内部統制の「統制活動」はどれ？6つの基本的要素で整理する
情報セキュリティマネジメント試験 令和6年度 問8 ／ システム監査 › 内部統制
過去問にチャレンジ
内部統制の基本的要素の一つである“統制活動”に該当するものはどれか。
- ア
経営目的を達成するための経営方針及び経営戦略
- イ
個人情報保護に関する脅威と脆弱性の分析
- ウ
受注から出荷に至る業務プロセスに組み込まれた処理結果の検証
- エ
定期的に計画して実施する内部業務監査
会話形式の解説
講師今回は内部統制の基本的要素のうち、「統制活動」に当たる事例を選ぶ問題です。基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。まず、各選択肢をどの要素に当てはめられるかを考えてみてください。
受験者6つもあると、名前だけでは区別がつきにくいです。「統制」という言葉からは、定期的に行う内部業務監査がいちばん統制らしく見えました。
講師そこがよくある引っかけです。内部業務監査は、すでにある統制がうまく機能しているかを、業務から独立した立場で評価する活動です。これはモニタリングのうち、独立的評価と呼ばれるものに当たります。
受験者統制そのものではなくて、統制がうまく働いているかを確かめる側なのですね。では、統制活動とは具体的にどういうものですか。
講師経営者の指示が確実に実行されるように定めた方針と手続のことで、業務プロセスに組み込まれているのが特徴です。誤りや不正を防いだり見つけたりするための、日々の業務の中のチェックだと考えてください。
受験者そうすると、受注から出荷までの業務プロセスに組み込まれた処理結果の検証が当てはまりそうです。業務の流れの中で毎回チェックしているからです。
講師そのとおりです。それが正解です。承認、照合、検証、職務分掌（担当者ごとに権限や役割を分けること）、アクセス権の設定、システムによる自動チェックなどが統制活動の典型例です。
受験者個人情報保護に関する脅威と脆弱性の分析は、迷いました。セキュリティ対策の一部なので、統制活動にも見えます。
講師脅威と脆弱性の分析は、目標の達成を妨げる要因を見つけて分析する作業なので、リスクの評価と対応に当たります。どのような統制を導入するかを決めるための作業であり、統制活動そのものとは区別されます。
受験者残りの経営方針や経営戦略は、組織全体の方向性を示すものなので、個別の業務の中で行うチェックとは違いますね。
講師はい。経営方針は統制環境に関わる内容です。統制環境は組織の気風なども含み、他の基本的要素の土台になる要素です。
受験者整理すると、方針や気風は統制環境、リスクの分析はリスクの評価と対応、業務の中で行うチェックは統制活動、統制を評価するのはモニタリング、ということですね。
講師よく整理できています。ひとつ補足すると、日常業務の中で継続的に行う評価も、日常的モニタリングとしてモニタリングに含まれます。日常の業務で行われているかどうかだけで判断せず、統制そのものなのか、統制の評価なのかに注目すると見分けやすくなります。
まとめ
内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。統制活動は、経営者の指示が確実に実行されるように業務プロセスに組み込まれた方針と手続で、承認、照合、検証、職務分掌などが典型例です。そのため、受注から出荷までの業務プロセスに組み込まれた処理結果の検証が統制活動に当たります。経営方針は統制環境、脅威と脆弱性の分析はリスクの評価と対応、定期的な内部監査はモニタリングに分類されます。見分けるときは、統制そのものなのか、統制を評価する活動なのかに注目すると整理しやすくなります。
解答・解説
正解はウです
この問題のテーマ
内部統制の基本的要素のうち「統制活動」がどのような活動を指すかを理解しているか、具体的な事例を見て判別できるかを問う問題です。
解き方の考え方
内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つです。まず、各選択肢がこのうちどの要素に当たるかを振り分けます。統制活動は「業務プロセスに組み込まれ、誤りや不正を防止・発見する具体的な手続」なので、日々の業務の中で行われるチェックを探せば正解にたどり着けます。
選択肢ごとの解説
- ×ア 経営目的を達成するための経営方針及び経営戦略アの経営方針や経営戦略は、組織の目的や方向性を示すものです。統制環境に関わる内容で、個別業務の中で行う統制手続ではありません。そのため、統制活動には当たりません。
- ×イ 個人情報保護に関する脅威と脆弱性の分析イの個人情報保護に関する脅威と脆弱性の分析は、目標の達成を妨げる要因を識別して分析する作業なので、リスクの評価と対応に当たります。リスク評価は、どのような統制を導入するかを決めるための作業です。統制活動そのものとは区別されます。
- ○ウ 受注から出荷に至る業務プロセスに組み込まれた処理結果の検証ウの受注から出荷までの業務プロセスに組み込まれた処理結果の検証は、日常業務の中で誤りや不正を防止・発見するための具体的なチェック手続です。経営者の指示が確実に実行されるようにする方針と手続という、統制活動の定義に当てはまります。
- ×エ 定期的に計画して実施する内部業務監査エの定期的な内部業務監査は、導入済みの統制が有効に機能しているかを、業務から独立した立場で評価する活動です。これはモニタリング（独立的評価）に当たり、統制活動ではありません。
補足
見分け方の目安として、「業務の中で毎回行うチェック」なら統制活動、「統制が機能しているかを後から評価する」ならモニタリングと考えると整理しやすくなります。日常業務の中で継続的に行う評価もモニタリング（日常的モニタリング）に含まれるため、問われているのが統制そのものなのか、統制の評価なのかに注目してください。
※企業会計審議会の「財務報告に係る内部統制の評価及び監査の基準」は出題後に改訂されています。ただし、6つの基本的要素の構成と統制活動の位置付けは変わっていないため、この問題の正解と解説は現在もそのまま当てはまります。
POINT
- 統制活動は、経営者の指示が確実に実行されるように定める方針と手続で、業務プロセスに組み込まれています。
- 承認、照合、検証、職務分掌、アクセス権の設定、システムによる自動チェックなどが統制活動の典型例です。
- 脅威や脆弱性の分析はリスクの評価と対応、内部監査はモニタリングに分類されます。
- 経営方針や組織の気風は統制環境に関わり、統制環境は他の基本的要素の基礎になります。