CSAとは？統制自己評価でリスクを見つける考え方【SG試験】

まず結論

CSAとは、業務を担当する部門が、自分たちの業務や管理策を自ら点検し、リスクや弱点を見つける活動です。

正式には、統制自己評価 または Control Self Assessment と呼ばれます。

SG試験では、CSAを「監査人が行う監査そのもの」と混同しないことが大切です。

CSAは、現場が自分たちで確認する活動であり、監査は第三者的な立場で評価する活動です。

CSAは、日常業務でいうと「自分たちの仕事の点検表を使って、抜けや弱点を確認すること」に近いです。

たとえば、情報システムを利用している部署が、次のようなことを自分たちで確認します。

ポイントは、外部の監査人に指摘される前に、現場が自分たちでリスクに気づくことです。

SG試験では「自分で確認するなら甘くなるのでは？」という不安も含めて、CSAの位置づけを理解しておくと選択肢を切りやすくなります。

CSAは、組織の業務プロセスや管理策について、業務部門自身がリスクや統制の状況を評価する考え方です。

ここでいう「統制」とは、ミス、不正、情報漏えい、業務停止などを防ぐためのルールや仕組みのことです。

CSAの基本の流れは、次のように考えると分かりやすいです。

CSAでよく使われる方法には、チェックリスト、アンケート、ワークショップ、ヒアリングなどがあります。

IPAの情報セキュリティマネジメント試験の出題内容では、科目Aの関連分野としてシステム監査や内部統制が、科目Bでは業務現場での情報セキュリティ管理が問われます。公式情報は IPA 情報セキュリティマネジメント試験出題内容で確認できます。

CSAは、監査を置き換えるものではありません。

CSAによって現場がリスクを把握し、その結果を監査や管理活動に生かす、という関係で理解します。

CSAは、現場の業務に潜むリスクを早めに見つけたい場面で使います。

たとえば、次のような場面です。

CSAのよいところは、現場の人が業務の流れをよく知っているため、実態に近いリスクを見つけやすいことです。

一方で、自己評価なので、評価が甘くなる可能性もあります。

そのため、CSAの結果をそのまま「問題なし」と決めつけるのではなく、必要に応じて監査、管理者レビュー、証跡確認と組み合わせることが大切です。

SG試験では、CSAは「現場の自主点検」と「監査人による独立した評価」の違いを問われることがあります。

選択肢では「CSAは監査人が独立して証拠を収集し、保証を与える活動である」と書かれていたら注意です。

それはCSAというより、監査に近い説明です。

CSAで混同しやすいのは、システム監査、内部統制、リスクアセスメントです。

CSAは、内部統制そのものではありません。

CSAは、内部統制がきちんと機能しているかを、現場が自分で確認する活動です。

また、CSAはリスクアセスメントと重なる部分がありますが、まったく同じではありません。

リスクアセスメントは、リスクを評価して対応を決める活動です。

CSAは、現場が自分たちの業務や管理策を点検する活動で、その中でリスクを見つけることがあります。

SG試験では、次のように切り分けると分かりやすいです。

選択肢では、CSAを「監査人が実施する公式な監査」と書いてくる場合があります。

この場合は、誰が評価するのかを見ると切りやすいです。