情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問38

職務分離による統制【情報セキュリティマネジメント解説】

正解の理由

• 内部統制：会社が業務の正確さや不正防止のために設ける仕組み。
• 統制活動：実際に現場で行う手続きや役割分担（例：承認、照合、職務分離）。

解法ステップ

1. 「内部統制の六つの要素」を思い出す。統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応。
2. 各選択肢を「どの性質か」で分類する：経営の方針（組織の風土）、経営レベルのリスク対応、現場の運用手続き、監視・チェック機能など。
3. 「現場での具体的な手続き・役割分担」に当たるものが統制活動なので、それを選ぶ。
4. 選択肢の語句で職務分離・承認・照合などのキーワードがあるものが統制活動の可能性が高い。

選択肢別の誤答解説

• ア: 経営者が経営方針を全社的に明示していること
  • これは「統制環境」に該当します。統制環境は経営トップの姿勢や企業文化で、組織全体の行動規範を作るものです。現場の具体的手続きではないので統制活動ではありません。
• イ: 情報システムの故障・不具合に備えて保険契約に加入しておくこと
  • 保険はリスク対応の一つで、リスクを移転（外部へ負担）する措置です。よって「リスクの評価と対応」に分類され、統制活動とは区別されます。
• ウ: 内部監査部門が定期的に業務監査を実施すること
  • 内部監査は「モニタリング（監視）」に当たります。統制活動が適切に行われているかをチェックする役割であり、現場で直接リスクを予防する手続きではありません。
• エ: 発注業務と検収業務をそれぞれ別の者に担当させること
  • これは職務分離という具体的な運用手続きで、直接的に誤りや不正を防ぐための「統制活動」です（正答）。

よくある誤解

1. 「内部監査も統制活動の一つだ」と考える誤解
   • 内部監査は統制活動が機能しているかを評価する監視の役割です。現場の手続き自体ではありません。
2. 「保険を掛ければ統制が完了する」と思う誤解
   • 保険は損失発生後の補償や移転であり、発生を防ぐ統制活動とは役割が異なります。まず防止・検出する統制活動を整えることが重要です。
3. 「経営者の方針表明だけで十分」と考える誤解
   • 統制環境（方針）は重要ですが、それだけでは現場での誤りや不正は止められません。具体的な統制活動が必要です。

補足コラム

• 承認フローの導入：一人が一連の処理を完了できないよう、決裁者のチェックを必須にする。
• 定期的な第三者レビュー：上長や別部署がランダムに照合・確認する。
• ITによるアクセス制御：システム上で権限を分け、同一人物が発注と検収の操作をできないようにする（これもIT統制の一つ）。
  これらはすべて「リスクを低くする」ための実用的な手段です。

FAQ