情報セキュリティマネジメント 2024年 科目A 問08
問題文
内部統制の基本的要素の一つである“統制活動”に該当するものはどれか。
選択肢
ア：経営目的を達成するための経営方針及び経営戦略
イ：個人情報保護に関する脅威と脆弱性の分析
ウ：受注から出荷に至る業務プロセスに組み込まれた処理結果の検証（正解）
エ：定期的に計画して実施する内部業務監査
🔒 解説は解答すると表示されます
統制活動（コントロール活動）【情報セキュリティマネジメント解説】
正解の理由
統制活動とは、業務プロセスの中に組み込まれて実際に不正や誤りを防止・発見するための具体的な手続きや仕組みです。選択肢の中では、業務の流れ（受注→出荷）の中に「処理結果の検証」が組み込まれている ウ が、まさに統制活動に当たります。
他の選択肢は、方針（ア）、リスク分析（イ）、モニタリング（エ）など、統制活動とは役割が異なるため正解になりません。
他の選択肢は、方針（ア）、リスク分析（イ）、モニタリング（エ）など、統制活動とは役割が異なるため正解になりません。
（補足）内部統制は「組織の目標達成や不正防止、正確な財務報告などを支える仕組み」です。代表的なフレームワークにCOSO（Committee of Sponsoring Organizations：米国の内部統制モデル）があります。COSOは「管理環境、リスク評価、統制活動、情報と伝達、モニタリング（監視）」の5要素を挙げており、統制活動はその中の一つです。
解法ステップ
- 「統制活動」の定義を確認する：業務プロセスに組み込まれ具体的に実行される手続きやチェックであることを確認。
- 各選択肢が「方針」「評価」「実施する手続き」「監査」のどれに該当するか分類する。
- 業務の中で日々・定期的に行われる「検証」「承認」「照合」「権限管理」などに該当する選択肢を選ぶ。
- 当てはまるものがあればそれが統制活動（この場合は ウ ）と判断する。
選択肢別の誤答解説
- ア: 経営目的を達成するための経営方針及び経営戦略
- これは「方針」や「経営の方針決定」であり、COSOの言葉では「管理環境（control environment）」に近いものです。方針は統制活動を設計する土台になりますが、具体的な業務上の手続き（統制活動）そのものではありません。
- イ: 個人情報保護に関する脅威と脆弱性の分析
- これはリスク評価（risk assessment：リスクを洗い出し評価する活動）に該当します。リスク評価はどの統制を導入するかを決める作業で、評価自体は統制活動ではありません。
- ウ: 受注から出荷に至る業務プロセスに組み込まれた処理結果の検証
- 正解。処理結果の検証（例：受注内容の確認、在庫引当の照合、出荷前チェック、出荷後の請求書突合せ等）は、業務の中で実際に行われる「統制活動」です。
- エ: 定期的に計画して実施する内部業務監査
- 内部業務監査（内部監査）は、導入された統制が有効に機能しているかを独立して評価・監視する活動です。COSOの「モニタリング（監視）」に相当し、統制活動そのものではありません。
よくある誤解
- 「監査＝統制活動」と混同する
- 内部監査は統制が機能しているかをチェックする別役割です。実際に業務で行う検証や承認が統制活動です。
- 「リスク分析や方針も統制活動だ」と考える
- 方針やリスク評価は統制を設計・決定するプロセスで、統制活動はその後に現場で実行される具体的手続きです。
- 統制活動はすべて手作業だと思い込む
- システムによる自動チェック（入力チェック、照合、自動承認フロー）も統制活動の一種です。
補足コラム
職場での具体例（イメージしやすい運用）
- 受注入力時の必須項目チェック（入力エラーの防止）
- 受注データと在庫システムの突合せ（在庫不足の防止）
- 出荷前の承認シールやチェックリスト（誤配送の防止）
- 出荷後の請求書と納品実績の照合（月次での突合せ）
これらはすべて業務プロセスに組み込まれて日常的に行われるため「統制活動」となります。導入するときは、誰がいつ何を確認するか（職務分掌）を明確にし、手順書やシステムで仕組み化すると運用が安定します。
FAQ
Q1: 統制活動と手続き（業務手順）は同じですか？
A1: 近いですが違います。業務手順は仕事を遂行するための一連の作業説明で、統制活動はその中に組み込まれる「検証」「承認」「分離（職務分掌）」など、誤りや不正を防ぐための仕組みです。
A1: 近いですが違います。業務手順は仕事を遂行するための一連の作業説明で、統制活動はその中に組み込まれる「検証」「承認」「分離（職務分掌）」など、誤りや不正を防ぐための仕組みです。
Q2: ITシステムの自動チェックは統制活動になりますか？
A2: なります。たとえば入力フォーマットチェック、二重登録防止、自動突合せなどは人手を介さない統制として有効です。ただし、設計・設定が適切かどうかの点検（監視）は別途必要です。
A2: なります。たとえば入力フォーマットチェック、二重登録防止、自動突合せなどは人手を介さない統制として有効です。ただし、設計・設定が適切かどうかの点検（監視）は別途必要です。
Q3: 統制活動を強化すると業務が遅くなりませんか？
A3: 確かに手続きが増えると負荷は増えます。重要なのはリスクに見合った統制を設計することと、自動化やリスクベースの重点化で効率化することです。
A3: 確かに手続きが増えると負荷は増えます。重要なのはリスクに見合った統制を設計することと、自動化やリスクベースの重点化で効率化することです。
関連キーワード: 内部統制、統制活動、内部監査、リスク評価、職務分掌、突合せ、承認フロー、COSO、業務プロセス、検証・照合
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！