問31
頻出度★★★
IT統制は, ITに係る全般統制や業務処理統制などに分類される。全般統制はそれぞれの業務処理統制が有効に機能する環境を保証する統制活動のことをいい, 業務処理統制は業務を管理するシステムにおいて承認された業務が全て正確に処理, 記録されることを確保するための統制活動のことをいう。統制活動に関する記述のうち, 全般統制に当たるものはどれか。
平成25年度 春期 ITパスポート試験 問31
マネジメント系システム監査 › 内部統制
この問題の解説と、これまでの解答の記録です。
解説
問 31
- ア
正解 正解は ア「全社で共通に用いるシステム開発規程」。システム開発規程は、ある業務の処理内容そのものを決めるものではなく、どの業務システムを作るときも従うべき手順・基準 (要件定義、設計、テスト、承認、移行、文書化など) を定めた土台の決まりである。この規程が守られることで、各業務システムに組み込まれる入力チェックや承認手続といった業務処理統制が、正しい手順で設計・実装・テストされ、稼働後も維持される。つまり ア は、設問の定義でいう「それぞれの業務処理統制が有効に機能する環境を保証する統制活動」= IT 全般統制に当たる。IT 全般統制の代表例としては、システムの開発・保守に係る管理、システムの運用・管理、内外からのアクセス管理などシステム全体の安全性の確保、外部委託に関する契約の管理が挙げられ、ア はこのうち開発・保守の管理に該当する。
不正解イ
人事システムという特定の業務システムの中で、誰にどの範囲の操作を認めるかを決める利用範囲の限定は、そのシステムで承認された業務だけが正確に処理・記録されることを担保する仕組みであり、業務処理統制に当たる。なお、全般統制側にも「アクセス管理」は登場するが、そちらは IT 基盤・全社インフラ全体に対する内外からのアクセスを守る仕組み (不正侵入対策など、システム全体の安全性の確保) を指す。個々の業務システムの中で誰にどの業務操作を許すかという利用範囲・権限の限定は業務処理統制側であり、同じ「アクセス」でも層が異なる点に注意する。
不正解ウ
経理システムのマスタデータの維持管理は、そのシステムが扱うデータの正確性・完全性を保つための活動であり、業務処理統制の代表例そのものである。全社共通のシステムであっても、統制の対象は特定業務システム内のデータ処理の正しさなので、環境を保証する全般統制ではない。
不正解エ
購買システムの入力エラーの修正手続は、業務処理統制でいう例外処理 (エラー) の修正と再処理に当たる。入力された取引データが正確に処理・記録されるようにする個別業務レベルの統制であり、業務処理統制が働く環境を整える全般統制には該当しない。
ここがポイント
- IT 全般統制は、個々の業務処理統制が有効に機能する環境を保証する統制。代表例は、システムの開発・保守に係る管理 (開発規程・変更管理など)、システムの運用・管理、内外からのアクセス管理などシステム全体の安全性の確保、外部委託に関する契約の管理。
- IT 業務処理統制は、特定の業務システムの中で承認された業務が全て正確に処理・記録されることを確保する統制。代表例は、入力データの正確性・完全性・正当性のチェック、エラーの修正と再処理、マスタデータの維持管理、システム利用の認証や操作範囲の限定。本問は選択肢すべてに「全社で共通に用いる」が付いているので、共通かどうかでは区別できない。システムを作り・動かす土台に関する統制か、特定業務システム内の処理に関する統制かで見分ける。
用語