内部統制

ねらい

組織を健全に保つ仕組みを学びます。このレッスンを終えると、内部統制の実現に必要な要素、ITに係る統制の2つの区分、ITガバナンスの考え方を説明できるようになります。

内部統制とは

内部統制は、健全かつ効率的な組織運営のための体制を企業などが自ら構築し運用する仕組みです。実現には次の4つが必要です。

1. 業務プロセスの明確化で、仕事の流れを定義します。
2. 職務分掌で、権限と責任を分けます。冒頭の例なら、発注と検収と支払いを別の人に分けることです。
3. 実施ルールの設定で、手続を定めます。
4. チェック体制の確立で、相互の確認を仕組みにします。

職務分掌は、発注・検収・支払のように、1人に集中しがちな権限を複数の担当者に分けることで不正や誤りを防ぎます。

法令や規範を守るコンプライアンスは内部統制の土台であり、金融商品取引法に基づく内部統制報告制度によって、上場企業には財務報告に係る内部統制の評価と報告が求められます。国際的な枠組みとしてはCOSOフレームワークが知られています。ただし、共謀や経営者による無効化までは防ぎきれないという内部統制の限界も理解しておく必要があります。

ITへの対応：全般統制と業務処理統制

ITは内部統制に大きな役割を果たします。IT環境への対応とITの利用を前提に、ITに係る統制は2つに区分されます。

1. ITに係る全般統制は、システムの開発・運用・保守やアクセス管理など、複数の業務処理を支える基盤への統制です。
2. ITに係る業務処理統制は、個々の業務システムの中で、データの正確性や承認手続を保証する統制です。入力チェックや承認ワークフローがその例です。

土台を守る全般統制と、個々の処理を守る業務処理統制という2階建てで捉えましょう。1階の全般統制が崩れれば、2階に立つ個々の業務処理統制も成り立ちません。

ITガバナンス

ITガバナンスは、組織体のガバナンス（コーポレートガバナンス）の構成要素で、取締役会等がステークホルダのニーズに基づき、組織体の価値と信頼を向上させるために、ITの利活用のあるべき姿を示すIT戦略と方針の策定及びその実現のための活動です。規格としてJIS Q 38500があります。

経営の側の責任者として、情報戦略を統括するCIO（最高情報責任者）と、情報セキュリティを統括するCISO（最高情報セキュリティ責任者）が置かれます。システム監査、情報セキュリティ監査、ソフトウェア資産管理は、ITガバナンスを実現するための取組であり、IT統制の仕組みを支えます。

情報システムの構築・運用では、会社法や金融商品取引法などの法令を遵守し、その遵守状況を適切なタイミングと方法で評価・改善します。現場が自ら統制を評価するCSA（統制自己評価）という手法もあります。

例題

次の問いに答えてください。

問1 発注と検収と支払いの権限を別の担当者に分けるような、内部統制の要素を何といいますか。

問2 組織のITの利活用のあるべき姿を示すIT戦略と方針の策定、及びその実現のための活動を何といいますか。

解答と解説

問1の答えは職務分掌です。1人に権限が集中しない分担が、不正と誤りの両方を防ぎます。

問2の答えはITガバナンスです。取締役会等が主体となる、組織のガバナンスの構成要素です。

応用

本試験を意識した問題を解いてみましょう。

問 ITに係る統制のうち、個々の業務システムにおいて入力データの正確性や処理の承認を保証する統制はどれでしょうか。次の中から選んでください。

1. ITに係る業務処理統制
2. ITに係る全般統制
3. コーポレートガバナンス
4. CSA

解答と解説

答えは1のITに係る業務処理統制です。個々の業務システムの中で、入力チェックや承認手続によってデータの正確性と正当性を保証します。2のITに係る全般統制は、システムの開発・運用・保守やアクセス管理といった、複数の業務処理を支える基盤への統制であり、個々の処理そのものの統制ではありません。3のコーポレートガバナンスは組織全体の統治の枠組みのことです。4のCSA（統制自己評価）は、現場が自ら統制の有効性を評価する手法であり、統制の区分の名前ではありません。