【情報セキュリティマネジメント】内部統制とITガバナンス、整備しただけでは達成されない｜4つの目的・6つの基本的要素・IT統制

2026.08.27

内部統制は、経理部門だけの不正防止策ではありません。

業務を有効・効率的に進め、信頼できる報告を行い、法令等を守り、資産を保全するために、組織の業務へ組み込んで運用するプロセスです。

SGでは、4つの目的、6つの基本的要素、職務分掌、CSA、ITに係る全般統制と業務処理統制を中心に整理します。読み終えると、目的・実施者・対象範囲から内部統制の各要素やIT統制を見分けられるようになります。

先に結論：目的・要素・IT統制を分ける

区分 内容
4つの目的 業務の有効性及び効率性、報告の信頼性、法令等の遵守、資産の保全
6つの基本的要素 統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応
ITに係る全般統制 複数の業務処理統制が機能する共通基盤を支える
ITに係る業務処理統制 個々の業務システムの処理へ組み込まれる
CSA 業務部門が自ら統制の整備・運用状況を点検する
ITガバナンス 経営目標と整合するようIT活用を方向づけ、監督する

内部統制は、統制を整備しただけで目的を達成できる仕組みではありません。各要素を一体として機能させ、目的の達成について合理的な保証を得る考え方です。

1．内部統制には4つの目的がある

目的 判断のポイント
業務の有効性及び効率性 事業目的を達成し、業務を有効・効率的に進める
報告の信頼性 組織内外への報告を正確で信頼できるものにする
事業活動に関わる法令等の遵守 法令、規程、行動規範などの遵守を促進する
資産の保全 資産の取得・使用・処分を正当な手続と承認の下で行う

2023年の内部統制基準改訂では、従来の「財務報告の信頼性」が、非財務情報や内部報告も含む「報告の信頼性」へ広げられました。

ただし、金融商品取引法上の内部統制報告制度が直接対象とするのは、引き続き財務報告の信頼性です。一般的な内部統制の目的と、法定の内部統制報告制度の対象を区別します。

2．6つの基本的要素を活動で見分ける

基本的要素 主な内容・例
統制環境 誠実性、倫理観、経営者の姿勢、組織構造、権限・責任など、統制の土台
リスクの評価と対応 目的達成を妨げるリスクを識別・分析し、対応を検討する
統制活動 承認、職務分掌、照合など、リスク対応の方針を実行する
情報と伝達 必要な情報を識別し、組織内外の関係者へ適時に伝える
モニタリング 内部統制が有効に機能しているかを継続的又は個別に評価する
ITへの対応 IT環境を把握し、ITを利用・統制して他の要素を機能させる

「組織の気風・経営者の姿勢」は統制環境、「継続的な点検・内部監査」はモニタリングです。

リスクを識別する活動と、識別したリスクへ対応する手続を実行する統制活動も区別します。

3．職務分掌は一人で処理を完結させない

職務分掌では、次の職務を分けます。

  • 申請する
  • 承認する
  • 取引・処理を実行する
  • 結果を記録する
  • 実績を照合する

一人が申請、承認、実行、記録を全て担当すると、不正や誤りがあっても発見しにくくなります。

複数人が関与し、相互に確認することで相互牽制を働かせることが目的です。

担当者や権限を一人へ集中したり、全従業員へ同一権限を付与したりする対応は、職務分掌の目的と一致しません。

内部統制の文脈では「職務分掌」、内部不正防止やアクセス制御では「職務分離」と表現されることがあります。呼び方より、単独で重要な処理を完結させない目的を確認します。

4．IT統制は共通基盤か個別処理かで見分ける

ITへの対応は他の5要素と一体で考えます。個々の処理へ組み込む統制と、それを支えるIT基盤の統制を組み合わせて機能させます。

ITに係る全般統制

ITに係る全般統制は、業務処理統制が有効に機能する環境を支える統制です。

通常、複数の業務システムや業務処理統制に関係する方針・手続を指します。

  • システムの開発・変更に関する承認と記録
  • システム運用・障害対応の共通手続
  • システム管理者のアクセス権管理
  • データセンターの入退室管理
  • バックアップ・復旧に関する共通手続
  • 外部委託に関する契約・管理

ITに係る業務処理統制

ITに係る業務処理統制は、承認された業務を正確・完全に処理し、記録するために、個々の業務プロセスへ組み込まれた統制です。

  • 必須項目の未入力チェック
  • 金額・数量の上限チェック
  • マスタデータとの照合
  • 自動計算
  • 重複登録の防止
  • エラーの表示・再処理
  • 処理件数・合計値の照合

共通するIT基盤・管理手続＝全般統制
個々の業務処理へ組み込まれたチェック＝業務処理統制

全般統制が機能しなければ、適切な業務処理統制を組み込んでも、無断変更や不正アクセスによって有効性が損なわれる可能性があります。

5．CSAは業務部門自身による統制自己評価

CSA（Control Self Assessment：統制自己評価）は、業務を担う部門の担当者が、評価票などを用いて、自部門の統制の整備・運用状況を自ら点検し、改善へつなげる取組みです。

活動 主な実施者・立場
CSA 業務部門が自ら点検する
内部監査・システム監査 独立・客観的な立場から検証・評価する
モニタリング 日常的又は独立的な評価によって有効性を確認する

CSAを実施しているから、独立した監査が不要になるわけではありません。自己評価と監査は、立場と目的が異なり、相互に補完します。

6．内部統制には固有の限界がある

内部統制は、目的達成を絶対に保証するものではありません。

主な限界は次です。

  • 判断の誤り・不注意
  • 複数の担当者による共謀
  • 想定外の環境変化・非定型取引
  • 費用と便益の比較
  • 経営者や責任者による統制の無視・無効化

職務分掌があっても、複数の担当者が共謀すれば牽制が働かない場合があります。

一度整備した統制も、業務・リスク・技術の変化に応じて見直します。

7．ITガバナンスは経営が方向づける

ITガバナンスは、IT活用を経営目標と整合させ、経営層が方向づけ・監督する考え方です。日常のサーバ運用やプログラム修正など、現場の開発・運用活動とは区別します。

「ITガバナンス」という名称はSGシラバスVer.4.1の用語例には明示されていません。本記事では、関連問題を判断するため、経営による方向づけ・監督という範囲に限定して扱います。

8．補足：内部統制報告制度は財務報告を対象とする

「内部統制報告制度」はSGシラバスVer.4.1の用語例には明示されていません。カテゴリーをまたぐ関連問題に必要な基本だけを補足します。

内部統制報告制度は、上場会社等を対象に、経営者が財務報告に係る内部統制を評価し、その結果を内部統制報告書として報告する制度です。

  • 全ての企業へ一律に課される制度ではない
  • 法定制度が直接対象とするのは財務報告の信頼性
  • IT統制も財務報告に関係する範囲で評価対象になり得る
  • 対象会社にとって報告書の提出は任意ではない

金融商品取引法の条文、評価範囲、監査免除の要件、提出様式、罰則までは深追いしません。

9．科目Bでの使われ方

事例の記述 判断の方向
一人で申請から実行・記録まで行う 職務分掌・相互牽制が働いていない
部門担当者が評価票で自部門を点検する CSA
全社共通のシステム変更手続を定める ITに係る全般統制
販売システムに上限チェックを組み込む ITに係る業務処理統制
内部監査で統制の有効性を点検する モニタリング
経営陣がIT方針・責任・投資判断を監督する ITガバナンス
全ての中小企業へ内部統制報告書を義務付ける 対象範囲が誤り

判断手順は次のとおりです。

  1. 4つの目的と6つの要素のどれか
  2. 誰が実施しているか
  3. 共通基盤か、個々の業務システムか
  4. 単独で重要な処理を完結できないか
  5. 経営の方向づけか、現場の実行か
  6. 一般的な内部統制か、財務報告の法定制度か

担当者としては、統制が定められていても、実際にその手順どおり運用されているかを記録で確認します。一人で処理が完結する状態や統制の形骸化に気づいた場合は、担当者限りで運用を変えず、責任者へ報告して見直しを求めます。

よくある取り違え

誤った説明 正しい整理
モニタリングは組織の気風を整える 気風は統制環境。モニタリングは有効性の評価
職務分掌は担当者数を減らすために行う 複数人の相互牽制を働かせる
権限を一人へ集中すれば内部統制が強くなる 単独で完結でき、牽制が失われる
開発・変更の共通手続は業務処理統制 共通基盤を支える全般統制
入力値の上限チェックは全般統制 個別処理に組み込まれる業務処理統制
CSAを実施すれば監査は不要 CSAと独立した監査は相互補完
内部統制があれば不正を完全に防止できる 固有の限界があり、合理的な保証に留まる
ITガバナンスは日々のサーバ運用 経営によるIT活用の方向づけ・監督
内部統制報告制度の目的は全ての報告の信頼性 法定制度が直接対象とするのは財務報告の信頼性
全企業に内部統制報告書の提出義務がある 対象は上場会社等

まとめ

  • 内部統制は、4つの目的を合理的に保証するため、業務へ組み込んで運用するプロセス
  • 4つの目的は、業務の有効性及び効率性、報告の信頼性、法令等の遵守、資産の保全
  • 6つの基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応
  • 職務分掌は、一人で処理を完結させず、相互牽制を働かせる
  • IT全般統制は共通基盤、IT業務処理統制は個々の処理へ組み込まれる
  • CSAは業務部門による自己評価であり、独立した監査を代替しない
  • 内部統制には固有の限界があり、目的達成を絶対には保証しない
  • ITガバナンスは、IT活用を経営目標へ整合させ、方向づけ・監督する
  • 一般的な内部統制は「報告の信頼性」、法定の内部統制報告制度は「財務報告の信頼性」を対象とする

関連記事

  • C10-T05：システム監査の流れ
  • C8-T09：ガイドラインと基準
  • C10-T04：用語の衝突を整理する
  • C5-T06：アクセス制御と権限管理

本記事は、2026年4月1日時点で施行されている制度と、2026年8月3日時点のSGシラバス Ver.4.1及び公的資料を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（令和5年4月7日）
  • 金融庁「内部統制報告制度に関するQ&A」（令和5年8月31日改訂）

関連する問題

コメント

タイトルとURLをコピーしました