内部統制
内部統制とは、組織が健全に運営されるように、業務の中に不正やミスを防ぐ仕組みをあらかじめ組み込んでおく取り組みです。一人に権限を集中させない職務分掌や、承認の仕組みが代表的な例です。
内部統制の目的と、業務を複数人でチェックし合う仕組み(職務分掌など)の考え方を説明できるようになります。また、内部統制とITガバナンス、ITマネジメント、システム監査との関係を整理して理解します。
内部統制はシステム監査とセットで出題されることが多い分野です。「なぜ一人にすべての権限を集中させないのか」という考え方を理解しておくと、職務分掌やアクセス権限に関する問題にまとめて対応できるようになります。
内部統制とは何か
内部統制とは、組織が事業目的を達成するために、業務の中に不正行為やミスを防ぐための仕組みをあらかじめ組み込んでおく取り組みのことです。企業の経営者や従業員が意図的であるかどうかにかかわらず、不正な会計処理や情報の改ざん、業務上のミスが発生すると、企業の信頼を大きく損ないます。世間からの評判や信用が傷つくことで生じる損失はレピュテーションリスクと呼ばれ、一度失った信頼を取り戻すのは容易ではありません。内部統制は、こうした問題が「そもそも起きにくい」業務の流れを設計することを目指します。
内部統制の考え方の根底にあるのは、「性善説だけに頼らない」という発想です。人は誰しも、悪意がなくてもミスをすることがありますし、悪意を持つ人が一人でもいれば不正は起こり得ます。だからこそ、個人の善意や注意力だけに頼るのではなく、仕組みそのものによって不正やミスを防ぐことが重要だと考えられています。
内部統制の代表的な仕組みの一つが職務分掌です。これは、一つの業務のプロセスを複数の担当者に分担させ、一人の人間がすべての権限を持たないようにする仕組みです。例えば、経理の業務であれば、お金を支払う申請をする人と、実際に支払いを承認する人を別々にすることで、一人が不正な支払いを勝手に行うことを防げます。情報システムの分野でも、プログラムを開発する担当者と、本番環境へのリリースを承認する担当者を分けるといった形で、この考え方が適用されます。こうした仕組みが実際に機能しているかを継続的に観察し確認する活動をモニタリングと呼び、内部統制を形だけのものにしないために欠かせません。決めたルールを一度作って終わりにせず、実際に守られているかを日常的に確認し続けることが、内部統制を実効性のあるものにする鍵になります。
こうした仕組みは、業務プロセスの明確化、実施ルールの設定、チェック体制の確立といった要素が組み合わさって初めて機能します。どれか一つだけを整えても、他の部分が不十分であれば、不正やミスが起きる隙間が残ってしまいます。内部統制は、特定の部署や担当者だけの取り組みではなく、組織全体で継続的に整備していくべき仕組みだと理解しておきましょう。
IT統制とシステム監査との関係
内部統制のうち、特に情報システムに関わる部分をIT統制と呼びます。企業の業務の多くが情報システムを介して行われる現在、会計処理や個人情報の管理といった重要な業務も、システムの仕組みに支えられています。そのため、システムのアクセス権限が適切に設定されているか、データの改ざんを防ぐ仕組みがあるか、といった点もIT統制の対象になります。
IT統制の具体例としては、システムの利用者ごとに閲覧・編集できる範囲を制限するアクセス制御、重要なデータの変更履歴を記録して後から追跡できるようにするログの取得、プログラムの変更を無断で行えないようにする承認の仕組みなどが挙げられます。これらはいずれも、権限が一人に集中したり、不正な操作が痕跡なく行われたりすることを防ぐための工夫です。
このIT統制がきちんと機能しているかどうかを、独立した第三者の立場から確認するのが、単元21で学んだシステム監査です。つまり、内部統制(IT統制を含む)は「不正やミスが起きにくい仕組みを作る」活動であり、システム監査は「その仕組みが実際にきちんと機能しているかを検証する」活動だという関係にあります。仕組みを作る側と、それを検証する側という役割の違いを意識すると、両単元のつながりが整理しやすくなります。
IT統制がうまく機能していない典型的な例としては、退職した従業員のアカウントがいつまでも削除されずに残っている、複数の担当者が同じ管理者パスワードを共有している、といった状況が挙げられます。こうした状態は、悪意がなくても情報漏えいや誤操作のリスクを高めてしまいます。試験では、こうした具体的な状況が内部統制上どこに問題があるかを判断させる出題がよく見られるため、日常業務のどこにリスクが潜んでいるかを想像しながら学ぶと理解が深まります。アクセス権限の見直しやログの確認を定期的に行うことも、IT統制を有効に機能させ続けるための欠かせない取り組みです。
IT統制は一度整備すれば終わりというものではなく、システムの構成やメンバーの入れ替わりに合わせて継続的に見直していく必要があります。新しい従業員が加わったときの権限付与、部署異動があったときの権限変更、退職時の速やかな権限削除といった一つひとつの手続きを丁寧に運用することが、結果として大きな不正やミスの防止につながります。
ITガバナンスとITマネジメント
内部統制と関連が深い用語にITガバナンスがあります。これは、取締役会などの経営層が、株主や顧客といった利害関係者のニーズをふまえて、組織におけるITの利活用のあるべき姿(IT戦略や方針)を描き、それを実現させていくための活動です。「会社としてITをどう使い、どう組織の価値を高めていくか」という、経営に近い立場からの方針づくりだといえます。
これに対してITマネジメントは、経営方針やITガバナンスの方針に基づいて策定されたIT戦略の各目標を達成するために、日々のIT利活用を実際にコントロールし、その結果を経営者に報告するための体制を整備・運用する活動です。ITガバナンスが「方針を描く」立場だとすれば、ITマネジメントは「その方針を現場で実行する」立場だと整理すると分かりやすくなります。この二つの役割の違いは、試験でも問われることがあります。
内部統制が適切に機能している組織には、不正やミスが未然に防がれ、財務報告の信頼性が高まるという効果があります。また、業務プロセスが明確に整理され、誰が何を承認したのかが記録として残るため、問題が発生した際にも原因を追跡しやすくなります。一方で、内部統制を過剰に厳格にしすぎると、承認の手続きが増えすぎて業務のスピードが落ちてしまうという副作用もあります。すべてを人手によるダブルチェックに頼るのではなく、システムによる自動的なチェック機能を活用することで、「不正やミスを防ぐ効果」と「業務の効率性」のバランスを取りやすくなります。試験では、内部統制の目的(不正やミスの未然防止)と、その具体的な手段(職務分掌、承認プロセス、アクセス制御など)を対応させて理解しているかが問われます。「なぜその仕組みが必要なのか」を自分の言葉で説明できるようにしておくと、応用的な問題にも対応しやすくなります。
ITガバナンス、ITマネジメント、内部統制、システム監査は、それぞれ別の言葉ですが、企業が健全にITを活用していくための一つの体系として結びついています。方針を描き(ITガバナンス)、それを実行し(ITマネジメント)、不正やミスを防ぐ仕組みを組み込み(内部統制)、その仕組みが機能しているかを検証する(システム監査)という流れを一枚のつながりとして捉えると、単元21・22の内容を横断的に理解しやすくなります。
この単元の確認問題
答えを見る前に、まず自分の言葉で答えてみてください。言葉にできないところが、そのまま本試験で止まるところです。
Q. 一つの業務プロセスを複数の担当者に分担させ、一人がすべての権限を持たないようにする仕組みを何と呼びますか。
A. 職務分掌です。
権限を一人に集中させないことで、不正行為やミスが起きにくい業務の流れを作る、内部統制の代表的な手法だからです。
Q. 内部統制のうち、情報システムに関わる部分を特に何と呼びますか。
A. IT統制です。
アクセス制御やログの取得など、情報システムの仕組みを通じて不正やミスを防ぐ活動を指す言葉だからです。
Q. 経営層がIT戦略や方針を描く活動と、その方針を現場で実行しコントロールする活動を、それぞれ何と呼びますか。
A. 方針を描く活動がITガバナンス、実行しコントロールする活動がITマネジメントです。
ITガバナンスは経営層による方針決定、ITマネジメントはその方針に基づく現場での実行と報告という、役割の違いがあるためです。
内部統制は、読んで分かることと、本番で点になることが別です。点にするための材料はこちらにまとめてあります。
- この単元の問題 24問（どこをどう間違えたかまで解説）
- この単元のひっかけ（本試験がどう引っかけてくるか）
- この単元をそのままITパスポート専用AIチューターに質問できます
- 間違えた問題だけを自動で拾い直す復習リスト
「第6章 システム監査と内部統制」の他の単元
この単元を、手を動かして確かめる
ITパスポートAIチューターでは、いま読んだ単元の四択問題をその場で解いて、 どこで間違えたかまで解説付きで確かめられます。 わからないところはITパスポート専用のAIチューターに訊けます。
この単元をアプリで開く 登録は無料。メールアドレスだけで始められます。