問38 内部統制の統制活動の例

情報セキュリティマネジメント試験令和元年度秋期午前、全50問のうちの問38。

金融庁“財務報告に係る内部統制の評価及び監査の基準（平成 2⁠3 年）”に基づいて，内部統制の基本的要素を，統制環境，リスクの評価と対応，統制活動，情報と伝達，モニタリング，IT への対応の六つに分類したときに，統制活動に該当するものはどれか。

ア経営者が自らの意思としての経営方針を全社的に明示していること
イ情報システムの故障・不具合に備えて保険契約に加入しておくこと
ウ内部監査部門が定期的に業務監査を実施すること
エ発注業務と検収業務をそれぞれ別の者に担当させること

答えと解説を開く

正解はエです。

統制活動は、業務の中に組み込んだ具体的な手続きです。承認、照合、権限と職責の割り当て、職務の分離などがあります。発注と検収を同じ人が担当すると、架空の発注をして自分で検収するといった不正ができてしまいます。担当を分ければ、互いの仕事が確かめ合いになり、不正や誤りを防げます。エがこれに当たります。正解はエです。

ほかの選択肢が違う理由

ア経営者が経営方針を全社に示すことは、組織の気風や意識を決める統制環境に当たります。
イ故障や不具合に備えて保険に入るのは、リスクを他に移す対応です。基本的要素ではリスクの評価と対応に当たります。
ウ内部監査部門が定期的に業務を監査して、内部統制が働いているかを確かめるのは、モニタリングに当たります。

仕組み

6 つの要素は、土台 (統制環境)、何が危ないかを見る (リスクの評価と対応)、日々の手続き (統制活動)、伝える (情報と伝達)、効いているかを見張る (モニタリング)、IT を使う (IT への対応)、と役割で覚えます。

職務の分離は、1 人に仕事の初めから終わりまでを任せないことです。システムでも、開発する人と本番に反映する人を分けるなど、同じ考え方が使われます。