内部統制の不備

内部統制の不備は、業務・情報システムのリスクを許容水準へ抑えるための統制が存在しない、設計が不適切、又は定めた統制が継続して正しく運用されていない管理上の脆弱性です。

■ 試験で押さえるポイント

• 承認・職務分離がない、退職者IDが残る、変更・ログを記録しない、バックアップを復元試験しないなどが該当します。

• 設計上の不備は統制を実行しても目的を達成できず、運用上の不備は適切な統制が定められていても実際に実行・証明されない状態です。

• リスク、統制目的、担当、頻度、証跡を対応付け、自己点検・監査・モニタリングで例外を検出し、原因・影響・補完統制を評価します。

■ 選択肢での判断ポイント

統制の不存在・不適切な設計・運用不履行を含みます。「規程がある」だけでは運用有効性を証明できません。

例: 退職者IDを月次で確認する規程があっても半年実施されていなければ運用上の不備です。即時連携と証跡監視へ是正します。