平成29年度春期 システム監査技術者 午前Ⅱ 問10

IT対応の評価項目を整理する視点

内部統制のIT対応を考えるときは、個別の用語や印象で判断せず、対象となる活動がどの管理目的と結び付くかを整理し、評価の観点を一貫させることが重要です。そのうえで、確認対象と証拠の関係にも目を向けます。

この問題で問われていること

選択肢を読む際は、ITに関する施策そのものではなく、それが内部統制の評価において何を確認するための観点として置かれているかに焦点を絞り、目的と対象の対応関係を見極めてください。

視点

評価項目を整理するときは、管理上の目的、確認する対象、実施される活動の関係を切り分け、同じ基準で各項目を読み比べると整理しやすくなります。

確認ポイント

• その項目が確認しようとしている内部統制上の目的を読み取る
• 評価対象が手続・仕組み・運用のどこに置かれているか整理する
• 目的と評価対象の対応が文中で一貫しているか確認する

正解

イ

解説

全社的な内部統制としてのITへの対応は、個別システムの作業手続ではなく、経営者が企業全体を対象にITの戦略や計画を定めることに関する評価項目です。

理由

設問は、金融庁の実施基準における「全社的な内部統制」としてのITへの対応を問うている。全社レベルでは、経営者がITに関する適切な戦略や計画を定めているかという、企業全体の方向付けを評価する。

比較

一方、新システムの試験、障害対応、外部委託契約は、特定のシステムやIT業務を適切に管理するための手続です。これらは全社方針そのものではなく、ITに係る全般統制の評価項目として整理される。

選択肢ア

これは不正解だよ。新たなシステムの導入時に十分な試験を行うことは、システム開発・変更管理に関する具体的な統制である。企業全体のIT戦略や計画を経営者が定めているかを評価する項目ではなく、ITに係る全般統制に分類される。

選択肢イ（正解）

これは正解だよ。経営者がITに関する適切な戦略や計画を定めているかは、特定のシステムだけでなく企業全体のITの方向性を対象とする。したがって、全社的な内部統制におけるITへの対応の評価項目に該当する。

選択肢ウ

これは不正解だよ。システム障害の分析や解決を適切に行うことは、日常のシステム運用管理に関する統制である。経営者が全社的なIT戦略や計画を定める評価項目ではなく、ITに係る全般統制として整理される。

選択肢エ

これは不正解だよ。販売管理システムの運用業務を外部委託する契約を社内規程に従って締結することは、特定業務の外部委託管理に関する統制である。全社的なIT方針や計画の評価ではなく、ITに係る全般統制に該当する。

学習のポイント

全社的なIT統制と、個別システムに対するIT全般統制を分類する力を身につける。