コントロール（統制活動）とは？
コントロール（統制活動）とは、内部統制を実現するために組み込まれる具体的な仕組みや手続き。承認、照合、権限分離、システムによる自動チェックなど、リスクを抑えるための個々の対策を指す。ソフトウェアのパッチ適用など、変更に伴うリスクを低減するコントロールの妥当性も監査対象になる。
基本情報技術者試験の過去問では4回出題されています（2016年度〜2019年度）。
こんとろーる
コントロール（統制活動）の意味
内部統制を実現するために組み込まれる具体的な仕組みや手続き。承認、照合、権限分離、システムによる自動チェックなど、リスクを抑えるための個々の対策を指す。ソフトウェアのパッチ適用など、変更に伴うリスクを低減するコントロールの妥当性も監査対象になる。
コントロール（統制活動）の具体例
支払処理を行う担当者と承認する担当者を分けておく（職務分掌）ことで、1人が不正な支払を単独で完結できないようにする。パッチ適用前に、テスト環境での動作確認と承認を必須とするコントロールを設ける。
コントロール（統制活動）は試験でどう引っ掛けられる？
予防・発見・是正の三分類で問われる。権限分離や入力チェックは予防、ログ突合や照合は発見、バックアップからの復旧は是正にあたる。統制は目的でなくリスクを抑える手段なので、費用対効果の妥当性も評価対象。
コントロール（統制活動）と関連する用語
コントロール（統制活動）が出た過去問
“システム監査基準”における，組織体がシステム監査を実施する目的はどれか。
正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。
要点：システム監査はコントロールを評価しITガバナンスに寄与する
システム監査基準では、情報システムに関わるリスクに対するコントロールが適切に整備・運用されているかを評価し、改善へつなげることを目的としている。その結果として、組織のITガバナンスの実現に寄与することが位置付けられている。経営戦略の策定や技術力の向上そのものは監査の目的ではない。
出典：平成28年度 春期 基本情報技術者試験 午前 問60（IPA）ソフトウェアのパッチの適用において，システムに不具合が発生するリスクを低減するコントロールを監査する際のチェックポイントはどれか。
正解：本稼働前にシステムの動作確認を十分に実施していること
要点：パッチは本稼働前の十分な動作確認で不具合リスクを下げる
パッチの適用は既存機能への影響が避けられず、適用後に不具合が表面化する危険がある。これを抑えるコントロールは、本稼働前に検証環境で十分な動作確認を行い、問題がないと確かめたうえで適用することである。監査ではその手続と実施記録の有無を確認する。
出典：平成28年度 春期 基本情報技術者試験 午前 問61（IPA）システムに関わるドキュメントが漏えい，改ざん，不正使用されるリスクに対するコントロールを監査する際のチェックポイントはどれか。
正解：ドキュメントの機密性を確保するための対策を講じていること
要点：漏えい・改ざんのリスクには機密性確保策の有無を確認する
設問が挙げているリスクは、漏えい・改ざん・不正使用というドキュメントの機密性と完全性に関わるものです。したがって監査のチェックポイントは、保管場所の施錠やアクセス権限の設定など、機密性を確保する対策が講じられているかどうかになります。更新の遅れや標準化の有無は、正確性や品質に関するチェック項目であり、リスクの内容と対応しません。
出典：平成29年度 春期 基本情報技術者試験 午前 問59（IPA）リスク対応のうち、リスクファイナンシングに該当するものはどれか。
正解：システムが被害を受けるリスクを想定して、保険を掛ける。
要点：保険など資金面の備えはリスクファイナンシング
リスク対応は、損失そのものの発生や大きさを技術的・物理的に抑えるリスクコントロールと、損失が生じたときの資金面を手当てするリスクファイナンシングに大別される。保険を掛ける行為は、被害が起きた場合の金銭的な補填を用意するものなので後者に当たる。自己資金を積み立てておく方法も同じ分類である。
出典：令和1年度 春期 基本情報技術者試験 午前 問40（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。