COSOフレームワークとは？こそふれーむわーく
COSOフレームワークとは、内部統制の代表的な枠組みで、統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング（日本の実施基準ではこれに「ITへの対応」を加えた6要素）で構成される。運用の場面では、変更の承認記録・作業手順書・障害統計の月次報告・内部監査といった日常の仕組みが、それぞれどの要素にあたるかを整理し、抜けている要素を見つけるために使う。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
不正や誤りは、担当者の注意力ではなく組織の作りから生まれる。個別の対策を積み上げるだけでは、手続きは山ほどあるのに経営者の姿勢が伴わない、報告経路が無い、点検する人がいない、といった偏りに気づけない。COSOは対策を6つの観点に分類することで、この偏りを目に見える形にした。運用にとっては、監査で「統制は有効か」と問われたときに、証拠を要素ごとに並べて示すための整理棚として働く。
具体例
「本番変更をCABで審議し承認記録を残す」は統制活動、「重大インシデントと稼働率を月次で経営会議へ報告する」は情報と伝達、「内部監査部門が年1回、特権IDの払出し記録を抜き取り点検する」は独立的評価としてのモニタリングにあたる。日本の金融商品取引法に基づく内部統制報告制度（J-SOX）では、これに加えてIT全般統制としてアクセス管理・変更管理・運用管理が評価対象になる。
試験での引っ掛け
統制環境を「統制の手続き」と読むのは誤りで、これは経営者の姿勢や組織風土そのものを指す。また日常的モニタリング（業務に組み込まれた点検）と独立的評価（内部監査など別の主体による点検）は別物で、運用部門が自分の作業ログを自分で点検しているだけでは独立的評価にはならない。「ITへの対応」は日本の実施基準で加えられた要素であり、原典の構成要素には含まれていない点も混同されやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。