情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度秋期 午前Ⅰ 問22: 金融庁の“財務報告に係る内部統制の評価及び監査に関する実施基準”における“IT への対応”に関する記述のうち，適切なものはどれか。

正解

イ. IT の統制は，IT に係る全般統制及び IT に係る業務処理統制から成る。

問題の解説

財務報告に係る内部統制（J-SOX）の「ITへの対応」を問う問題。実施基準では，ITの統制を，システム全体に関わる「IT全般統制」と，個別業務処理の正確性を担保する「IT業務処理統制」の二つから成るものと位置づけており，イが正しい。IT環境は社外との関係も含む（ア誤り），自動化＝直ちに有効ではない（ウ誤り），手作業のみでも不備とは限らない（エ誤り）。全般統制と業務処理統制の二層構造が要点。

選択肢ごとの解説

• アIT環境は社内に限らず取引先や社会的なIT利用も含むため，記述は誤り。
• イITの統制はIT全般統制とIT業務処理統制から成るとされ，正しい。
• ウ自動化していても全般統制が不備なら有効と言えず，自動化＝有効ではないため誤り。
• エ手作業だけでも有効な内部統制は成立し得るため，直ちに不備とは限らず誤り。