問39
頻出度★★★
構築された内部統制の整備状況を評価するために，リスクコントロールマトリクスを利用する。リスクコントロールマトリクスの利用に関する次の記述中の，a，b に入れる字句の適切な組合せはどれか。 リスクと [ a ] を記述して，[ b ] を評価する。
平成26年度 春期 ITパスポート試験 問39
マネジメント系システム監査 › 内部統制
这道题的解析和你的作答记录。
解説
問 39
错误ア
a 和 b 都错。a 的「备选的控制项目」指的是今后才要研究是否引入的方案，与题干目的「评估所构建的内部控制的完善状况」（即评估既有的控制）不符。b 的「控制项目的经济性」讲的是费用效益，属于判断是否引入某项控制时的视角，并不是 RCM 从风险与控制的对应关系中所能读取的内容。
错误イ
b 的「风险的降低程度」是对的，但 a 的「备选的控制项目」错了。要评估的是已经构建并在实施的控制，即使罗列尚未引入的备选项，也无法评估现状的完善状况。
错误ウ
a 的「正在实施的控制项目」是对的，但 b 的「控制项目的经济性」错了。RCM 呈现的是风险与控制的对应关系，由此能评估的是控制把风险降低了多少（降低程度）。成本上是否划算，要用费用效益分析等其他方法来处理。
- エ
正解 风险控制矩阵（RCM）是把识别出的「风险」与与之对应的「正在实施的控制项目」以矩阵形式对应起来的一览表。题干写明其用途是「评估所构建的内部控制的完善状况」，因此评估对象不是今后才要研究的方案，而是已经嵌入并在运行的控制。所以在 RCM 中，〔a〕处填写正在实施的控制项目，并评估这些控制把各项风险抑制到了什么程度，即〔b〕风险的降低程度。把风险与控制逐一对照，就能把没有控制覆盖到的风险（控制的缺失、遗漏），以及控制薄弱、风险没有充分下降的地方可视化出来——这正是 RCM 的目的。因此，a=正在实施的控制项目、b=风险的降低程度 这一组合的 エ 是正确答案。
ここがポイント
- 风险控制矩阵（RCM）＝ 把识别出的风险与对应实施的控制项目对应起来的一览表。它是把控制的缺失、遗漏或薄弱之处可视化的内部控制评估工具。
- RCM 评估的是「风险的降低程度」（控制把风险降到了什么程度），而不是控制的经济性（费用效益）。把题干中的「所构建的内部控制的完善状况」读作评估对象＝既有的、正在实施的控制，是解题的关键。
用語