内部統制とITガバナンス

要点と定義

内部統制は、組織が健全かつ効率的に運営されるよう、自ら業務の進め方や確認の仕組みを整え、運用するものです。業務の流れを明確にし、役割を分け、実施ルールとチェック方法を設けることで、誤りや不正の予防・発見につなげます。これは一度決めれば終わりではなく、運用状況を確かめて見直す仕組みです。

誰が基本方針を決め、誰が実行し、誰が独立して確かめるかを区別します。平成23年の金融庁基準を扱った過去の出題で扱った補足として、取締役会が基本方針を決定し、経営者が整備・運用し、監査役等が独立した立場から監視・検証し、内部監査人は状況を検討・評価して改善を促すという役割分担が問われました。監査人が統制を実施するのではなく、実施部門の責任と監査側の評価を分けて考えます。

統制活動は、経営者の指示を実行させるための方針や手続です。実務では、承認、照合、アクセス権の確認などが、具体的な作業として指示を業務に反映します。平成23年基準を扱った過去の出題で扱った補足として、統制環境は組織の気風や統制意識に関わり、リスクの評価と対応は目標を妨げる要因を見定めて対処し、情報と伝達は必要な情報を関係者に届けるものとして、統制活動と区別されました。

ITに係る統制は、個々の業務データや処理を直接確かめるものと、それらを支えるシステム環境を管理するものに分けて考えます。前者では入力の漏れ・重複・誤りの防止や、エラーデータの修正後の再処理などを扱います。後者では開発・変更・運用や委託先の管理など、業務処理が適切に機能する土台を扱います。平成19年の経産省追補を扱った過去の出題で扱った補足として、購買データの入力確認は業務処理統制、運用計画やバックアップのルールは運用を支える統制として区別されました。

個別の業務処理を超えてシステムの変更管理などを整える統制は、ITに係る全般統制です。特定業務の入力や照合を直接確かめる統制とは対象の広さが異なります。平成31年の出題で扱った過去の出題で扱った補足として、制度改正に伴うシステム変更の要件定義と承認は全般統制の例、業務データの入力時の確認や台帳と実物の照合は個別の処理に関わる例として扱われました。

受託業務では、業務の説明や確認に関する文書を誰が作り、保証意見を誰が示すかを分けて考えます。平成23年の実務指針第86号を扱った過去の出題で扱った補足として、システムに関する記述書と受託会社確認書は受託会社が作成し、保証報告書は監査人が作成する組合せが問われました。再委託先の業務を対象外とする扱いがあっても、文書の作成者と保証意見の作成者を混同しないことが判断の要点です。

内部統制の評価では、すべてを同じ深さで確かめるのではなく、重要な虚偽表示につながる可能性が高い領域に監査資源を重点配分するリスクアプローチが用いられます。リスクに関係なく任意に対象を選ぶ方法や、固有リスクだけを見る方法では、重点を適切に定められません。令和元年の実施基準を扱った過去の出題で扱った補足として、この重点配分の考え方が問われました。

ITガバナンスは、組織の価値や信頼の向上に向け、取締役会等がステークホルダのニーズを踏まえてITの利活用の方針を定め、その実現を導く活動です。経営陣がITの状況を評価し、方向を示し、実行状況を見守るという考え方を、運用改善の循環と混同しないようにします。平成30年版システム管理基準を扱った過去の出題で扱った補足として、経営陣の評価・指示・モニタを示すものとしてEDMモデルが問われました。これは当該出題が扱った版の説明であり、現行の細目に明記された内容だとは断定しません。