内部統制とは？

内部統制の意味

業務の有効性・効率性、財務報告の信頼性、事業活動に関わる法令等の遵守、資産の保全という4つの目的の達成のため、業務に組み込まれ、組織内のすべての者によって遂行されるプロセス。統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応という6つの基本的要素からなる。

内部統制の具体例

支払業務で申請者と承認者を分け、支払データを会計システムに自動連携し、月次で残高照合を行い、内部監査部門が定期的に運用状況を確かめる一連の仕組み。

内部統制は試験でどう引っ掛けられる？

内部統制は「整備」しただけでは足りず「運用」されている必要がある。整備状況の評価と運用状況の評価は別のもの。

内部統制と関連する用語

• COSOフレームワーク
• 統制活動
• ITへの対応

内部統制が出た過去問

• 財務報告に係る内部統制監査におけるリスクアプローチの説明のうち,適切なものはどれか。

  正解：想定されるリスクのうち,財務諸表の重要な虚偽表示リスクが高い項目に監査のリソースを重点的に配分する。

  要点：リスクアプローチは重要な虚偽表示リスクの高い領域へ資源を重点配分する

  リスクアプローチは、限られた監査資源を重要な虚偽表示リスクの高い領域に集中させる考え方である。全業務を一律に網羅的に調べるのではなく、リスク評価の結果に応じて手続の種類・時期・範囲を変える点が特徴になる。固有リスクだけでなく統制リスクも併せて評価し、リスクの高低に応じてリソースを配分する。

  出典：平成28年度 春期 システム監査技術者試験 am2 問3（IPA）

• 日本公認会計士協会の監査・保証実務委員会実務指針第86号“受託業務に係る内部統制の保証報告書”に基づいて作成される文書と作成者の適切な組合せはどれか。ここで,受…

  正解：保証報告書:監査人 システムに関する記述書:被監査会社(受託会社) 受託会社確認書:被監査会社(受託会社)

  要点：保証報告書は監査人、記述書と確認書は受託会社自身が作成する

  受託業務に係る内部統制の保証業務では、役割分担が明確に分かれている。保証報告書は独立した立場で意見を表明する監査人が作成し、統制の設計と運用を説明するシステムに関する記述書、およびその記述の正確性を裏付ける確認書は、対象となる受託会社自身が作成する。除外方式では再受託会社の統制は対象範囲から外れるため、再受託会社が確認書を作る関係にはならない。

  出典：平成28年度 春期 システム監査技術者試験 am2 問6（IPA）

• 金融庁の“財務報告に係る内部統制の評価及び監査の基準”におけるIT業務処理統制に該当するものはどれか。

  正解：利用部門によるエラーデータの修正と再処理

  要点：IT業務処理統制は個々の業務処理に組み込まれた統制を指す

  IT統制はIT全般統制とIT業務処理統制に分かれる。IT全般統制はシステムの開発・保守、運用管理、アクセス管理、外部委託管理など、業務処理統制が有効に機能する環境を支える統制である。これに対しIT業務処理統制は個々の業務処理の中に組み込まれた統制で、入力データの正確性確保やエラーデータの修正・再処理などが該当する。

  出典：平成28年度 春期 システム監査技術者試験 am2 問9（IPA）

• システム監査における,サンプリング(試査)に関する用語の説明のうち,適切なものはどれか。

  正解：許容誤謬率とは,監査人が受け入れることができる所定の内部統制からの逸脱率であり,サンプルの件数を決めるときに用いられる。

  要点：許容誤謬率は許容できる統制逸脱率でサンプル件数算定に使う

  許容誤謬率は、内部統制が有効であると結論付けてよい範囲として監査人が許容できる逸脱の割合であり、必要な標本件数を算定する際の入力値になる。許容できる逸脱率を小さく設定するほど必要なサンプル数は増える。サンプリングリスクは標本が母集団を代表しないことに起因するリスクであり、固有リスクと統制リスクの積とは別物である。

  出典：平成29年度 春期 システム監査技術者試験 am2 問1（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(平成23年)”において,“全社的な内部統制”としての“ITへの対応”に該当する評価項目はどれか。

  正解：経営者は,ITに関する適切な戦略,計画などを定めているか。

  要点：全社的なITへの対応は経営者のIT戦略・計画の適切性を問う

  全社的な内部統制は、組織全体に影響を及ぼす統制環境やリスク評価、ITへの対応などを対象とし、経営者レベルの方針・体制が評価項目になる。したがってITへの対応では、経営者がIT戦略や計画を適切に定めているかが問われる。個別システムの試験の十分性や障害対応、委託契約の締結といった項目は、業務プロセスに係る内部統制やIT全般統制の領域である。

  出典：平成29年度 春期 システム監査技術者試験 am2 問10（IPA）