最終更新日：2026年9月15日
fe fe-strategy management internal-control
まず結論
内部統制は、組織の目的を達成するために、業務へ組み込まれて組織内の全ての者が行う仕組みです。
基本情報技術者試験では、内部統制を構成する6つの基本的要素を、具体例から見分けられるようにしておくことが重要です。
会社全体の風土・経営姿勢
→ 統制環境
何が危ないかを考えて対策する
→ リスクの評価と対応
承認・照合・職務分掌などを決める
→ 統制活動
必要な情報を正しく伝える
→ 情報と伝達
内部統制が機能しているか確認する
→ モニタリング
ITに関する方針・手続を整える
→ ITへの対応
特に試験では、統制活動とモニタリングを混同しないことが大切です。
直感的な説明
内部統制は、「会社が安全に正しく仕事を続けるための仕組み」と考えると分かりやすいです。
たとえば、商品の発注から支払いまでを一人だけに任せると、不正やミスが起きても気付きにくくなります。
そこで、
発注する人
↓
納品を確認する人
↓
支払いを承認する人
のように役割を分けます。
このように、仕事の進め方そのものに不正や誤りを防ぐ仕組みを入れるのが統制活動です。
一方、その仕組みが本当に機能しているかを内部監査などで確認するのがモニタリングです。
防ぐ仕組みを作る
→ 統制活動
仕組みが機能しているか確認する
→ モニタリング
この違いは、科目Aで特に重要です。
定義・仕組み
金融庁の「財務報告に係る内部統制の評価及び監査の基準」では、内部統制を、4つの目的を達成するために業務へ組み込まれ、組織内の全ての者によって遂行されるプロセスとしています。
4つの目的は次のとおりです。
- 業務の有効性及び効率性
- 報告の信頼性
- 事業活動に関わる法令等の遵守
- 資産の保全
そして、その目的を達成するための基本的要素として、次の6つが示されています。
1. 統制環境
統制環境は、組織全体の考え方や雰囲気の土台です。
たとえば、次のようなものが含まれます。
- 経営者の姿勢
- 経営方針
- 倫理観
- 組織構造
- 権限や職責
- 人材に関する方針
試験では、経営者が会社全体へ方針を示すような内容が出たら、まず統制環境を考えます。
会社全体の土台・風土
→ 統制環境
2. リスクの評価と対応
リスクの評価と対応は、目標達成を妨げるリスクを見つけて、分析し、対策することです。
対応方法には、回避、低減、移転、受容などがあります。
たとえば、情報システムの故障による損失に備えて保険へ加入する場合は、リスクを保険会社へ移すため、リスクへの対応に該当します。
何が危ないか
→ 評価
どう対処するか
→ 対応
3. 統制活動
統制活動は、経営者の命令や方針が適切に実行されるように定める方針や手続です。
代表例は次のとおりです。
- 承認手続
- 職務分掌
- 照合
- 内部牽制
- 権限と職責の設定
たとえば、発注担当者と検収担当者を別々にするのは職務分掌です。
一人に任せすぎない
→ 不正・誤りを防ぐ
→ 統制活動
4. 情報と伝達
情報と伝達は、必要な情報を正しく把握し、必要な人へ適切に伝えることです。
重要なのは、単に情報を持っているだけではなく、必要な人に適時・適切に届くことです。
必要な情報
→ 正しく処理
→ 必要な人へ伝える
5. モニタリング
モニタリングは、内部統制が有効に機能しているかを継続的に評価することです。
代表的なのは内部監査です。
金融庁の基準では、モニタリングには、通常業務に組み込まれた日常的モニタリングと、内部監査などの独立的評価があるとされています。
仕組みを作る
→ 統制活動
仕組みを評価する
→ モニタリング
6. ITへの対応
ITへの対応は、組織目標を達成するために、ITに関する適切な方針や手続を決めて対応することです。
たとえば、
- 情報システムの利用方針を決める
- アクセス権限を適切に設定する
- システム変更を管理する
- ITを使った業務の統制を整える
といった内容が関係します。
科目Aでどう出る？
科目Aでは、6つの名前をそのまま問うだけでなく、具体的な事例をどの要素に分類するかが問われます。
判断軸1：会社全体の姿勢・風土か
経営者の姿勢
経営方針
倫理観
組織構造
この方向なら、統制環境を考えます。
判断軸2：リスクを見つけて対策しているか
障害に備える
保険に加入する
リスクを分析する
この方向なら、リスクの評価と対応です。
判断軸3：業務のやり方そのものを決めているか
承認する
担当を分ける
照合する
権限を設定する
この方向なら、統制活動です。
特に、職務分掌は典型例です。
判断軸4：監査・評価しているか
内部監査
定期的な評価
統制が機能しているか確認
この方向なら、モニタリングです。
「監査」という言葉を見て統制活動と判断しないことがポイントです。
判断軸5：情報の共有・伝達か
必要な情報を集める
適切な人へ報告する
組織内外へ伝達する
この方向なら、情報と伝達です。
判断軸6：ITに関する方針・統制か
IT利用の方針
アクセス管理
システム変更管理
ITを使った統制
この方向なら、ITへの対応を考えます。
どんな場面で使う？
内部統制は、企業活動のさまざまな場面で使われます。
たとえば、
- 発注と検収を別担当にする
- 支払い前に上司が承認する
- 在庫数と帳簿を照合する
- 内部監査を定期的に実施する
- 重要な情報を経営者へ報告する
- 情報システムのアクセス権限を管理する
といった仕組みです。
科目Aでは、まず「何をしているか」に注目します。
防ぐ仕組み
→ 統制活動
危険を考えて対策
→ リスクの評価と対応
機能しているか確認
→ モニタリング
この3つを切り分けるだけでも、多くの選択肢を判断しやすくなります。
よくある誤解・混同
内部監査は統制活動である
内部監査は、通常、モニタリングとして整理します。
業務をどう行うか決める
→ 統制活動
その仕組みが機能しているか確認する
→ モニタリング
職務分掌は統制環境である
権限や職責という言葉は統制環境にも登場しますが、具体的な業務の中で職務を分けて不正・誤りを防ぐ仕組みは統制活動として判断します。
たとえば、発注担当と検収担当を分けるのは統制活動です。
保険への加入は統制活動である
保険への加入は、リスクへの対応方法の一つであるリスクの移転と考えます。
したがって、リスクの評価と対応に該当します。
ITが出てきたら何でもITへの対応である
これは誤りです。
ITを使っていても、問題の中心がリスク評価、情報伝達、モニタリングなどであれば、別の基本的要素に分類されることがあります。
「ITという単語」ではなく、何を目的としているかを見ます。
まとめ（試験直前用）
- 内部統制は、4つの目的を達成するために業務へ組み込まれるプロセス
- 6つの基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応
- 経営者の姿勢・会社全体の風土なら統制環境
- リスクを見つけて対策するならリスクの評価と対応
- 承認・照合・職務分掌なら統制活動
- 内部監査などで機能を確認するならモニタリング
- 「統制活動＝監査」と考えないことが重要