正解：イ
各選択肢の解説
アITに係る業務処理統制の不備で、影響は変更されたプログラムが扱う入力データに限られる。
誤り。業務処理統制は、入力チェックやマスタとの照合のように、個々の取引のデータを正しく処理する統制です。 プログラムを変えられる状態は「システムをどう管理するか」の問題なので、業務処理統制ではありません。 影響も、そのシステムで動く処理全体に及びます。
イITに係る全般統制の不備で、自動チェックが意図どおり動き続けている前提も揺らぐ。
正解。プログラムの変更管理は、業務処理統制が働く土台を守る全般統制です。 承認なしに変更できれば、単価の照合が知らないうちに外されていても気づけないため、 自動チェックが今も機能しているという前提が崩れます。
ウITに係る全般統制の不備だが、自動チェックは取引ごとに働く業務処理統制なので影響はない。
誤り。全般統制と分類する点は正しいのですが、影響の捉え方が違います。 自動チェックはプログラムとして組み込まれているので、そのプログラムを勝手に変えられるなら チェックが今も働いている保証はなくなります。全般統制は業務処理統制の土台です。
エ統制活動ではなく情報と伝達の不備で、変更手順を開発担当者に周知すれば解消する。
誤り。情報と伝達は、必要な情報を組織の中で正しく伝える仕組みです。 手順を知らなかったことが一因でも、問題の中心は「承認なしに変更できてしまう」ことで、 周知だけでは同じ状態が残ります。承認やテストを経ないと反映できない統制が要ります。
理解を深めるために
全般統制は「機械の点検」、業務処理統制は「機械が行う検品」
工場の検品機にたとえると、不良品をはじく検品作業そのものが業務処理統制、 検品機の設定を勝手にいじれないよう鍵をかけ、点検記録を残すのが全般統制です。 鍵がかかっていなければ、検品機が今日も正しく不良品をはじいている保証はありません。
この問題の指摘は、まさに「鍵がかかっていない」状態です。自動チェック自体に不備が見つかったわけではなくても、 チェックが今も正しく動いていると言える根拠が失われています。
なぜ影響が業務処理統制にまで及ぶのか
内部統制の基本的要素の1つ「ITへの対応」では、ITを使った統制を2つに分けて考えます。
- ITに係る業務処理統制: 入力データの照合、エラーの修正と再処理、マスタの維持管理など、 個々の業務の処理を正しく行わせる統制
- ITに係る全般統制: システムの開発・保守の管理、運用の管理、アクセス管理、外部委託先の管理など、 業務処理統制が有効に働く環境を保つ統制
自動チェックはプログラムの一部なので、プログラムを承認なしに変えられると、 その結果を信頼できなくなります。監査を受けた部門としては、変更手順を整えることに加え、 指摘の期間に不正な変更がなかったかを変更履歴で確かめることも検討します。
混同しやすいものとの違い
| 用語 | 何を見るか |
|---|---|
| ITに係る全般統制 | 開発・保守、運用、アクセスなど、システムを管理する仕組み |
| ITに係る業務処理統制 | 入力の照合やエラー処理など、個々の取引を正しく処理する仕組み |
| 統制活動 | 承認・照合・職務の分離など、方針どおりに業務を行わせる方針と手続 |
| 情報と伝達 | 必要な情報を識別し、組織の内外へ正しく伝える仕組み |
「個々の取引の処理を見ているのか、その処理を動かすシステムの管理を見ているのか」で全般統制と業務処理統制を見分けます。