内部統制の「ITへの対応」とはどんな考え方なのか
ITパスポート試験 令和7年度 問53 ／ システム監査 › 内部統制
過去問にチャレンジ
内部統制の基本的要素の一つである“ITへの対応”に関する記述として、最も適切なものはどれか。
- ア
ITを活用すると業務処理を迅速化でき，不注意によるミスを全て防止できる。
- イ
既存のITの利用者の拡大や，使い方の変更などで組織目標を達成できるのであれば，新たなITシステムの導入やITシステムの更新を強いるものではない。
- ウ
全ての業務プロセスをITで自動化することによって，業務プロセスを大幅に修正することが容易になる。
- エ
組織の業務がITに大きく依存すると，内部統制の目的を達成することが難しくなる。
会話形式の解説
講師今回は内部統制の基本的要素の一つ、「ITへの対応」がテーマです。内部統制とは、組織が目的を達成するために業務を正しく進める仕組みのことです。ITをどう位置づけているかに注目して選択肢を読んでみましょう。
受験者「ITへの対応」というくらいなので、ITを積極的に導入するほど良いという考え方だと思っていました。新しいシステムの導入や更新は必須ではない、という選択肢は逆に見えて迷いました。
講師そこが大事な点です。「ITへの対応」では、ITは組織目標や内部統制の目的を達成するための手段とされています。目的を達成できるかどうかが基準なので、新しくすること自体が目的ではありません。
受験者つまり、今あるITの利用者を増やしたり使い方を変えたりして目標を達成できるなら、新しいシステムを入れなくてもよい、ということですか。
講師そのとおりです。今ある仕組みで足りるなら、必要以上の投資や変更をしなくてかまいません。これが正解の選択肢です。
受験者ITを使うと業務処理が速くなって不注意によるミスを全て防げる、という選択肢は正しそうに見えましたが、どうでしょうか。
講師処理が速くなり、ミスが減るところまでは正しいです。ただ、プログラムの不具合や設定ミス、運用上のミスは残ります。「全て防止できる」は言い過ぎなので誤りです。
受験者全ての業務プロセスを自動化すると修正が容易になる、という選択肢も言い過ぎだから誤り、と考えればよいですか。
講師言葉の強さに気をつけるのは良い読み方ですが、この選択肢は内容で判断するのが確実です。ITを深く組み込んだ業務は、稼動した後で手続を大きく変えようとすると、手作業の業務より難しくなります。全面的に自動化すると柔軟性が下がり、変更のたびにシステム改修の負担が増えることもあります。修正が容易になるという内容が逆なのです。
受験者では、業務がITに大きく依存すると内部統制の目的を達成するのが難しくなる、という選択肢はどうでしょうか。IT依存はリスクが大きいので、正しい気もします。
講師依存度が上がると、対処すべきリスクの種類は変わります。それでも、IT統制、つまりITに関わる管理の仕組みを適切に整備して運用すれば、目的は達成できます。依存しているだけで達成が難しくなるわけではないので、誤りです。
受験者ITは手段なので、導入すれば必ず良くなるわけでも、頼ると必ず悪くなるわけでもない。目的を達成できるかどうかで考える、ということですね。
講師よく整理できています。補足すると、内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。また「ITへの対応」は、組織を取り巻くIT環境への対応と、業務でのITの利用及び統制という2つの面から説明されます。極端な選択肢が出たら、ITは手段だという点に立ち返って見分けてください。
まとめ
内部統制の基本的要素の一つ「ITへの対応」では、ITは組織目標や内部統制の目的を達成するための手段と位置づけられます。そのため、既存のITの利用者を増やしたり使い方を変えたりして目標を達成できるなら、新しいシステムの導入や更新は求められません。ITで処理の迅速化やミスの減少は期待できますが、ミスを全て防ぐことはできません。また、業務を全面的にIT化すると稼動後の修正はむしろ難しくなります。ITへの依存度が高くても、適切なIT統制を行えば目的は達成できます。
解答・解説
正解はイです
この問題のテーマ
内部統制の6つの基本的要素の一つである「ITへの対応」が、どのような考え方に立っているかを問う問題です。
解き方の考え方
「ITへの対応」では、ITは組織目標や内部統制の目的を達成するための手段と位置づけられています。そのため、目的を達成できるかどうかを基準にして各選択肢を読みます。「全て防止できる」「容易になる」「難しくなる」のように、ITの効果や影響を言い切っている表現は疑ってかかると、正解を絞り込みやすくなります。
選択肢ごとの解説
- ×ア ITを活用すると業務処理を迅速化でき，不注意によるミスを全て防止できる。ミスを全て防止できるという説明は誤りです。ITで業務処理は迅速化でき、不注意によるミスも減らせますが、なくせるわけではありません。プログラムの不具合や設定ミス、運用上のミスは残ります。「全て」という言い過ぎが誤りの原因です。
- ○イ 既存のITの利用者の拡大や，使い方の変更などで組織目標を達成できるのであれば，新たなITシステムの導入やITシステムの更新を強いるものではない。既存のITの利用者を増やしたり使い方を変えたりして目標を達成できるなら、新しいシステムの導入や更新は必須ではないという説明は、適切です。大事なのは目的を達成することです。今ある仕組みで足りるなら、必要以上の投資や変更をしなくてかまいません。
- ×ウ 全ての業務プロセスをITで自動化することによって，業務プロセスを大幅に修正することが容易になる。全ての業務プロセスをITで自動化すると修正が容易になるという説明は、誤りです。ITを深く組み込んだ業務は、稼動した後で手続を大きく変えようとすると、手作業の業務よりも難しくなります。全面的な自動化は柔軟性を損ない、変更のたびにシステム改修の負担が増えることがあります。
- ×エ 組織の業務がITに大きく依存すると，内部統制の目的を達成することが難しくなる。ITへの依存が大きいと内部統制の目的を達成しにくくなるという説明は、誤りです。ITへの依存度が高くても、IT統制を適切に整備・運用すれば目的は達成できます。依存度が上がると対処すべきリスクの種類は変わりますが、それだけで達成が難しくなるわけではありません。
補足
「ITへの対応」は、組織を取り巻くIT環境への対応と、業務でのITの利用及び統制という2つの面から説明されます。ITは目的を達成するための手段だという点を押さえておけば、「ITを導入すれば必ず良くなる」「ITに頼ると必ず悪くなる」といった極端な選択肢を見分けられます。
POINT
- 内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。
- 「ITへの対応」とは、組織目標を達成するために、組織の内外のITに適切に対応することです。
- 既存のITを活用して目標を達成できるなら、新しいシステムの導入や更新は求められません。
- ITで処理の迅速化やミスの減少は期待できますが、ミスを全て防ぐことはできません。
- ITへの依存度が高くても、適切なIT統制を行えば内部統制の目的は達成できます。