問35
頻出度★★★
内部統制が有効に機能していることを継続的に評価するプロセスはどれか。
平成22年度 秋期 ITパスポート試験 問35
マネジメント系システム監査 › 内部統制
この問題の解説と、これまでの解答の記録です。
解説
問 35
不正解ア
暗号化対策は、データを第三者に読み取られないように変換して機密性を守る情報セキュリティの技術的な統制手段（統制活動の一つ）であり、リスクを低減するための「打ち手」に当たる。内部統制そのものが有効に機能しているかを継続的に評価するプロセスではないので誤り。
不正解イ
災害復旧対策（ディザスタリカバリ）は、地震や火災などで情報システムが被災した場合に、業務を復旧・継続させるための備え（BCP・事業継続の一環）である。これも障害発生に備えた具体的な対策であって、内部統制の有効性を継続的に評価する活動ではないので誤り。
不正解ウ
ベンチマーキングは、自社の製品・サービス・業務プロセスを、業界最高水準の他社（ベストプラクティス）と比較して、その差を分析し改善につなげる経営手法である。比較対象が社外の優良事例であり、自社の内部統制が機能しているかを継続的に監視する仕組みではないので誤り。
- エ
正解 エのモニタリング（監視活動）が正解。モニタリングとは、内部統制が意図したとおりに有効に機能しているかを継続的に評価し、必要に応じて是正するプロセスで、内部統制の基本的要素の一つとして位置付けられている。モニタリングには、業務に組み込まれて日常的に行われる「日常的モニタリング」（上司による承認・照合・実績と予算の差異分析など）と、業務から独立した立場で定期的に行われる「独立的評価」（内部監査部門による監査、経営者による評価など）があり、この二つを組み合わせて内部統制の不備を発見し、改善につなげる。設問の「有効に機能していることを継続的に評価する」という表現が、まさにモニタリングの定義そのものである。
ここがポイント
- 内部統制の基本的要素は「統制環境／リスクの評価と対応／統制活動／情報と伝達／モニタリング（監視活動）／IT への対応」の 6 つ。このうち内部統制自体の有効性を継続的に評価・是正する役割を担うのがモニタリングである。
- モニタリングは、業務に組み込まれた「日常的モニタリング」と、業務から独立した内部監査などによる「独立的評価」に分けられる。暗号化・災害復旧のような個別のリスク対策（統制活動）と、その仕組みを評価するモニタリングを区別して覚えること。
用語