コントロール（統制活動）とは？

コントロール（統制活動）の意味

内部統制を実現するために組み込まれる具体的な仕組みや手続き。承認、照合、職務分掌（権限分離）、システムによる自動チェックなど、リスクを抑えるための個々の対策を指す。

コントロール（統制活動）の具体例

支払処理を行う担当者と承認する担当者を分けておく（職務分掌）ことで、1人が不正な支払を単独で完結できないようにする。

コントロール（統制活動）は試験でどう引っ掛けられる？

予防的統制と発見的統制を取り違えやすい。承認・職務分掌・アクセス権限の制限は不正を起こさせない予防的統制、ログのレビュー・突合・棚卸は起きたことを見つける発見的統制。また職務分掌は単に担当者を分けることではなく、実行・承認・記録・資産の保管を同一人物に集中させないことを指す。

コントロール（統制活動）と関連する用語

• 全社統制・業務処理統制（IT全般統制・IT業務処理統制）
• データ管理者（DA）とデータベース管理者（DBA）

コントロール（統制活動）が出た過去問

• 識別コード及びパスワードによるアクセスコントロール機能を情報システムに組み込むことによって，コントロールが可能なリスクはどれか。

  正解：ファイル，データ内容の改ざん

  要点：アクセスコントロールは権限外の者による改ざんを防ぐ

  識別コードとパスワードによるアクセスコントロールは、利用者を識別・認証して権限のある者だけにデータの参照や更新を許す仕組みである。これにより、権限のない者によるファイルやデータ内容の改ざんというリスクを抑えられる。

  出典：平成29年度 春期 応用情報技術者試験 午前 問60（IPA）

• システム監査において，ペネトレーションテストが最も適合するチェックポイントはどれか。

  正解：ネットワークへのアクセスコントロールが有効に機能しているか。

  要点：ペネトレーションテストは侵入試行でアクセス制御の有効性を検証。

  ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御が突破できるかどうかを確かめるテストである。ネットワークのアクセス制御が意図どおりに機能し、許可されていない経路からの侵入を阻止できているかを検証する場面に最も適合する。物理的な入退室管理や入力の正確性の確認には向かない。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問59（IPA）

• 情報システムの可監査性を説明したものはどれか。

  正解：コントロールの有効性を監査できるように，情報システムが設計・運用されていること

  要点：可監査性は統制の有効性を検証できるシステム側の備えを指す。

  可監査性とは、システムに組み込まれたコントロール（統制）が有効に働いているかどうかを、後から追跡・検証できるように情報システムが設計・運用されている性質である。処理の記録が残り、監査証跡をたどれることが前提となる。監査人側の能力や協力体制ではなく、システム側の備えを指す点が要点である。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問60（IPA）

• プロジェクトマネジメントにおけるスコープコントロールの活動はどれか。

  正解：連携する計画であった外部システムのリリースが延期になったので、この外部システムとの連携に関わる作業は別プロジェクトで実施することにした。

  要点：スコープコントロールは作業範囲の変更を管理する活動

  スコープコントロールは、プロジェクトの成果物や作業範囲の変更を監視し、必要な調整を行う活動である。外部システムの遅延を受けて連携作業を本プロジェクトから外し、別プロジェクトへ移す判断は、まさに作業範囲を変更するスコープの管理に当たる。

  出典：平成30年度 春期 応用情報技術者試験 午前 問51（IPA）

• システム監査基準（平成30年）におけるウォークスルー法の説明として、最も適切なものはどれか。

  正解：データの生成から入力、処理、出力、活用までのプロセス、及び組み込まれているコントロールを、システム監査人が、書面上で、又は実際に追跡する。

  要点：ウォークスルー法は処理の流れと統制を追跡して確かめる

  ウォークスルー法は、データの生成から入力・処理・出力・活用に至る一連の流れを追跡する技法である。処理の各段階に組み込まれた統制（コントロール）が設計どおり機能しているかを、書面上でたどるか、実際の処理に沿って確かめる。

  出典：令和2年度 10月 応用情報技術者試験 午前 問58（IPA）