問39
頻出度★★★
構築された内部統制の整備状況を評価するために，リスクコントロールマトリクスを利用する。リスクコントロールマトリクスの利用に関する次の記述中の，a，b に入れる字句の適切な組合せはどれか。 リスクと [ a ] を記述して，[ b ] を評価する。
平成26年度 春期 ITパスポート試験 問39
マネジメント系システム監査 › 内部統制
この問題の解説と、これまでの解答の記録です。
解説
問 39
不正解ア
a も b も誤りです。a の「候補となる統制項目」は、これから導入を検討する案を指し、「構築された内部統制の整備状況を評価する」という設問の目的 (既存の統制の評価) と合いません。b の「統制項目の経済性」は費用対効果の話で、統制の導入可否を判断する場面の観点であり、RCM がリスクと統制の対応から読み取る内容ではありません。
不正解イ
b の「リスクの低減度」は正しいものの、a の「候補となる統制項目」が誤りです。評価するのはすでに構築・実施されている統制であり、未導入の候補を並べても現状の整備状況は評価できません。
不正解ウ
a の「実施している統制項目」は正しいものの、b の「統制項目の経済性」が誤りです。RCM が示すのはリスクと統制の対応関係であり、そこから評価できるのは統制によってリスクがどれだけ下がったか (低減度) です。コスト面の妥当性は費用対効果分析など別の手法で扱います。
- エ
正解 リスクコントロールマトリクス (RCM) は、識別した「リスク」と、それに対応して「実施している統制項目」を行列 (マトリクス) 形式で対応づけた一覧表です。設問は「構築された内部統制の整備状況を評価する」ためと述べており、評価対象はこれから検討する案ではなく、すでに組み込まれ運用されている統制です。そこで RCM には〔a〕= 実施している統制項目を記述し、その統制がそれぞれのリスクをどの程度抑え込めているか、すなわち〔b〕= リスクの低減度を評価します。リスクと統制の対応を突き合わせることで、統制が当たっていないリスク (統制の抜け・漏れ) や、統制が弱くリスクが十分に下がっていない箇所を可視化できる、というのが RCM の目的です。したがって a=実施している統制項目、b=リスクの低減度 の組合せである エ が正解です。
ここがポイント
- リスクコントロールマトリクス (RCM) = 識別したリスクと、それに対応して実施している統制項目を対応づけた一覧表。統制の抜け・漏れや弱さを可視化する内部統制評価のツール。
- RCM で評価するのは「リスクの低減度」(統制によってリスクがどこまで下がったか) であって、統制の経済性 (費用対効果) ではない。設問の「構築された内部統制の整備状況」= 既存・実施中の統制が評価対象、という読み取りが解答の鍵。
用語