内部統制の統制活動はどれか、六つの基本的要素で見分ける
情報セキュリティマネジメント試験 令和元年度秋期 午前 問38 ／ システム監査 › 内部統制
過去問にチャレンジ
金融庁 “財務報告に係る内部統制の評価及び監査の基準 (平成 23 年) ” に基づいて, 内部統制の基本的要素を, 統制環境, リスクの評価と対応, 統制活動, 情報と伝達. モニタリング, IT への対応の六つに分類したときに, 統制活動に該当するものはどれか。
- ア
経営者が自らの意思としての経営方針を全社的に明示していること
- イ
情報システムの故障・不具合に備えて保険契約に加入しておくこと
- ウ
内部監査部門が定期的に業務監査を実施すること
- エ
発注業務と検収業務をそれぞれ別の者に担当させること
会話形式の解説
講師今回は内部統制の六つの基本的要素の問題です。六つとは、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応です。選択肢がそれぞれどの要素に当たるかを当てはめていくと解けます。
受験者「統制活動」という言葉が広く聞こえて、どれも当てはまりそうに思えます。内部監査部門の業務監査は、いかにも統制している感じがするのですが。
講師そこが一番の引っかけです。内部監査部門が定期的に行う業務監査は、モニタリングに当たります。モニタリングは、内部統制がきちんと機能しているかを継続的に評価する活動です。業務の中に組み込まれた手続ではなく、外から評価する立場の活動なのです。
受験者なるほど、仕組みそのものではなく、仕組みを評価する側ということですね。では、統制活動はどう定義されるのですか。
講師統制活動は、経営者の命令や指示が現場で適切に実行されるための方針と手続です。職務分掌、つまり仕事の担当範囲を分けることや、権限・職責の付与が代表例です。日々の業務で誤りや不正を防いだり見つけたりする仕組みを指します。
受験者それなら、発注業務と検収業務を別の人に担当させるのが職務分掌そのものなので、統制活動だと思います。
講師そのとおりです。一人で発注から受入確認までを完結できなくなるので、担当者どうしの相互牽制、つまりお互いにチェックし合う関係が働きます。架空発注や着服などの不正、単純な誤りを防ぐ具体的な手続です。
受験者経営者が経営方針を全社に明示するのは、どの要素ですか。経営者の指示なので統制活動と迷いました。
講師それは統制環境です。統制環境は、経営トップの姿勢や企業文化など、組織全体の行動の土台となる要素です。現場の個々の業務手続ではないので、統制活動には当たりません。
受験者残りの、システムの故障に備えて保険に加入するというのは、ITが絡むのでITへの対応でしょうか。
講師保険はリスクを外部へ移す、つまり移転する対応策なので、リスクの評価と対応に当たります。ITへの対応と整理する説明もありますが、どちらに分類しても統制活動ではないので、正解の判断は変わりません。
受験者整理すると、トップの姿勢は統制環境、リスクへの備えはリスクの評価と対応、事後の評価はモニタリング、業務に組み込まれた防止の手続が統制活動ですね。
講師よくまとまっています。「監査」という語があると統制活動と取り違えやすいので、日常業務に組み込まれた仕組みなのか、その仕組みを評価する活動なのかを区別してください。なお、この基準は令和5年（2023年）に改訂されていますが、六つの基本的要素の枠組みは変わっていません。
まとめ
財務報告に係る内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の六つです。統制活動は経営者の命令や指示が適切に実行されるための方針と手続で、発注と検収を別の者に担当させる職務分掌が典型例です。経営者の方針表明は統制環境、内部監査部門の業務監査はモニタリング、保険加入はリスクの評価と対応に当たります。業務に組み込まれた仕組みか、それを評価する活動かを区別すると迷いにくくなります。
解答・解説
正解はエです
この問題のテーマ
財務報告に係る内部統制の六つの基本的要素のうち、「統制活動」に当たる具体例を見分けられるかを問う問題です。
解き方の考え方
各選択肢を読み、六つの要素のどれに当たるかを一つずつ当てはめます。統制活動は、経営者の命令や指示が現場で適切に実行されるための方針と手続です。具体的には、職務分掌や権限の付与のように、日々の業務で誤りや不正を防ぎ、見つけるための仕組みを指します。経営トップの姿勢は統制環境、リスクへの備えはリスクの評価と対応、事後の評価はモニタリングと整理すると判別できます。
選択肢ごとの解説
- ×ア 経営者が自らの意思としての経営方針を全社的に明示していること経営者が経営方針を全社に明示することは、統制環境に当たります。統制環境は経営トップの姿勢や企業文化など、組織全体の行動の土台となる要素です。現場の個々の業務手続ではないため、統制活動には当たりません。
- ×イ 情報システムの故障・不具合に備えて保険契約に加入しておくことシステムの故障に備えて保険に加入することは、リスクの評価と対応に当たると説明されるのが一般的です。保険はリスクを外部へ移す（移転する）対応策です。IT関連の事例なので「ITへの対応」に分類する解説も一部にありますが、どちらに分類しても統制活動ではないため、正解の判断は変わりません。
- ×ウ 内部監査部門が定期的に業務監査を実施すること内部監査部門が定期的に行う業務監査は、モニタリングに当たります。モニタリングは、内部統制が有効に機能しているかを継続的に評価する活動です。業務そのものに組み込まれた手続ではなく、外から評価する立場の活動です。
- ○エ 発注業務と検収業務をそれぞれ別の者に担当させること発注業務と検収業務を別の者に担当させることは職務分掌であり、統制活動の典型例です。一人で発注から受入確認までを完結できなくなるため、担当者どうしの相互牽制が働きます。架空発注や着服などの不正、単純な誤りを防ぐ具体的な手続です。
補足
「監査」という語があると統制活動と取り違えやすいですが、内部監査は業務の外から有効性を評価する活動なのでモニタリングです。日常業務の中に組み込まれた「仕組み」か、その仕組みを「評価する」活動かを区別すると迷いにくくなります。
※この基準は出題後の令和5年（2023年）に改訂されています。ただし、内部統制の基本的要素を六つに分ける枠組みは改訂後も変わっていないため、この問題の解き方と正解はそのまま通用します。
POINT
- 内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の六つです。
- 統制活動とは、経営者の命令や指示が適切に実行されるための方針と手続で、職務分掌や権限・職責の付与が代表例です。
- 経営者の方針表明や企業風土は統制環境に、内部監査による評価はモニタリングに分類されます。
- 保険加入のようなリスクの移転は、リスクの評価と対応の具体例として扱われます。