ITパスポート 2019年 秋期 問61

内部不正防止の取組として適切なものはどれか【ITパスポート 解説】

正解の理由

• 項目bは、重大な不正が発生した場合に組織として適切に処分し、その原因を分析して再発防止策を実施することを求めています。これはガイドラインの「発見後の対応」と「再発防止」の趣旨に合致します。
• 項目cは、経営者が内部不正対策の方針を策定し、組織内外に示して役職員に徹底させることを求めています。経営者責任（ガバナンス）として、方針の明確化と周知は基本中の基本です。
• 項目aは一見合理的に見えますが、すべての権限を一人に集中させることは「権限の分離（職務分掌）」や「最小権限の原則（least privilege：必要最小限の権限のみ与える）」に反します。権限集中は不正の温床になりやすいので不適切です。

解法ステップ

1. 各選択肢（a,b,c）の趣旨を短く読み取る。
2. ガイドラインに沿うかを判断するための主要原則を思い出す：
   • 経営者による方針策定と周知（ガバナンス）
   • 権限の分離・最小権限（内部不正の予防）
   • 発見後の適切な対応と再発防止
3. aは「権限集中」で他の原則と矛盾するため除外。bとcはガイドラインに合致するので採用。
4. よって正しい組合せは b と c を含む選択肢、すなわち エ を選ぶ。

選択肢別の誤答解説

• ア（a, b）:
  • aが含まれているため誤り。権限を一人に集中させる点で内部不正リスクを高めます。bは正しいがaがダメ。
• イ（a, b, c）:
  • cとbは正しいが、aが混ざっているため誤り。全部正しいわけではない。
• ウ（a, c）:
  • cは正しいが、aがあるため誤り。aは権限集中で問題。
• エ（b, c）:
  • bとcはいずれもガイドラインの基本的な取組を表しており、適切な組合せです。したがって正解。

よくある誤解

1. 「信用できる一人に任せれば安全になる」
   • 誤解です。どれだけ信頼できる人でも人為的ミスや誘惑、外的圧力で不正が起こる可能性があります。仕組みとして防ぐことが重要です。
2. 「処罰だけすれば問題解決する」
   • 処罰は必要ですが、原因分析と再発防止策（手続きの見直し、権限管理、監査）がなければ同じ問題が再発します。
3. 「方針を作ればそれで終わり」
   • 方針の策定は出発点です。周知・教育・実行・監督（モニタリング）が伴わなければ意味が薄れます。

補足コラム

• 職務分掌（しょくむぶんしょう）とは：業務や権限を複数人に分ける仕組みです。会計で言えば「支払を承認する人」と「支払を実行する人」を別にするイメージです。これにより一人で不正が完結しないようにします。
• 最小権限の原則（least privilege）：人やシステムに必要最低限の権限だけ与えること。余計な権限を与えると誤操作や不正のリスクが高まります。
• ガイドラインは法令ではありませんが、業界の実務的なベストプラクティスをまとめたものです。組織の対策の手引きとして有用です。

FAQ