ITパスポート 2010年 秋期 問35

内部統制が有効に機能していることを継続的に評価するプロセスはどれか。【ITパスポート 解説】

正解の理由

• 内部統制（internal control：企業や組織の業務が正しく行われるようにする仕組み）は、「継続的に機能しているか」を定期的または継続的に確認する必要があります。
• モニタリング（monitoring：継続的に状態をチェックして評価すること）は、まさにその「継続的に評価するプロセス」です。
• 他の選択肢は、内部統制全体の継続評価という役割を持ちません。したがって、モニタリングが正解です。

解法ステップ

1. 問題文で重要な語句を探す：「継続的に評価するプロセス」。
2. 各選択肢の意味を簡単に確認する。
   • 暗号化対策：データを読めないようにする技術。
   • 災害復旧対策：障害や災害からの回復手順。
   • ベンチマーキング：他社や基準との比較評価。
   • モニタリング：継続的にチェックして評価すること。
3. 「継続的に評価する」に最も合う語を選ぶ → モニタリング。

選択肢別の誤答解説

• ア: 暗号化対策（encryption：データを他人に読めないように変換する技術）
  • データ保護という「対策」であり、継続して内部統制の有効性を評価するプロセスではありません。暗号化は内部統制の一部の手段です。
• イ: 災害復旧対策（disaster recovery：自然災害や障害からシステムを回復する対策）
  • いざという時の回復手順や設備準備であり、「継続的評価」の役割を持ちません。重要ですが用途が異なります。
• ウ: ベンチマーキング（benchmarking：他社や基準と比較して評価すること）
  • 比較評価は改善点発見に有効ですが、通常は断続的な比較であって「継続的に内部統制の有効性を評価する」とは意味が異なります。
• エ: モニタリング（monitoring：継続的に状態をチェックして評価すること）
  • 内部統制の「継続的評価」を行うプロセスです。正解。

よくある誤解

1. 「監査＝モニタリング」と混同する
   • 内部監査（internal audit）はしばしば定期的・独立的な評価です。一方モニタリングは日常的・継続的なチェックを指します。両者は補完関係です。
2. 「対策そのものが評価である」と考える
   • 暗号化や災害復旧は対策（手段）です。対策を実施することと、その有効性を継続的に評価することは別の活動です。
3. 「ベンチマーキングが常に評価プロセスだ」と思う
   • ベンチマーキングは比較の手法であり、内部統制の継続的な監視そのものではありません。時々行う比較は改善に役立ちますが、継続的評価とは異なります。

補足コラム

• 内部統制のフレームワーク（例：COSOフレームワーク）では、主な構成要素の一つとして「モニタリング（監視活動）」が位置付けられています。他の要素は「統制環境」「リスク評価」「統制活動」「情報と伝達」などです。覚え方の一つとして「情報→統制→監視（モニタリング）」と順を追ってイメージすると分かりやすいです。
• モニタリングの具体例：ログの自動監視、業務プロセスのKPI（重要業績指標）監視、日常の業務レビュー、問題発見時のフォローアップなど。自動ツールと人的チェックの両方が用いられます。

FAQ