内部統制の6つの基本的要素から取組の名称を見抜く
ITパスポート試験 令和6年度 問54 ／ システム監査 › 内部統制
過去問にチャレンジ
事業活動に関わる法令の遵守などを目的の一つとして，統制環境，リスクの評価と対応，統制活動，情報と伝達，モニタリング，ITへの対応から構成される取組はどれか。
- ア
CMMI
- イ
ITIL
- ウ
内部統制
- エ
リスク管理
会話形式の解説
講師この問題では、問題文に並んでいる6つの語句に注目してください。統制環境から始まって、最後がITへの対応です。この6つが何の構成要素なのかが分かれば、答えはすぐに決まります。
受験者「リスクの評価と対応」という言葉が入っているので、リスク管理かなと最初は思いました。でも、統制環境や統制活動という言葉は、リスク管理とは少し雰囲気が違う気もします。
講師よいところに気づきましたね。この6つは内部統制の基本的要素そのものです。内部統制とは、業務を適正かつ効率的に行うために、組織の内部に整備・運用する仕組みのことです。
受験者では、問題文にある「法令の遵守」も内部統制の目的に入っているのですか。
講師入っています。内部統制の目的は4つで、業務の有効性・効率性、報告の信頼性、法令遵守、資産の保全です。要素と目的の両方が一致するので、正解は内部統制です。
受験者リスク管理が違う理由も確認させてください。リスクを扱う点は同じに見えます。
講師リスク管理は、リスクを特定・分析・評価して対応する活動です。問題文の「リスクの評価と対応」は、内部統制の6要素のうちの一つにすぎません。一部分の名前であって、6要素全体をまとめた取組の名称ではないのです。
受験者CMMIとITILは、略語なのでいつも混ざってしまいます。どちらも内部統制とは別物ということですね。
講師そうです。CMMIは能力成熟度モデル統合と訳され、組織のプロセスがどこまで成熟しているかをレベル1〜5で評価し、改善するためのモデルです。ITILは、ITサービスマネジメント、つまりITサービスの運用・管理のベストプラクティスをまとめたフレームワークです。
受験者CMMIは成熟度のレベル、ITILはITサービスの運用管理、と覚えればよさそうです。そして6つの要素が並んでいたら内部統制、ですね。
講師その整理で大丈夫です。補足すると、内部統制の代表的な枠組みであるCOSOフレームワークの構成要素は5つで、日本の基準ではこれに「ITへの対応」を加えた6つとしています。また、要素の一つに引きずられて全体の名前を取り違えないよう、選択肢が要素の一部なのか全体なのかを意識して読むようにしましょう。
まとめ
統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つは、内部統制の基本的要素です。内部統制の目的は業務の有効性・効率性、報告の信頼性、法令遵守、資産の保全の4つで、問題文の「法令の遵守」とも一致します。リスク管理は6要素のうちの一つに関係する活動で、全体の名称ではありません。CMMIはプロセスの成熟度をレベル1〜5で評価・改善するモデル、ITILはITサービスマネジメントのベストプラクティス集です。
解答・解説
正解はウです
この問題のテーマ
内部統制を構成する6つの基本的要素を手がかりに、取組の名称を答える問題です。似た分野の用語であるCMMI、ITIL、リスク管理と区別できるかも問われています。
解き方の考え方
問題文に並んだ「統制環境」から「ITへの対応」までの6つの語句が、どの取組の構成要素なのかに注目します。この6つは内部統制の基本的要素そのものなので、それだけで答えを絞れます。あわせて、目的に「法令の遵守」が含まれる点も内部統制の目的と一致することを確かめます。
選択肢ごとの解説
- ×ア CMMICMMIは能力成熟度モデル統合と訳され、組織のプロセスがどこまで成熟しているかを評価し、改善するためのモデルです。成熟度をレベル1〜5の段階で表すのが特徴です。問題文の6要素から成る取組ではありません。
- ×イ ITILITILは、ITサービスマネジメントのベストプラクティスをまとめたフレームワークです。ITサービスをどう運用・管理するかを扱うもので、統制環境やモニタリングなどの6要素で構成される取組ではありません。
- ○ウ 内部統制内部統制は、業務を適正かつ効率的に行うために組織の内部に整備・運用する仕組みです。基本的要素は問題文の6つと一致し、法令遵守も内部統制の目的の一つです。
- ×エ リスク管理リスク管理は、リスクを特定・分析・評価して対応する活動です。「リスクの評価と対応」は内部統制の要素の一つにすぎず、6要素全体を表す名称ではありません。
補足
内部統制の代表的な枠組みであるCOSOフレームワークの構成要素は5つで、日本の基準ではこれに「ITへの対応」が加わり6つになっています。そのため、要素の数や「ITへの対応」の有無を問う問題も出ることがあります。また、要素の一つ「リスクの評価と対応」に引きずられてリスク管理を選ばないよう注意しましょう。
POINT
- 内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。
- 内部統制の目的は、業務の有効性・効率性、報告の信頼性、法令遵守、資産の保全の4つです。
- CMMIはプロセスの成熟度をレベル1〜5で評価・改善するモデルです。
- ITILはITサービスマネジメントのベストプラクティス集です。