IPA 内部統制・ITガバナンス — 頻出論点と過去問

頻出論点

1. この分野は何か

会社が不正や誤りを内側から防ぐために業務の手順へ組み込む内部統制の仕組みと、ITをどう使うかの方向を経営陣が決めて結果を確かめる仕組みを扱う分野です。どちらの仕組みも、実行する人、確かめる人、最後に責任を負う人を分けて置くことで働きます。

2. 実際の出題のされ方

日常業務での不正や誤りを防ぐ仕組みや、経営陣が担う活動を選ぶ問題が出ています。出張旅費の手続で組織間のけん制が日常的に働いている状況を選ぶ問題や、内部統制の活動内容として適切なものを選ぶ問題、6つの構成要素から成る取組の名称を選ぶ問題は、ITパスポートの試験問題です。また、基本的要素の「ITへの対応」に関する記述や、ITガバナンスにおける経営陣の活動として適切な組合せを選ぶ問題、取締役会等のリーダーシップに関するリスクを選ぶ問題、経営者が評価するIT利用の時間軸を穴埋めで問う問題も出題されました。

公的基準の定義文や、組織内の役割分担を正確に問う問題もあります。応用情報技術者の午前では、金融庁の基準における内部統制の関係者の役割と責任について適切な記述を選ぶ問題が出題されました。システム監査技術者の午前IIでは、金融庁の基準や実施基準に基づき「統制活動」の定義や「統制環境」に当たる具体例を選ぶ問題のほか、3線モデルにおける第1〜第3のラインの部門の組合せを選ぶ問題、システム管理基準（平成30年）で経営陣がITガバナンスを成功に導くために採用することが望ましい原則を選ぶ問題が出題されています。

3. 学習のポイント

統制環境は組織全体に効く土台で、ほかの要素すべての働き方を左右します。これに対して統制活動は、個々の業務の手順そのものに組み込まれる統制です。

相互けん制は、処理した人とは別の立場の人が、その中身をそのつど手順の中で確かめることで働きます。

3線モデルでは、業務の現場から離れるほど線の番号が大きくなります。現場で自らリスクを管理するのが第1ライン、その外から専門の立場で支えて目を配るのが第2ライン、両者から独立して有効性を確かめるのが第3ラインです。

評価・指示・モニターは、経営陣自身が担う活動です。進む方向を判断し、実行の担い手を決め、成果が出ているかを確かめるという順に回ります。

4. 間違えやすいところ

内部統制の活動として、支払伝票を書いた本人がそのまま最後の承認まで済ませる手順を挙げた誤答肢がありました。書いた人と承認する人が同じでは、承認が中身を確かめる手続として働きません。

申請する部署と承認する部署の役員を一人に兼ねさせる、とする誤答肢がありました。兼務させると二つの部署の判断が一人に集まり、部署の間の確かめ合いが成り立たなくなります。

内部統制の関係者の役割について、株主が整備と運用の最終的な責任を負うとする誤答肢がありました。基準が役割と責任を定める関係者の中に、出資者である株主は挙がっていません。

IT戦略の策定を任せた部門に最終的な責任まで負わせなければ取締役会等が説明を果たせない、とする誤答肢がありました。策定の作業は任せられても、その結果を説明する責任は任せた側に残ります。