令和4年度 春期 情報処理安全確保支援士試験 午前II 問25
マネジメントシステム監査IT全般統制・業務処理統制
金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”におけるアクセス管理に関して，内部統制のうちのITに係る業務処理統制に該当するものはどれか。
解答・解説
正解: ウ. 組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者IDとパスワードによって認証する機能を設ける。
財務報告に係る内部統制の評価及び監査に関する実施基準において、ITに係る統制活動は主に「ITに係る全般統制」と「ITに係る業務処理統制」に大別されます。
- ITに係る業務処理統制：個々のアプリケーションシステムにおいて、承認された業務が全て正確に処理され、記録されることを確保するために業務プロセスに組み込まれた統制活動を指します。（例：業務内容に応じたアクセス権限の付与、入力データの入力チェック機能など）
- ITに係る全般統制：複数のアプリケーションシステムを支援し、ITに係る業務処理統制が有効に機能する環境を保証するための統制活動です。（例：全社的なアクセス管理方針・規程の策定、システム開発・保守の管理など）
本問では「ITに係る業務処理統制」に該当するアクセス管理を問うているため、特定のアプリケーションシステムに組み込まれたアクセス管理機能である選択肢「ウ」が正解となります。
各選択肢の解説
- ア：組織としてアクセス管理規程を定め、統一的なアクセス管理を行うことは、複数のシステムに共通する環境を整える活動であり、ITに係る全般統制に該当します。
- イ：組織としてのアクセス権限の設定方針の策定や周知徹底は、ITに係る全般統制に該当します。
- ウ：正解。個別のアプリケーションシステムにおいて業務内容に応じた権限を付与し認証する機能を設けることは、業務プロセスに直接組み込まれた統制活動であり、ITに係る業務処理統制に該当します。
- エ：利用者に対するアクセス管理の重要性についての教育を行うことは、ITに係る全般統制や全社的な内部統制における人的資源に対する対応に該当します。