全般統制の不備と自動化統制
A 社の販売管理システムには，受注の登録時に商品マスタの単価を自動で適用し，与信限度額を超える受注の登録を拒否する，自動化された統制が組み込まれている。経営者は期中の一時点でこの統制をテストし，意図どおりに動作することを確認した。その後，開発担当者が本番環境の管理者権限を持ち，承認を経ずにプログラムを本番環境へ反映できる状態が期間を通じて続いていたことが判明した。この自動化された統制の評価として，最も適切なものはどれか。
- アプログラムの変更管理とアクセス管理という IT 全般統制の不備によって，統制が期間を通じて同じように機能していた前提が崩れるので，期間中にプログラムが変更されていないかなどを追加で確かめる。
- イ自動化された統制は一度組み込めば継続して機能する性質があるので，一時点のテストで意図どおりに動作したことをもって，期間を通じて有効に機能していたと評価する。
- ウIT 全般統制に不備があったので，自動化された統制は期間中に誤った処理をしていたことが確定したものとし，追加の確認をせずに統制は無効だったと結論付ける。
- エ期末までに開発担当者の管理者権限を削除して IT 全般統制を是正すれば，その後に自動化された統制を確かめなくても，統制は期末日時点で有効に機能していると結論付けられる。
正解と解説を見る
正解 ア
この問題の基礎知識
- IT に係る内部統制は，業務処理統制が有効に機能する環境を保証する IT 全般統制と，業務プロセスに組み込まれて個々の取引の処理を統制する IT 業務処理統制に分けられる。
- IT 全般統制の例には，システムの開発・保守に係る管理，システムの運用・管理，内外からのアクセス管理などシステムの安全性の確保，外部委託に関する契約の管理がある。
- IT 業務処理統制の例には，入力情報の完全性・正確性・正当性を確保する統制，例外処理（エラー）の修正と再処理，マスタデータの維持管理などがある。
- 職務の分離は，相反する権限を一人に集中させない統制である。開発と本番環境の運用の権限を分けることで，承認されていない変更が本番に反映されることを防ぐ。
アプログラムの変更管理とアクセス管理という IT 全般統制の不備によって，統制が期間を通じて同じように機能していた前提が崩れるので，期間中にプログラムが変更されていないかなどを追加で確かめる。正解
自動化された統制はプログラムの変更やエラーが生じない限り継続して機能するが，それはプログラムの変更管理やアクセス管理などの IT 全般統制が有効であることが前提である。全般統制に不備があると一時点のテスト結果を期間全体に当てはめられないので，変更の有無や補完的な統制を確かめる。
イ自動化された統制は一度組み込めば継続して機能する性質があるので，一時点のテストで意図どおりに動作したことをもって，期間を通じて有効に機能していたと評価する。
継続して機能するという性質は，プログラムに不正な変更が加えられないことが前提である。承認なしに本番へ反映できる状態では，テストの後にプログラムが変更された可能性を否定できず，一時点の結果を期間全体には当てはめられない。
ウIT 全般統制に不備があったので，自動化された統制は期間中に誤った処理をしていたことが確定したものとし，追加の確認をせずに統制は無効だったと結論付ける。
全般統制の不備は，自動化された統制の有効な運用を継続して維持できない可能性を生じさせるが，誤った処理が行われたことを直ちに意味するものではない。期間中の変更履歴の検証などで，統制が現に有効に機能していたかを確かめてから判断する。
エ期末までに開発担当者の管理者権限を削除して IT 全般統制を是正すれば，その後に自動化された統制を確かめなくても，統制は期末日時点で有効に機能していると結論付けられる。
IT 全般統制は業務処理統制が有効に機能する環境を確保するものだが，全般統制が有効であるだけでは，業務処理統制も有効に機能しているという結論にはならない。是正前に加えられたかもしれない変更も含め，自動化された統制そのものを確かめる必要がある。
検証用の出典出典照合済み
金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」I 2 (6) ② ＩＴの利用及び統制 ／ 金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」II 3 (3) ⑤ ＩＴを利用した内部統制の評価，II 3 (4) ③ ＩＴに係る内部統制の有効性の判断 ／ 金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」III 4 (2) ④ ニ ＩＴを利用した内部統制に係るＩＴの全般統制の不備の取扱い照合の根拠（5 件）
- ア（正解）・イ: 継続して機能する性質は全般統制が有効であることが前提で，変更管理やアクセス管理に不備があると有効性が保証されないので，一時点のテストで期間全体を有効とするイは誤り
ＩＴを利用した情報システムにおいては、一旦適切な内部統制（業務処理統制）を組み込めば、意図的に手を加えない限り継続して機能する性質を有しているが、例えば、その後のシステムの変更の段階で必要な内部統制が組み込まれなかったり、プログラムに不正な改ざんや不正なアクセスが行われるなど、全般統制が有効に機能しない場合には、適切な内部統制（業務処理統制）を組み込んだとしても、その有効性が保証されなくなる可能性がある。
金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」 · I 2 (6) ② ａ ＩＴに係る全般統制（新しいタブで開きます） - ア（正解）: 全般統制に不備がある場合は補完的な統制などを追加で確かめる
ＩＴに係る全般統制に不備がある場合には、代替的又は補完的な他の内部統制により、財務報告の信頼性という目的が達成されているかを検討する。
金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」 · II 3 (4) ③ イ ＩＴに係る全般統制に不備がある場合（新しいタブで開きます） - ア（正解）・ウ: 全般統制の不備は有効な運用を継続的に維持できない「可能性」を生じさせるもので，誤った処理が確定することを意味しない
しかし、ＩＴに係る全般統制に不備があった場合には、たとえＩＴに係る業務処理統制が有効に機能するように整備されていたとしても、その有効な運用を継続的に維持することができない可能性があり、虚偽記載が発生するリスクが高まることとなる。
金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」 · II 3 (4) ③ イ ＩＴに係る全般統制に不備がある場合（新しいタブで開きます） - ウ: 全般統制に不備があっても業務処理統制が現に有効に機能していたかの検証が判断材料になるので，追加の確認をせずに無効と結論付けるウは誤り
業務処理統制が現に有効に機能していることが検証できているのであれば、全般統制の不備をもって直ちに開示すべき重要な不備と評価されるものではないことに留意する。
金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」 · III 4 (2) ④ ニ ＩＴを利用した内部統制に係るＩＴの全般統制の不備の取扱い（新しいタブで開きます） - ア（正解）・エ: 自動化された統制の評価結果を継続して使うには，全般統制が有効であることに加えて評価時点から統制が変更されていないことなども確かめる必要があり，期末に権限を削除しただけで自動化された統制を確かめずに有効とするエは誤り
評価された時点から内部統制が変更されていないこと、障害･エラー等の不具合が発生していないこと、及び関連する全般統制の整備及び運用の状況を確認及び評価した結果、全般統制が有効に機能していると判断できる場合には、その結果を記録することで、当該評価結果を継続して利用することができる。
金融庁「財務報告に係る内部統制の評価及び監査に関する実施基準」 · II 3 (3) ⑤ ニ ｃ 過年度の評価結果を利用できる場合（新しいタブで開きます）