ITパスポート 2009年 秋期 問49

内部統制に関する記述として、適切なものはどれか。 【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で問われているのは「内部統制に関する記述として、適切かどうか」です。まず「内部統制」の定義を頭に入れます。
   • 内部統制 = 経営者が組織目的の達成について合理的な保証を得るための仕組み（マネジメントプロセス）
2. 各選択肢がこの定義や内部統制の運用方法に合致するかを確認します。
   • 誰が責任を持つか（経営者か内部監査か）
   • リスク評価の考え方（発生頻度と影響度の両方を見るか）
   • モニタリング（監視・評価）が独立的か、自己評価か
3. 定義と照らし合わせ、最も正確に内部統制を表している選択肢を選びます → エ。

選択肢別の誤答解説

• ア: 「内部監査人は、経営者による内部統制の整備や運用に対して監督責任をもつ。」
  • 誤り。内部統制の整備・運用の最終責任は経営者にあります。内部監査人（内部監査人とは、組織内部から独立して業務や統制、リスク管理の妥当性を評価・助言する人）は、監督責任を持つのではなく、独立的な評価（アシュアランス：保証）や助言を行います。
• イ: 「内部統制に関するリスクは、発生頻度でなく発生した場合の財務情報への影響度で評価する。」
  • 誤り。リスク評価は一般に「発生する可能性（発生頻度・確率）」と「発生した場合の影響度（損害の大きさ）」の両方を見て行います。どちらか一方だけで決めるものではありません。
• ウ: 「業務実施部門がチェックリストで自らの業務がルールどおりに行われているかを評価する独立的モニタリングがある。」
  • 誤り。業務実施部門が自ら評価するのは「自己評価（セルフアセスメント）」です。独立的なモニタリング（モニタリングとは継続的な監視や評価のこと）は、経営層や内部監査など業務執行部門から独立した立場で行うことを指します。

よくある誤解

1. 「内部監査が内部統制の実行責任者」
   • 実際は違います。実行責任者は各業務部門や経営者です。内部監査は評価・監査の立場です。
2. 「内部統制でリスクをゼロにできる」
   • 内部統制はリスクを大幅に低減できますが、「合理的な保証」であって完全な排除（ゼロ）を保証するものではありません。
3. 「自己チェック＝モニタリング」
   • 自己チェックは重要ですが、それはセルフアセスメントです。独立的モニタリングとは区別します。

補足コラム

• COSOフレームワーク（COSOはCommittee of Sponsoring Organizationsの略：企業統治のための国際的ガイド）は、内部統制を理解するうえでよく参照されます。主要な構成要素は次の5つです。
  1. 統制環境（企業文化や倫理観）
  2. リスク評価（何が起こり得るかを評価する）
  3. 統制活動（具体的なルールや手続き）
  4. 情報と伝達（必要な情報を適切に伝える仕組み）
  5. モニタリング（仕組みが機能しているかの監視）
• 「合理的な保証」とは、コストと効果のバランスを考え、実務的に期待できる範囲での保証を指します。例えば全件で物理的確認をするより、代表サンプルで定期確認する方が現実的なこともあります。

FAQ