ITパスポート 2023年 問50

内部統制における職務分掌の事例【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文の目的を確認：今回は「不正防止」が目的。
2. 各選択肢が不正を防ぐかどうかを判断：
   • 「一人で申請と承認をできるか」→できると不正リスクが高い。
   • 「複数人や部署に分けることでチェックが入るか」→チェックの独立性が重要。
3. 最も明確に「チェックと独立性」を担保するものを選ぶ：申請者が自身の申請を承認できないようにする（ア）。

選択肢別の誤答解説

• ア: 申請者が自身の申請を承認できないようにする。
  理由：起案（申請）と承認を分けることで、単独で不正を行い、それを隠すことが難しくなります。職務分掌（しょくむぶんしょう：業務や権限を分けて割り当てる仕組み）の典型的な例です。
• イ: 申請部署と承認部署の役員を兼務させる。
  誤り：役員を兼務させると、実質的にチェックの独立性が失われます。承認の独立性がないため、不正抑止には逆効果です。
• ウ: 一つの業務を複数の担当者が手分けして行う。
  誤り：業務を分担すること自体は有効ですが、「どの部分でチェックが入るか」「独立した承認があるか」が重要です。単に手分けするだけでは責任の所在があいまいになり、必ずしも不正防止につながりません。
• エ: 一つの業務を複数の部署で分散して行う。
  誤り：分散は業務継続性（BCP）や負荷分散には有効ですが、部署間で適切なチェック関係（誰が承認するか等）が設計されていないと、不正防止としては不十分です。

よくある誤解

1. 「分業すればそれで不正は防げる」
   分業（業務を分けること）は手段の一つですが、承認などのチェック機能が独立していなければ意味が薄くなります。誰がチェックするのかが重要です。
2. 「大企業でしか職務分掌は必要ない」
   小規模企業でも、現金の取り扱いや経費承認など、単独で不正が起きやすい業務はあります。規模に合わせた簡易な仕組み（例：承認者を別にする、経理チェック）を導入すべきです。
3. 「ITで自動化すれば職務分掌は不要」
   システム化（自動化）は効果的ですが、システムの管理者が強い権限を持ちすぎると別のリスク（管理者権限による不正）を招きます。権限管理（アクセス制御：誰が何をできるかを決める仕組み）と組み合わせる必要があります。

補足コラム

• 職務分掌（しょくむぶんしょう）の英語的概念は「Segregation of Duties（SOD：職務分離）」です。SODは「一人に重要な流れを独占させない」考え方で、会計だけでなく購買、給与、在庫管理など幅広く使われます。
• 他の内部統制手段としては、定期的な内部監査（内部監査：組織内部で業務やルールの遵守を点検する活動）、職務ローテーション（不正リスク低減のための人事異動）、ログ監査（システム操作履歴の記録と確認）などがあります。
• 実務上は「承認ルール（誰がどれだけの金額を承認できるか）」や「電子承認システムの権限設定」を組み合わせて運用するのが現実的です。

FAQ