問35
頻出度★★★
内部統制が有効に機能していることを継続的に評価するプロセスはどれか。
平成22年度 秋期 ITパスポート試験 問35
マネジメント系システム監査 › 内部統制
这道题的解析和你的作答记录。
解説
問 35
错误ア
加密对策是把数据转换成第三方无法读取的形式，从而保护机密性的信息安全技术性控制手段（属于控制活动之一），相当于为降低风险而采取的具体措施。它不是持续评估内部控制本身是否有效运作的流程，所以错误。
错误イ
灾难恢复对策（Disaster Recovery）是为了在地震、火灾等灾害导致信息系统受损时能够恢复和延续业务而做的准备（属于 BCP、业务连续性的一环）。这同样是针对故障发生而准备的具体对策，而不是持续评估内部控制有效性的活动，所以错误。
错误ウ
基准测试（标杆分析）是把本公司的产品、服务、业务流程与业内最高水平的其他公司（最佳实践）进行比较，分析其差距并推动改进的经营手法。其比较对象是公司外部的优秀案例，而不是持续监视本公司内部控制是否在发挥作用的机制，所以错误。
- エ
正解 正确答案是 エ 的监控（监视活动）。监控是指持续评估内部控制是否按预期有效运作、并在必要时加以纠正的流程，它被定位为内部控制的基本要素之一。监控包括嵌入业务之中日常开展的「日常性监控」（上级主管的审批、核对，实际业绩与预算的差异分析等），以及站在独立于业务的立场上定期实施的「独立评价」（内部审计部门的审计、管理层的评价等），把两者结合起来发现内部控制的缺陷并推动改进。题干中「持续评估是否有效运作」这一表述，正是监控的定义本身。
ここがポイント
- 内部控制的基本要素共有 6 个：「控制环境／风险的评估与应对／控制活动／信息与沟通／监控（监视活动）／对 IT 的应对」。其中承担持续评估并纠正内部控制自身有效性这一职责的，就是监控。
- 监控可分为嵌入业务之中的「日常性监控」，以及由独立于业务的内部审计等实施的「独立评价」。要把加密、灾难恢复这类针对个别风险的对策（控制活动），与评估这套机制的监控区分开来记忆。
用語