応用情報技術者 2010年 春期 午前2 問60

内部統制のIT対応【午前2解説】

正解の理由

解法ステップ

1. 問題語句「ITへの対応」が金融庁基準に関する記述であることを確認する。
2. 金融庁が示す「ITへの対応」の定義を思い出す（＝環境整備と利用時の統制の二面性）。
3. 各選択肢をその定義に照らして照合する。二つの側面を含む記述が正答であることを確認する。
4. 他選択肢が示す誤った前提（COSOの構成や手作業の否定、独立存在の主張）を排除する。

選択肢別の誤答解説

• ア: COSOの“内部統制の統合的枠組み”にも、構成要素の一つとして示されている。
  → 誤り。COSOのフレームワークは「統制環境」「リスク評価」「統制活動」「情報と伝達」「監視」の5要素であり、IT自体を独立した要素として挙げているわけではありません。ITはこれらの要素（特に「情報と伝達」「統制活動」）の中で考慮されます。
• イ: IT環境への対応と ITの利用及び統制からなる。
  → 正答。金融庁基準が想定する「ITへの対応」は、IT環境の整備と業務での利用における統制という二つの観点から成ります。
• ウ: ITを利用しない手作業での統制活動では内部統制の目的は達成できない。
  → 誤り。手作業（マニュアル）による統制活動でも内部統制の目的を達成できる場合は多くあります。重要なのは統制の有効性であり、ITの有無は手段の違いにすぎません。むしろ業務に応じて手作業とIT統制を適切に組み合わせることが重要です。
• エ: ほかの内部統制の基本的要素と独立に存在する。
  → 誤り。ITへの対応は他の要素（統制環境、リスク評価、統制活動、情報と伝達、監視）と密接に関連し、独立して存在するものではありません。例えば、ITによるログ管理は「情報と伝達」に関わり、アクセス制御は「統制活動」に該当します。

よくある誤解

• COSOフレームワークがITを独立要素としていると誤解する。
  → 実際はITはフレームワーク内の各要素に影響を与える横断的テーマです。
• IT化すれば自動的に内部統制が強化されると考える。
  → 自動化は有効ですが、設計・設定ミスや承認ルールの不備によって逆にリスクが増す場合があります。
• 手作業統制は時代遅れで不要と判断する。
  → 手作業統制でも有効な場合は多く、IT統制との組合せで効果を発揮します。

補足コラム

• IT環境への対応：インフラの可用性・冗長化、システム開発手法の管理、バックアップ/災害復旧設計、外部委託管理
• ITの利用及び統制：アカウント管理・アクセス制御、変更管理プロセス、トランザクションの自動化検証、監査ログの収集と監視

FAQ