情報セキュリティマネジメント試験 令和6年度 公開問題 問8

【正解】ウ

統制活動とは、経営者の指示や組織の方針が確実に実行されるように、業務の中に設ける具体的な方針や手続です。例えば、承認、照合、検証、職務の分離、アクセス権の設定などが該当します。受注から出荷までの業務プロセスに処理結果の検証を組み込むことは、誤りや不正を予防又は発見するための具体的なチェック手続なので、統制活動に該当します。

アの経営方針及び経営戦略は誤りです。これは組織運営の基本的な方向性を示すものであり、個々の業務に組み込まれる具体的な統制手続ではありません。内部統制との関係では、経営者の姿勢や組織の気風などを含む「統制環境」に関係します。

イの脅威と脆弱性の分析は誤りです。これは、目的の達成を妨げる要因を識別して分析する「リスクの評価と対応」に該当します。

エの定期的な内部業務監査は誤りです。これは、内部統制が有効に機能しているかを継続的又は個別に評価する「モニタリング」に該当します。

【ポイント】 統制活動は、承認、検証、照合、職務分掌など、現場の業務に組み込まれた具体的な仕組みです。 リスクを見つけて分析するのが「リスクの評価と対応」、統制を事後的に点検するのが「モニタリング」です。