統制活動に該当するもの｜情報セキュリティマネジメント 令和元年 秋期午前試験 問38
出典：令和元年秋期 午前 問38
分野：システム監査（中分類） ／ 内部統制
金融庁"財務報告に係る内部統制の評価及び監査の基準（平成23年）"に基づいて，内部統制の基本的要素を，統制環境，リスクの評価と対応，統制活動，情報と伝達，モニタリング，ITへの対応の六つに分類したときに，統制活動に該当するものはどれか。
- ア：経営者が自らの意思としての経営方針を全社的に明示していること
- イ：情報システムの故障・不具合に備えて保険契約に加入しておくこと
- ウ：内部監査部門が定期的に業務監査を実施すること
- エ：発注業務と検収業務をそれぞれ別の者に担当させること
TSUNAGARU-ADVICE
まず押さえたいこと
統制活動とは、経営者の方針やルールを実際の業務で確実に実行するための具体的な手続や仕組みです。代表例には、承認、照合、アクセス制御、職務分掌などがあります。
迷ったときの判断軸
実際の業務プロセスに組み込まれた具体的なコントロールかを確認しましょう。発注と検収を別の担当者に分ける職務分掌は統制活動です。経営方針の明示は統制環境、内部監査はモニタリング、保険加入はリスクへの対応に関係します。
学習の優先度
内部統制の6要素は科目Aのマネジメント分野で押さえておきたい論点ですが、科目Bとの直接的な関連は強くありません。統制活動 = 承認、照合、職務分掌などの具体的な業務上のコントロールと整理したら、脅威・リスク・アクセス制御・ログ分析・インシデント対応などのセキュリティ分野を優先しましょう。
内部統制の「統制活動」とは、経営者の指示や方針が適切に実行されるようにするための具体的な方針・手続です。代表例として、承認、照合、職務分掌、権限の付与などがあります。
本問では、「発注業務と検収業務をそれぞれ別の者に担当させる」という部分が判断のポイントです。同じ人が発注から検収までを一貫して担当すると、不正や誤りを見逃す可能性が高まります。そこで業務を分担し、相互にけん制できるようにする職務分掌は統制活動に該当するため、エが適切です。
❌他選択肢が誤りの理由ア：経営者が自らの意思としての経営方針を全社的に明示していること
⇒統制環境に該当します。経営者の姿勢や経営方針、組織風土などは、内部統制全体の基礎となる環境を形成します。
イ：情報システムの故障・不具合に備えて保険契約に加入しておくこと
⇒リスクの評価と対応に該当します。情報システムの故障というリスクを認識し、その影響に備えて保険を利用するのは、リスクへの対応策です。
ウ：内部監査部門が定期的に業務監査を実施すること
⇒モニタリングに該当します。内部統制が有効に機能しているかを継続的又は定期的に評価し、必要に応じて改善につなげる活動です。