ITパスポート 2024年 問54

事業活動に関わる法令の遵守などを目的の一つとして、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応から構成される取組はどれか。【ITパスポート 解説】

正解の理由

• CMMI（Capability Maturity Model Integration：組織のプロセス成熟度を評価・改善するためのモデル）
• ITIL（Information Technology Infrastructure Library：ITサービス運用のベストプラクティス集）
• 内部統制（internal control：業務や財務報告の正確性・法令遵守を確保する仕組み）
• リスク管理（risk management：リスクを特定し評価し、対応策を決める活動）
• COSO（Committee of Sponsoring Organizations：内部統制の枠組みを示す組織）

解法ステップ

1. 問題文のキーワードを拾う：「統制環境」「リスクの評価と対応」「統制活動」「情報と伝達」「モニタリング」「ITへの対応」。
2. これらがどの概念にまとまるかを思い浮かべる。5〜6要素で組織全体の管理体制を示すものは「内部統制」を指すことが多い。
3. 選択肢を確認して当てはまるものを選ぶ。CMMIはプロセス改善、ITILはITサービス管理、リスク管理はリスク部分のみ。よって内部統制が最適。

選択肢別の誤答解説

• ア: CMMI
  CMMIは主にソフトウェア開発や組織のプロセス成熟度を評価・改善するためのモデルです。プロセス改善に特化しており、問題文のような「法令遵守や企業全体の統制」全体を示すものではありません。
• イ: ITIL
  ITILは「ITサービスを安定的に運用するための手順やベストプラクティス」をまとめたものです。ITの運用面では内部統制と関係しますが、統制環境や企業全体のリスク評価・監視まで含む広い枠組みではありません。
• ウ: 内部統制
  内部統制は問題文の要素（統制環境、リスク評価、統制活動、情報伝達、モニタリング、IT対応）を含みます。COSOフレームワークに対応する用語であり、法令遵守を目的の一つとする点も一致します。
• エ: リスク管理
  リスク管理（risk management：リスクを特定・評価・対応する活動）は重要ですが、内部統制がカバーする「統制環境」や「情報と伝達」「モニタリング」といったガバナンス全体を含むものではありません。リスク管理は内部統制の一要素と考えられます。

よくある誤解

1. 「リスク管理と内部統制は同じ」と考える誤解
   → リスク管理はリスクの特定・評価・対応に焦点を当てます。内部統制はそれに加えて統制環境（組織文化や方針）、情報伝達、モニタリングなどガバナンス全体を含む広い概念です。
2. 「ITILやCMMIが内部統制そのものだ」と混同する誤解
   → ITILはIT運用のやり方、CMMIはプロセス成熟度の評価手法です。どちらも内部統制の一部（例：IT統制やプロセス管理）に役立ちますが、内部統制全体の枠組みではありません。
3. 「ITへの対応は別物」と考える誤解
   → 現代の内部統制ではIT（システム・データの管理）は不可欠です。アクセス管理や変更管理、バックアップなどが統制活動として含まれます。

補足コラム

• COSOフレームワークは内部統制の代表的な枠組みで、5つの構成要素（統制環境、リスク評価、統制活動、情報と伝達、モニタリング）を示します。問題文はこれに「ITへの対応」を加えた形で、企業の実務に即した表現になっています。
• 日本では金融商品取引法（いわゆるJ-SOX：Japanese Sarbanes-Oxley）により、上場企業などは内部統制の整備・評価が求められる場面があります。企業規模や業種によって内部統制の具体的な対応は変わりますが、基本の考え方は共通です。
• ITへの対応（IT統制）の具体例：ユーザーのアクセス権設定、システム変更時の承認手続き、データのバックアップと復旧手順、ログの監視など。

FAQ