統制活動とは？

統制活動の意味

経営者の指示・命令が確実に実行されることを確保するために定められる方針および手続。承認、権限分離（職務分掌）、照合・突合、実査、システムによる自動チェック、業績評価などが含まれる。

統制活動の具体例

支払処理を行う担当者と承認する担当者を分け、さらに一定金額以上は上位者の承認を必須とするシステム設定を行う。

統制活動は試験でどう引っ掛けられる？

統制環境と区別する。統制環境は誠実性・倫理観や組織の気風といった土台、統制活動は承認や職務分掌のような具体的な方針と手続。職務分掌（権限分離）は統制活動側に分類される。

統制活動と関連する用語

• 職務分掌
• 予防的統制・発見的統制
• 内部統制

統制活動が出た過去問

• インプットコントロールの監査において,エディットバリデーションチェックが正しく機能しているかどうかを検証する方法として,適切なものはどれか。

  正解：実際に例外データや異常データの入力を行う。

  要点：妥当性検査の検証は異常データを実際に入力して排除を確かめる

  エディットバリデーションチェックは、入力データの形式・範囲・論理的整合性を入力時点で検査し、不正なデータを受け付けない仕組みである。これが実際に機能しているかを確かめるには、あえて桁数超過や範囲外の値といった例外データ・異常データを投入し、想定どおりに排除されるかを観察するのが直接的で有効な方法になる。

  出典：平成30年度 春期 システム監査技術者試験 am2 問1（IPA）

• システム監査で用いる統計的サンプリングに関する記述のうち,適切なものはどれか。

  正解：コントロールが有効であると判断するために必要なサンプル件数を事前に決めることができる。

  要点：統計的サンプリングでは必要な標本件数を事前に算定できる

  統計的サンプリングは確率論に基づくため、許容できる逸脱率や信頼度、予想逸脱率を設定すれば、必要な標本件数を事前に算出できる。ただし標本による推定である以上、母集団を全件調べた場合と同じ結果が常に得られるわけではなく、サンプリングリスクが残る。重要案件やエラー処理済データだけを選ぶ方法は無作為性を欠き、統計的サンプリングには当たらない。

  出典：平成30年度 春期 システム監査技術者試験 am2 問2（IPA）

• 組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として,システム管理基準(平成16年)に示されているものはどれか。

  正解：情報システムが,組織体の目的を実現するように安全,有効かつ効率的に機能すること

  要点：システム管理基準は情報システムの安全・有効・効率的な機能を目的とする

  システム管理基準は、情報システムのリスクに対するコントロールを整備・運用するための実践規範である。その目的は、情報システムが組織体の目的の実現に向けて安全・有効・効率的に機能するようにすることにある。監査業務の品質確保や監査人による評価・保証はシステム監査基準の側の目的であり、混同しやすい。

  出典：平成30年度 春期 システム監査技術者試験 am2 問6（IPA）

• 金融庁"財務報告に係る内部統制の評価及び監査の基準(平成23年)"における,内部統制の基本的要素である"統制活動"はどれか。

  正解：経営者の命令及び指示が適切に実行されることを確保するために定める方針及び手続である。

  要点：統制活動は経営者の指示が確実に実行されるための方針と手続

  内部統制の基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の六つである。このうち統制活動は、経営者の命令・指示が組織の中で確実に実行されるように定められた方針と手続を指し、職務分掌や承認手続、突合作業などが具体例になる。

  出典：令和1年度 春期 システム監査技術者試験 am2 問8（IPA）

• システム監査基準(平成30年)では,監査計画の策定に当たり,監査対象として考慮する項目を,情報システムの"ガバナンス","マネジメント","コントロール"に関す…

  正解：IT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて,組織全体として適切に管理されているか。

  要点：マネジメントはIT投資や情報セキュリティをPDCAで組織管理する層

  ガバナンス・マネジメント・コントロールは階層で区別される。ガバナンスは経営戦略との整合や新技術の取込みといった経営レベルの統治、マネジメントはIT投資管理や情報セキュリティ対策をPDCAで組織的に管理する運営レベル、コントロールは承認手続の実施や異常検知時の対処といった業務プロセスに組み込まれた統制である。

  出典：令和1年度 春期 システム監査技術者試験 am2 問10（IPA）