情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度秋期 午前Ⅰ 問22: 金融庁の“財務報告に係る内部統制の評価及び監査に関する実施基準”における“IT への対応”に関する記述のうち，適切なものはどれか。

問題本文

金融庁の“財務報告に係る内部統制の評価及び監査に関する実施基準”における“IT への対応”に関する記述のうち，適切なものはどれか。

選択肢

• ア.IT 環境とは，企業内部に限られた範囲での IT の利用状況である。
• イ.IT の統制は，IT に係る全般統制及び IT に係る業務処理統制から成る。
• ウ.IT の利用によって統制活動を自動化している場合，当該統制活動は有効であると評価される。
• エ.IT を利用せず手作業だけで内部統制を運用している場合，直ちに内部統制の不備となる。

正解

イ. IT の統制は，IT に係る全般統制及び IT に係る業務処理統制から成る。

解説

財務報告に係る内部統制（J-SOX）の「ITへの対応」を問う問題。実施基準では，ITの統制を，システム全体に関わる「IT全般統制」と，個別業務処理の正確性を担保する「IT業務処理統制」の二つから成るものと位置づけており，イが正しい。IT環境は社外との関係も含む（ア誤り），自動化＝直ちに有効ではない（ウ誤り），手作業のみでも不備とは限らない（エ誤り）。全般統制と業務処理統制の二層構造が要点。

選択肢ごとの解説

• ア.IT環境は社内に限らず取引先や社会的なIT利用も含むため，記述は誤り。
• イ.ITの統制はIT全般統制とIT業務処理統制から成るとされ，正しい。
• ウ.自動化していても全般統制が不備なら有効と言えず，自動化＝有効ではないため誤り。
• エ.手作業だけでも有効な内部統制は成立し得るため，直ちに不備とは限らず誤り。