内部統制とIT統制とは？

内部統制とIT統制の意味

業務が法令や社内規程に沿って適正に行われるよう、組織が自ら整備・運用する仕組みが内部統制。そのうちITに関わる部分をIT統制といい、システム全体の運用や開発を支える全般統制と、個々の業務処理の正確さを担保する業務処理統制に分けられる。

内部統制とIT統制の具体例

支払処理は入力する担当者と承認する上長を必ず分け、システム上も同一IDでは両方を実行できないよう権限を設定し、操作記録を残して月次で経理課長が確認する運用にした。

内部統制とIT統制は試験でどう引っ掛けられる？

内部統制は監査部門だけの仕事ではなく、整備・運用の責任は経営者にある。またIT統制は「システムに機能を入れること」だけでなく、権限設定や記録の確認といった運用まで含む点に注意する。

内部統制とIT統制と関連する用語

• 職務の分離
• 内部監査
• システム監査

内部統制とIT統制が出た過去問

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（平成23年）”におけるITの統制目標の一つである“信頼性”はどれか。

  正解：情報が，組織の意思・意図に沿って承認され，漏れなく正確に記録・処理されること

  要点：信頼性は承認どおり漏れなく正確に記録・処理されること

  財務報告に係る内部統制の実施基準では、ITの統制目標として準拠性・機密性・完全性（信頼性）・可用性・有効性などが挙げられる。このうち信頼性は、情報が組織の意思・意図に沿って承認され、漏れなく正確に記録・処理されている状態を指す。法令や社内規則への合致は準拠性、権限のない者から保護されることは機密性、必要なときに使えることは可用性であり、混同しやすい。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問36（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査の基準(平成23年)”に基づいて、内部統制の基本的要素を、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタ…

  正解：発注業務と検収業務をそれぞれ別の者に担当させること

  要点：職務分掌による相互牽制は統制活動の代表例

  統制活動とは、経営者の指示が適切に実行されるようにするための方針と手続であり、業務の中に組み込まれる具体的な統制を指す。発注と検収を別の担当者に分ける職務分掌は、不正や誤りを相互に牽制する代表的な統制活動である。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）

• 我が国の証券取引所に上場している企業において、内部統制の整備及び運用に最終的な責任を負っている者は誰か。

  正解：経営者

  要点：内部統制の整備・運用の最終責任は経営者にある

  金融商品取引法に基づく内部統制報告制度では、内部統制を整備し運用する最終的な責任は経営者にあるとされている。経営者は内部統制の有効性を自ら評価して報告書を作成し、監査人がその報告に対して監査を行う構造になっている。監査役は監視する立場、株主は経営を委託する立場であり、整備・運用の責任者ではない。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問37（IPA）

• 内部統制の基本的要素の一つである“統制活動”に該当するものはどれか。

  正解：受注から出荷に至る業務プロセスに組み込まれた処理結果の検証

  要点：統制活動は業務に組み込まれた承認・照合などの手続

  統制活動とは、経営者の指示が確実に実行されるように、業務の中に組み込まれる方針と手続のことです。承認や照合、職務の分離、処理結果の検証といった日常業務に埋め込まれた仕組みが該当します。基本的要素にはほかに統制環境、リスクの評価と対応、情報と伝達、モニタリング、ITへの対応があります。

  出典：令和6年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問8（IPA）