内部統制の6つの基本的要素とは？統制活動とモニタリングの違い【基本情報技術者試験】

まず結論

内部統制の6つの基本的要素は、「仕組みを作る側」と「その仕組みが機能しているか確かめる側」を分けて考えると整理しやすくなります。

基本情報技術者試験では、まず次の対応を覚えておきましょう。

組織の姿勢・風土
→ 統制環境

リスクを見つけて対応する
→ リスクの評価と対応

ルール・権限・職務分掌を決める
→ 統制活動

必要な情報を正しく伝える
→ 情報と伝達

内部統制が機能しているか確認する
→ モニタリング

ITを適切に利用・管理する
→ ITへの対応

特に迷いやすいのが、統制活動とモニタリングです。

不正や誤りを防ぐ仕組みを作る
→ 統制活動

その仕組みが機能しているか監査・点検する
→ モニタリング

直感的な説明

例えば、会社の購買業務を考えます。

一人の担当者が、商品の発注から受入確認まで全て行えると、不正や誤りが起きても気づきにくくなります。

そこで、役割を分けます。

担当者A
→ 発注する

担当者B
→ 納品されたものを確認する

このように、不正や誤りを防ぐための具体的なルールを作ることが統制活動です。

一方、そのルールが実際に守られているかを内部監査部門などが定期的に確認するのは、モニタリングです。

発注と検収を別担当にする
→ 統制活動

そのルールが守られているか監査する
→ モニタリング

ここを分けると、業務監査を含む選択肢と統制活動の選択肢を切り分けやすくなります。

定義・仕組み

金融庁が公表する「財務報告に係る内部統制の評価及び監査の基準」では、内部統制の基本的要素として、次の6つが整理されています。

基本的要素	見るポイント
統制環境	経営者の姿勢、組織風土、権限・責任の考え方など
リスクの評価と対応	目標達成を妨げるリスクを識別・分析し、対応する
統制活動	経営者の指示が実行されるための方針・手続を定める
情報と伝達	必要な情報を把握し、組織内外へ正しく伝える
モニタリング	内部統制が有効に機能しているか継続的に評価する
ITへの対応	組織目標の達成に必要なITの利用・統制を行う

公式資料は、金融庁：財務報告に係る内部統制の評価及び監査の基準等の改訂についてから確認できます。

統制活動

統制活動は、リスクを減らし、経営者の指示や方針を実際の業務で実行するための具体的なルールや手続です。

代表的な考え方として、次のようなものがあります。

権限と責任を明確にする
承認手続きを定める
職務を分ける
相互にチェックできる仕組みにする

例えば、発注と検収を別の担当者にするのは、職務分掌によって不正や誤りを防ぐ統制活動です。

モニタリング

モニタリングは、作った内部統制が実際に有効に機能しているかを確認・評価する活動です。

内部統制を作る
↓
実際に運用する
↓
機能しているか確認する

日常業務の中で継続的に確認する場合もあれば、内部監査などによって独立的に評価する場合もあります。

そのため、「監査する」「点検する」「有効性を評価する」という表現があれば、まずモニタリングを疑います。

科目Aでどう出る？

科目Aでは、具体的な業務例を6つの基本的要素のどれに分類するかが問われます。

選択肢を読むときは、名詞よりも何をしているかを見ます。

経営方針や組織風土を示す
→ 統制環境

リスクを減らすための対策を選ぶ
→ リスクの評価と対応

担当を分ける・承認ルールを作る
→ 統制活動

必要な情報を共有・報告する
→ 情報と伝達

監査・点検して機能を確かめる
→ モニタリング

ITの利用方針やIT統制を定める
→ ITへの対応

統制活動と業務監査で迷ったら

ここは特に重要です。

業務監査は、業務が適切に行われているかを確認・評価する側です。

一方、統制活動は、不正や誤りを防ぐために業務そのものに組み込む仕組みです。

判断するポイント	統制活動	モニタリング
目的	不正・誤りを防ぐ仕組みを作る	仕組みが機能しているか確認する
代表例	職務分掌、承認手続、権限設定	内部監査、定期点検、有効性評価
問題文の動詞	分ける、承認させる、制限する	監査する、点検する、評価する

つまり、

発注と検収を別担当にする
→ 統制活動

発注・検収業務が適切か監査する
→ モニタリング

です。

「監査」という言葉が出ると重要そうに見えますが、統制活動そのものを聞かれている場合は、監査ではなく、日常業務に組み込まれた予防・牽制の仕組みを探すのがポイントです。

どんな場面で使う？

内部統制は、企業が業務を適切に行い、不正や誤りを防ぎながら目標を達成するために使われます。

例えば、次のような場面です。

購買担当者が勝手に高額な発注をできないよう承認権限を設ける
発注と検収を別の担当者にする
会計データへのアクセス権限を職務ごとに制限する
システム障害などのリスクを評価して対策を決める
内部監査によって統制が機能しているか確認する
必要な情報を経営者や関係部門へ報告する

内部統制は、監査部門だけが行うものではありません。

日常業務に組み込まれたルールや手続そのものが内部統制の一部です。

システム監査における経営者・監査人・被監査部門の役割については、システム監査規程とは？経営者・監査人・被監査部門の役割もあわせて確認すると整理しやすくなります。

よくある誤解・混同

業務監査は統制活動である

必ずしもそうではありません。

内部監査などによって、内部統制が有効に機能しているかを評価する活動は、モニタリングとして整理します。

仕組みを作る
→ 統制活動

仕組みをチェックする
→ モニタリング

この2つを分けることが、試験では重要です。

職務分掌は単なる人員配置である

職務分掌は、単に仕事を分担するだけではありません。

例えば、発注と検収を別の人に担当させれば、一人の担当者だけで取引を完結できなくなります。

一人で発注＋検収
→ 不正を隠しやすい

別々の担当者
→ 相互チェックが働く

このように、牽制を働かせる仕組みとしての職務分掌は統制活動です。

経営者が方針を示すことは統制活動である

経営者の姿勢や経営方針が組織全体の統制意識に影響する場合は、まず統制環境を考えます。

統制活動は、より具体的な業務上の方針・手続です。

リスク対策はすべて統制活動である

リスクを識別・分析し、どのように対応するかを決める段階は、リスクの評価と対応です。

その対応策として具体的な承認手続や職務分掌を業務に組み込めば、そこは統制活動になります。

まとめ（試験直前用）

統制環境は、経営者の姿勢・組織風土などの土台
リスクの評価と対応は、リスクを見つけて対策を考える
統制活動は、承認・権限・職務分掌などの具体的な仕組み
情報と伝達は、必要な情報を正しく共有する
モニタリングは、内部統制が有効に機能しているか確認する
ITへの対応は、ITを適切に利用・統制する
業務監査・内部監査は「チェックする側」なので、統制活動ではなくモニタリングを疑う
発注と検収を別担当にするような職務分掌は、統制活動

作るのが統制活動、確かめるのがモニタリング。

🔗 関連記事

🏠 基本情報技術者トップに戻る