職務の分離とは？しょくむのぶんり

背景

実行できる人が記録も直せる状態では、記録は証拠として使えない。少人数の運用現場ほど権限が一人に集まりやすく、悪意の有無にかかわらず内部統制上の指摘対象になる。実行と承認、実行と点検を別の人へ割ることで、記録が第三者の目を通る構造にするのがこの考え方。

具体例

開発者に本番環境への直接反映の権限を与えず、リリース作業と本番へのアクセス権は運用担当が持つ。ServiceNowなどの変更管理では、申請・承認・実施の役割を別のアカウントに割り当てて記録が残る形にする。

試験での引っ掛け

開発者が本番データを自由に更新できる状態は、不備の典型として監査で名指しされる。緊急時に一時的な権限を渡すこと自体は否定されないが、期限を切った付与と、操作ログの事後確認をセットにして初めて統制として成立する。人数が足りないことは分離しない理由にはならず、その場合は代替統制を用意する。

関連用語

• 内部統制
• アクセス管理
• IT全般統制
• システム監査基準・システム管理基準
• ITガバナンス
• COBIT
• COSOフレームワーク
• 内部統制報告制度（J-SOX）
• リスクアプローチ（リスクベース監査）
• 監査計画（中長期計画・年度計画・個別計画）
• 監査報告書
• 就業規則と労使協定（36協定）
• 資金決済法（暗号資産・前払式支払手段）
• 特定商取引法・景品表示法
• キャッシュレス決済（電子マネー・コード決済）
• 個別監査テーマ（マスタファイル・ISMS・物理セキュリティ）
• 刑法（不正指令電磁的記録に関する罪・電子計算機使用詐欺）
• 不正競争防止法（営業秘密・限定提供データ）
• 受注伝票入力の監査手続（網羅性・正確性の確認）
• 電子帳簿保存法・インボイス制度

出た過去問

• 出典：平成29年度 秋期 ITサービスマネージャ試験 午前Ⅱ 問15（IPA）

  内部統制としての効果的な職務の分離の例として、最も適切なものはどれか。

  正解：開発部門のプログラマが運用部門のオペレータを兼務しない。

  要点：職務の分離の要は開発と運用を同一人に持たせないこと

  職務の分離は、一人が業務の実行と検証の両方を握らないようにして、不正や誤りを防ぐ統制である。システム開発者が本番運用の操作権限も持つと、自分が作り込んだ変更を検証なしに本番へ反映できてしまうため、開発と運用の兼務禁止が典型的で効果的な分離となる。

  この問題の解説ページを見る →