内部統制とコントロールの基本

結論：内部統制は「ちゃんと回るための社内の仕組み」

内部統制とは、会社が目的どおりに健全に動くように、社内に組み込むルール・手続・チェックの仕組みのことです。仕組みを作って動かす最終責任は経営者にあります。IT システムに組み込んだ統制は IT 統制と呼び、内部統制の一部です。

金融庁の基準では、内部統制の目的は次の4つです。

「財務報告の信頼性」の効果を問われたら、数字を見て判断する外部の人（株主・取引先）からの信頼を選びます。「業務の効率化」は別の目的の効果です。

誰が何をするか：最終責任は経営者

試験で最もよく問われるのは「内部統制の整備と運用に最終的な責任を負うのは誰か」です。答えは毎回経営者です。

モニタリングとは、内部統制がきちんと働いているかを継続的に見張り、評価することです。

レストランにたとえると、衛生管理の仕組みを作って守らせる責任は**店長（経営者）**にあります。店内の点検係（内部監査人）は、日々の運用をチェックして改善を提案します。店が依頼した外部の検査会社（外部監査人）は、店長がまとめた衛生点検の報告が適正かどうかを確かめます。

コントロールの3分類：予防・発見（検知）・復旧

コントロール（統制）とは、リスクを抑えるための個々の対策です。問題が起きる前・起きた直後・起きた後のどの段階に効くかで分類します。この分野で最も出題が多いテーマです。

flowchart LR
  A["予防統制：起きる前に防ぐ"] --> B["誤り・事故の発生"]
  B --> C["発見統制：事後に見つける"]
  C --> D["復旧統制：元の状態に立て直す"]

見分けるコツ

• 「照合する」「突き合わせる」「検知する」「ログを点検する」→ 発見（検知）統制
• 事故や障害の後に業務を立て直すための計画（コンティンジェンシープラン）や、バックアップからの復元 → 復旧統制
• 運用計画や手順書など通常業務のルール、画面設計、権限の付与、教育 → 予防統制

「計画」という言葉が入っているだけで復旧統制とは限りません。事故の後に使う計画かどうかで判断します。

職務分離：決める人と承認する人を分ける

職務分離（職務分掌）とは、一つの仕事を複数の人に分担させ、お互いにチェックし合う状態（相互牽制）を作ることです。一人で「決めて・承認して・実行する」と、ミスや不正があっても誰も気づけません。

監査の過去問では、オペレータが日次の運用計画を自分で決め、自分で承認している状態が、監査報告書に記載すべき指摘事項でした。一方、責任者が記録を確認する、記録を一定期間保管する、例外処理を記録する、の3つはいずれも適切な管理です。

選択肢で「自ら承認」「一人で〜から〜まで行う」と書かれていたら、職務分離の不備を疑ってください。

可監査性と監査証跡：監査できる状態にしておく

可監査性（監査可能性、Auditability）とは、コントロールが有効に働いているかを監査できるように、情報システムが設計・運用されていることです。監査人の能力の話ではなく、システム側の性質を指します。

そのために欠かせないのが監査証跡（audit trail）です。入力から出力に至る処理の過程を後から追跡できる仕組みと記録のことで、ログが代表例です。宅配便の追跡番号で「いつ・どこを通ったか」をたどれるのと同じイメージです。

名前が似た用語との区別が問われます。

試験での問われ方

• 最終責任者：選択肢に株主・監査役・監査人・業務担当者・経営者が並び、正解は経営者です。監視・評価する立場の人をおとりに使います。
• 役割の記述問題：主語を入れ替えてきます。「経営者が独立した立場から監視・検証」「監査役が基本方針を決定」はどちらも誤りです。内部監査人＝モニタリングで評価し改善を促すが正しい記述です。
• 3分類：入力ミスの対策が4つ並び、「発見統制はどれか」と聞かれます。正解は照合で、残りの3つは予防統制です。
• 可監査性：3回とも選択肢が同じでした。正解は「コントロールの有効性を監査できるように設計・運用」で、監査人の能力・証拠の十分性・部門の協力はおとりです。