平成22年度春期 システム監査技術者 午前Ⅱ 問14

事象を整理するための着眼点

個別の出来事を見たとき、制度や手続の説明をそのまま受け取らず、どの段階で何が起き、どの条件が関係し、なぜ完全な防止や発見が難しくなり得るのかを、記述に沿って整理して考えます。

この問題で問われていること

一つの事象について、担当者の判断、運用上の制約、周囲との関係などを混同せず、問題文が示す因果関係、前提条件、時間的な順序を丁寧に対応づけ、焦点を一つに絞って確認します。

視点

事象を評価するときは、表面的な結果だけでなく、仕組みが働く過程にある前提、判断、制約の関係を切り分けて捉えます。用語の印象で決めず、設問の記述が示す論点に焦点を合わせることが重要です。

確認ポイント

• 事象の結果ではなく、そこに至る経緯と成立条件がどのように説明されているかを確認する。
• 人の判断、運用環境、仕組みの前提を混ぜず、それぞれが論点にどう関係するかを整理する。
• 記述にない前提を補って断定せず、問題文で明示された因果関係と範囲だけを比較する。

正解

ア

解説

内部統制の固有の限界は、統制の設計者や運用者が整備を怠った結果ではなく、環境の変化などによって、従来の統制が本来の効果を発揮できなくなる点にある。したがって、IT環境の変化で従来のコントロールが効かなくなる事象が該当する。

理由

ITの新技術が導入されると、従来の業務手順やアクセス管理などが前提としていた環境が変わり、以前は有効だったコントロールが十分に機能しなくなることがある。これは、管理者が単に手続きを実施しなかったという不備ではなく、環境変化に伴う内部統制の固有の限界に当たる。

比較

アクセス権限を定期検証する仕組みがないこと、固有の利用者IDを発行していないこと、システム開発を標準化していないことは、いずれも必要な統制の整備・運用が不足している状態です。したがって、固有の限界ではなく、改善すべき内部統制上の不備として整理する。

選択肢ア（正解）

これは正解だよ。ITの新技術の導入によって従来のコントロールが効かなくなる場合、環境の変化によって既存の統制が有効性を失うことになる。これは管理手続の単純な実施漏れではなく、内部統制に内在する固有の限界に該当する。

選択肢イ

これは不正解だよ。アクセス権限の定期的な検証の仕組みがないことは、権限を適切に管理するための統制手続が整備されていない状態である。環境変化によって既存統制が効かなくなる固有の限界ではなく、改善可能な管理上の不備に当たる。

選択肢ウ

これは不正解だよ。固有の利用者IDが発行されていないことは、誰が操作したかを識別・追跡するための基本的なアクセス管理が不十分な状態を示す。これは内部統制に本来的に伴う限界ではなく、必要な統制を整備していない不備である。

選択肢エ

これは不正解だよ。システム開発における標準化がなされていないことは、開発手順や管理方法の統一が不足している状態である。技術環境の変化によって既存の統制が効かなくなる事象とは異なり、組織が整備・改善すべき統制上の不備に該当する。

学習のポイント

固有の限界と、整備不足・運用不備を区別して覚える。