内部不正防止の取組はどこを見て判定する？
ITパスポート試験 令和元年度秋期 問61 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
IPA"組織における内部不正防止ガイドライン(第4版)"にも記載されている，内部不正防止の取組として適切なものだけを全て挙げたものはどれか。 a システム管理者を決めるときには，高い規範意識をもつ者を一人だけ任命し，全ての権限をその管理者に集中させる。 b 重大な不正を犯した内部不正者に対しては組織としての処罰を検討するとともに，再発防止の措置を実施する。 c 内部不正対策は経営者の責任であり，経営者は基本となる方針を組織内外に示す"基本方針"を策定し，役職員に周知徹底する。
- ア
a，b
- イ
a，b，c
- ウ
a，c
- エ
b，c
会話形式の解説
講師この問題は、三つの取組を一つずつ判定してから、正しい組合せを選びます。特に管理者への権限の与え方に注目します。
受験者規範意識の高い管理者なら、権限を任せてもよさそうだと思いました。
講師見るべき点は、信頼できる人を選ぶことより、全ての権限を一人に集中させることです。これは内部不正のリスクを高めるため、不適切です。
受験者管理者への全権限の集中が入る組合せは、選べないのですね。
講師そのとおりです。管理者への権限集中を含む三つの組合せは、いずれも不適切です。
受験者重大な不正をした人への処罰を検討する取組は、適切ですか。
講師適切です。組織として処罰を検討するとともに、再発防止の措置も実施する点を押さえます。
受験者経営者が基本方針を定めて役職員に知らせる取組も、適切なのでしょうか。
講師はい。内部不正対策は経営者の責任であり、基本方針の策定と役職員への周知は適切です。
受験者つまり、処罰の検討と再発防止、基本方針の策定と周知の二つを挙げた組合せを選びます。
講師その組合せがエです。「信頼できる管理者」という部分だけで判断せず、権限を一人に集中させていないかを確認しましょう。
まとめ
内部不正を防ぐ取組では、規範意識の高い管理者であっても、全権限を一人に集中させるのは不適切です。重大な内部不正には、処罰の検討と再発防止の措置を行います。経営者が基本方針を策定し、役職員に周知することも適切です。したがって、適切な二つの取組を挙げたエが正解です。
解答・解説
正解はエです
この問題のテーマ
内部不正を防ぐための権限管理、処罰と再発防止、経営者の責任について、適切な取組を見分ける問題です。
解き方の考え方
まずa・b・cをそれぞれ判定し、その結果と一致する組合せを選びます。権限を一人に集中させるaは不適切で、処罰と再発防止を行うb、経営者が基本方針を定めて周知するcは適切です。したがって正解はb・cを挙げたエです。
選択肢ごとの解説
- ×ア a，b重大な不正への処罰と再発防止を挙げるbは適切です。しかし、アに含まれるaは全権限を一人の管理者に集中させるため、不適切です。
- ×イ a，b，cbの処罰と再発防止、cの基本方針の策定と周知は適切です。一方、aの権限集中は内部不正のリスクを高めるため、三つ全てを挙げるイは選べません。
- ×ウ a，c経営者が基本方針を定めて周知するcは適切です。しかし、一人の管理者に全権限を集中させるaは不適切なので、aとcを挙げるウは選べません。
- ○エ b，cbは重大な内部不正について組織として処罰を検討し、再発防止策も実施する取組です。cは経営者が責任を持って基本方針を策定し、役職員に周知する取組です。どちらも適切なので、エが正解です。
補足
「信頼できる人を任命する」という部分だけでaを適切と判断しないようにしましょう。着目すべきなのは、権限を一人に集中させるという点です。
POINT
- 管理者の規範意識が高くても、全権限を一人に集中させるのは不適切です。
- 重大な内部不正には、処罰の検討と再発防止の両方が必要です。
- 内部不正対策の基本方針を定め、役職員に周知することは経営者の責任です。