内部統制と職務分掌

要点と定義

IPAシラバス Ver.4.1は「内部統制」を項目として挙げています。職務分掌、実施ルール、チェック体制、リスクの評価と対応、統制活動などが説明されています。IPAシラバス Ver.4.1 PDFの第13頁

「統制活動」は、業務のリスクに対応するため、日々のプロセスに組み込む承認・照合・検証などの手続です。受注から出荷までの処理結果を業務内で検証する例が、統制活動として示されています。

平成30年度の出題で示された平成23年の実施基準の文脈では、IT統制目標の「信頼性」は、組織の意思・意図に沿って情報が承認され、漏れなく正確に記録・処理されることを指します。これは出題時点の基準に基づく説明です。

適用条件と例

表計算ソフトのロジックを変更するときは、変更内容の妥当性を確かめ、変更経緯を追えるようにします。必要に応じて随時変更し上書きする運用は、妥当性の確認や後日の追跡を難しくするリスクがあります。

入力データの誤りを利用部門が見つけたい場合は、入力値を元の記録と照合します。例えば、申込書の金額と表計算シートの金額を一件ずつ確認すれば、入力誤りや転記漏れを発見する手掛かりになります。

システム間でデータを受け渡すときは、目的に応じて件数や金額の合計を送信側と受信側で照合します。例えば、受信側で件数が一件少なければ、欠落の可能性を調べられます。合計と件数が一致しても個々の誤りをすべて否定できるとは限らないため、必要に応じて個別照合も行います。入金額の合計とデータ件数を照合する方法は、受渡しデータの正確性・網羅性を確かめる例です。

発注と検収を別の担当者に分けることや、業務プロセス内に検証を組み込むことは、具体的な統制活動の例です。

取引先口座マスタの登録・変更では申請と承認を分けると、一人の判断だけで変更が反映される事態を防ぐ統制になります。振込依頼の申請と承認も業務システムのワークフローで分けると、紙の手続に依存した承認漏れへの対策になります。

誤りやすい点

統制活動と、統制環境・リスク評価・モニタリングは区別します。経営方針は統制環境、脅威や脆弱性の分析はリスク評価、定期的な内部監査はモニタリングの例です。業務の承認・照合・検証など、プロセスに組み込まれた手続は統制活動です。