保する統制である。アプリケーションに利用者IDとパスワードによる認証機能を実装することは、そのシステムでの処理を正当な利用者に限る仕組みであり、業務処理統制に該当する。規程の整備や教育といった全社的・基盤的な取組みはIT全般統制などに区分される。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとして、最も適切なものはどれか。

  正解：システムの開発、保守に係る管理

  要点：開発保守や運用の管理はIT全般統制、個別処理は業務処理統制

  IT全般統制は、個々の業務処理統制が有効に機能する環境を支える統制で、システムの開発・保守の管理、運用・管理、内外からのアクセス管理、外部委託の管理などが該当する。これに対し、入力データの正確性の確保やマスタの維持管理、例外処理の修正と再処理は、個別の業務処理に組み込まれたIT業務処理統制である。どちらに属するかは、対象が個々の処理か、それを支える基盤かで判断する。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”によれば、“記録した取引に漏れ、重複がないこと”は、組織目標を達成するためのITの統制…

  正解：信頼性

  要点：記録の網羅性・正確性はITの統制目標のうち信頼性

  財務報告に係る内部統制の実施基準では、ITの統制目標として有効性・効率性、準拠性、信頼性、可用性、機密性が挙げられています。このうち信頼性は、情報が組織の意図するとおりに正確かつ網羅的に処理・記録されることを指します。「取引に漏れや重複がない」ことは記録の網羅性・正確性の要求なので、信頼性に含まれます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）