IPA IT全般統制・業務処理統制 — 頻出論点と過去問

頻出論点

1. この分野は何か

財務報告の数字を生み出す情報システムに対して、どのような内部統制を掛け、その統制が効いているかをどう確かめるかを扱う分野です。統制には、業務処理統制が有効に働く稼働環境を支える開発・変更・運用・アクセスなどの管理(全般統制)と、取引を正確に処理し記録するために業務プロセスに組み込む統制(業務処理統制)の二つがあり、評価もこの二つを別々に進めます。

2. 実際の出題のされ方

具体的な管理活動やシステムの機能を示し、それがITに係る全般統制とITに係る業務処理統制のどちらに該当するかを選ばせる問題が繰り返し出題されています。応用情報技術者の午前では、情報システムに対する統制の例から業務処理統制に当たるものを選ぶ問題や、受注伝票の入力に漏れや重複がないことを確かめる監査手続を選ぶ問題が出ています。ログイン画面でのID・パスワード確認がシステムによる内部統制のどの機能を実現した例かを問う問題も、ITパスポートで出されました。

金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」（以下、実施基準）の記述に照らして統制を分ける問題や、システムの間で受け渡すデータを確かめるコントロールを選ぶ問題もあります。アクセス管理の施策のうち業務処理統制に当たるものや、記録した取引に漏れや重複がないことがITのどの統制目標に含まれるかは、情報処理安全確保支援士の午前IIで問われました。ITサービスマネージャの午前IIでも、システム間で受け渡す入金データの正確性と網羅性を確かめるコントロールを選ばせています。

システム監査技術者の午前IIでは、全般統制と業務処理統制の分類に加え、評価の進め方と監査手続まで問われます。管理する部門とIT基盤の異なるシステムが混在する会社での評価単位の組合せ、今年度改修した自動化された業務処理統制の評価作業を減らせる条件、全般統制のうちシステムの運用・管理について監査で留意する点を選ぶ問題があります。出荷の正当性を確かめる監査手続や、集計結果を使って事後に債権残高の異常を見つける方法を選ぶ問題もあります。

3. 学習のポイント

全般統制か業務処理統制かは、影響するシステムの数ではなく役割で見分けます。プログラムの開発や変更の承認・レビュー、運用管理、アクセス管理のように、業務処理統制が有効に働く稼働環境を支える管理は、対象が一つのシステムであっても全般統制です。入力データの検証や承認、自動照合のように、取引を正確に処理・記録するために業務プロセスの中に組み込まれた統制が業務処理統制です。別々の IT 基盤にはそれぞれの全般統制が要ります。

自動化された業務処理統制は、プログラムに手が加えられない限り、いつも同じ手順で処理を行います。そのため、その前提となる全般統制が働いているかどうかが、自動化された統制を信頼できるかを左右します。

4. 間違えやすいところ

• 業務システム内のデータ管理を全般統制と混同する: 全般統制に当たるものを選ぶ問題で、業務別のマスタ・データの維持管理を選ばせる誤答肢がありました。マスタ・データの維持管理は、実施基準が業務処理統制の例に挙げている項目です。
• システム内のチェックとシステム間の受渡しチェックの取り違え: 入出金管理システムから売掛金管理システムへデータファイルを受け渡す際の正確性・網羅性を確認する問題で、「売掛金管理システムにおける入力データと出力結果とのランツーランコントロール」とする誤答肢がありました。ランツーランコントロールは一連の処理の前後で合計値を照合する手法ですが、受け取る側のシステム内部の入力と出力を比べるだけでは、システム間でファイルが正しく受け渡されたかどうかの確認にはなりません。
• 全般統制の区分の取り違え: 全般統制のうちシステムの運用・管理に関する留意点を選ぶ問題で、不正な使用や改ざんを防ぐアクセス管理の方針を選ばせる誤答肢がありました。アクセス管理は、実施基準が全般統制の例として別に挙げている、システムの安全性の確保の側に入ります。
• 全般統制の不備の評価: 実施基準について適切な記述を選ぶ問題で、全般統制に不備があればそれだけで開示すべき重要な不備になるとする誤答肢がありました。実施基準は、全般統制の不備は必ずしも財務報告の虚偽記載のリスクに直接つながるわけではないとし、関連する業務処理統制が実際に有効に機能していることを検証できている場合には、直ちに開示すべき重要な不備とは扱いません。全般統制の不備が業務処理統制に与える影響は個別に評価します。