平成25年度春期 システム監査技術者 午前Ⅱ 問11

IT統制評価の確認観点整理

内部統制におけるIT対応を考えるときは、個別の用語を暗記するより、評価対象の範囲と確認の目的を整理し、問題文の記述がどの観点に関係するかを落ち着いて対応づけることが重要です。

この問題で問われていること

一つの観点として、記述が示す対象・目的・確認のタイミングを切り分け、同じ言葉でも評価の着眼点が変わり得ることを意識して、選択肢の表現を問題文の文脈と照合してください。

視点

評価項目を確認するときは、記述の主語と目的を捉え、何を確認しようとしている説明なのかを文脈に沿って整理します。

確認ポイント

• 記述の主語と対象を確認する
• 評価する目的との結び付きを見る
• 確認の時点や場面を整理する

正解

ウ

解説

全社的な内部統制としてのITへの対応は、経営者がITに関する適切な戦略や計画を定めるなど、組織全体を方向付ける評価項目です。したがって、該当するのはウです。

理由

全社的な内部統制は、個別のシステム作業そのものではなく、経営者の関与の下で組織全体に影響する方針、戦略、計画などが適切に定められているかを評価する。ITへの対応もこの観点で捉える。

比較

外部委託契約の管理、新システム導入時の試験、障害発生時の分析や解決は、個別のIT業務や運用に関する統制活動です。全社的なITへの対応を問う本設問の評価項目とは範囲が異なる。

選択肢ア

これは不正解だよ。ITに係る業務の外部委託に関する契約の管理は、委託先との契約や業務運用を適切に管理する個別の統制活動に当たる。組織全体のIT方針や計画を経営者が定めるという、全社的な内部統制としての評価項目とは内容が異なる。

選択肢イ

これは不正解だよ。新たなシステムの導入に当たり十分な試験を行うことは、導入対象のシステムが適切に機能するかを確認する個別の開発・変更管理上の統制である。全社的なIT戦略や計画を評価する項目ではないため、この設問の答えにはならない。

選択肢ウ（正解）

これは正解だよ。経営者がITに関する適切な戦略や計画などを定めているかは、組織全体のITに対する方向性や管理方針を評価する内容である。個別システムの作業ではなく、全社的な内部統制としてのITへの対応に該当する。

選択肢エ

これは不正解だよ。システム障害が発生した場合の分析や解決などの対応は、障害管理や運用管理に関する個別の統制活動である。組織全体に適用されるITの戦略や計画を経営者が定めているかを評価する項目とは、統制の範囲が異なる。

学習のポイント

全社的な統制と、個別システムの導入・運用に関する統制を区別する。