問8 内部統制の統制活動の例

情報セキュリティマネジメント試験令和6年度公開問題、全15問のうちの問8。

内部統制の基本的要素の一つである“統制活動”に該当するものはどれか。

ア経営目的を達成するための経営方針及び経営戦略
イ個人情報保護に関する脅威と脆弱性の分析
ウ受注から出荷に至る業務プロセスに組み込まれた処理結果の検証
エ定期的に計画して実施する内部業務監査

答えと解説を開く

正解はウです。

内部統制の基本的要素には、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、IT への対応があります。統制活動は、経営者の指示が実行されるように、日々の業務の流れの中に組み込まれた方針と手続のことです。承認、照合、職務の分離、処理結果の検証などが例です。ウは、受注から出荷までの業務プロセスの中で、処理の結果が正しいかを確かめています。正解はウです。

ほかの選択肢が違う理由

ア経営方針や経営戦略は、組織の気風や姿勢を形作る統制環境に関わるものです。業務の中で行う手続ではありません。
イ脅威と脆弱性を分析するのは、リスクを見つけて評価する、リスクの評価と対応に当たります。
エ業務から独立した立場で定期的に行う内部監査は、内部統制が働いているかを確かめるモニタリングに当たります。

仕組み

見分け方の目安は「業務の流れの中か、外か」です。業務の中に組み込まれた確認は統制活動、業務の外から独立して確かめる評価 (内部監査など) はモニタリングです。ただしモニタリングには、業務の中で続けて行う日常的モニタリングもあります。

統制活動の典型は、上長の承認、帳簿と実物の照合、入力と出力の突き合わせ、作業する人と確認する人を分けることです。