- ベストアンサー
ＩＴ統制とは？
IT統制に関連して、職務権限をしっかり分けるようにと内部統制担当から指示がありました。 そこで２点ほど質問なのですが・・・。 １．あるシステムに対して、担当者Ａは「登録」権限しか持てないことになっていますが、システム上は、担当者Ａに対して「修正」や「承認」の権限がついていたとします。 『担当者Ａは「登録」権限しか持たないので、「修正」や「承認」は行わないようにしています』ということで、IT統制ができていると言えるのでしょうか？ 上司から、「システム上で権限がついていても、その権限を行わないようにしているから問題ない。」と言われたのですが、「それでいいの？」と内心疑問に思いました。 実際行おうとすればできる状態にあるのに、担当者の良心やモラルに一任しているだけというのはどうなのでしょう・・・？ ２．そのシステムを利用する業務には関与していない（もともとは参照権限もない）担当者Ｂが、システム管理者として全権を持って、各担当者に「登録」や「承認」の権限を付与するという行為が、IT統制になるのでしょうか？ IT統制に詳しい方、教えて下さい。
- みんなの回答 （4）
- 専門家の回答
質問者が選んだベストアンサー
IT統制というと、エディット・ヴァリデーションのような、システムに組み込まれたものをイメージし勝ちですが、定義上のＩＴ統制は、ITCLC（会社レベルで、例えば、経営戦略とＩＴ開発に齟齬が出ないような仕組みの有無など）、ＩＴＧＣ（アクセスコントロール、システム開発＆変更管理＆運用に関るもの）、ＩＴＡＣ（エディット・ヴァリデーションのような業務上の統制でＩＴに依拠したもの）の3通りあります。このうち、ＩＴＣＬＣ＆ＩＴＧＣはかなりの部分が「人的なコントロール」です。つまり、「システムに依拠していないから、ＩＴ統制ではない」とは言えない、という事です また、内部統制の有効性を判断する立場からすれば、一般論としてはシステムに依拠したものの方が強力なので、それに越した事はないですが、人的な統制でも、十分であれば当然にしてＯＫなので、そもそも「システムに依拠した統制かどうか」って事自体は普通はそれほど関心を持たれません。よって、「ＩＴ統制かどうか」ではなく、統制として十分か、という観点から考えてみます。 >『担当者Ａは「登録」権限しか持たないので、「修正」や「承認」は行わないようにしています』ということで、IT統制ができていると言えるのでしょうか？ この『説明』だけならばNGでしょうね。「行わないようにしている」かどうかではなくて、「行わなせない仕組みは何か」という事が問題なのですから、そもそも説明になってない。 「個々の担当者の権限が文書で規定され通知されている」のであれば、統制はある、とは言えるでしょう。それが守られるかは、突き詰めると本人の良心次第であっても、です。（例えば、システム部門以外を含む全社で、ノートＰＣは家に持って帰るな、という規則があるケースは多いと思いますが、こういう規則を「統制」と呼ぶのが常識です。） 「規定がある」だけで、統制として十分と言えるかどうかは、不正な修正や承認が起きた場合の『ダメージ』の規模によって大きく変わります。非常に軽微なダメージしかなければ、ひょっとしたら「ルールだけでもＯＫ」となるかも知れません。 また、「修正」や「承認」の『結果』が、責任者によってタイムリーかつ網羅的にモニターされているのであれば、不正な修正＆承認はそこでチェックできる、と言えるので、もしそうだったら、「承認や修正の権限に関する統制の有無は問題ではない」（どっちもいい）って事になります。このように、下流に強力な統制があれば、上流の統制については考えないというのは、至極普通でかつ内部統制評価の現場ではよく見られるものです。 >そのシステムを利用する業務には関与していない（もともとは参照権限もない）担当者Ｂが、システム管理者として全権を持って、各担当者に「登録」や「承認」の権限を付与するという行為が、IT統制になるのでしょうか？ 違う担当ラインの人に、「登録や承認の権限を誰かに与えたり奪ったりする」権限を与える、って事ですかね。今でも、登録や承認の権限は、誰かが与えているのでしょうから、違う担当ラインの人にするってところがミソなのでしょうか？だったら、職務分掌が問題にされているのかな？ 同一ラインに権限付与も実務もやってしまうよりは、権限付与と実務を分けた方が、「つるんだ不正」が防ぎやすくなるのは事実です。「他部署のシステムにもアクセスできる」事を疑問視されているようですが、統制の構築は、そういうメリット・デメリットを勘案した上で決められるもので、一概にどれが正解、といえるものではありません。（ある意味、かなり主観的な判断による、とも言える。）アクセスできるといっても、参照権限だけならＯＫ、という結論も、状況次第ではあるでしょう。 私は、数ヶ月前まで、会社全体としての、（おそらく質問で書かれたような）「内部統制担当」の立場にありました。コストも手間もかからずかつ明らかに「そりゃダメだろーが」というケースは、Ｙｅｓ/Noをはっきり言いましたが、まじめに考えるには、プロセスの上流から下流まで、コストも含めた、かなり幅広い観点からメリット・デメリットを考えた上で、結論を出しました。 こういうサイトで、この手の疑問を解消するのは、かなり難しいように思います。（少なくとも、回答者として、根拠のある回答をするのはかなり難しいです。） ここで聞くより、会社の「内部統制担当」に直接聞かれたらどうでしょう？
その他の回答 (3)
- ok2007
- ベストアンサー率57% (1219/2120)
No.2の者です。 > 担当者Ｂは、本来そのシステムを参照する権限はなく、ただ「各担当者に権限を付与するためだけに」権限をつけて、参照できてしまうということは、内部統制上問題はないのでしょうか？ Ｂさんがシステム利用部署の責任者なのかどうかにより、話が異なってくるように思います。 Ｂさんがシステム利用部署の責任者であれば、権限付与の責任者でもあるといえるでしょうから、特に問題はないでしょう。むしろ、「本来そのシステムを参照する権限はな」いことが内部統制上問題となるでしょう。 Ｂさんがシステム利用部署の責任者ではないのであれば、Ｂさんが決裁どおりに付与しないリスクが生じます。これを決裁者等が確認することによりコントロールが効きますから、確認行為の有無が問題となるでしょう。 それから、No.2の回答は一部不正確でした。ごめんなさい。１については、IT統制ではないとしましたが、正確にはIT統制に該当します。 １は、IT統制に該当した上で、修正や承認が不正に行われるリスクをITでコントロールできていないことから、IT統制が非有効と判定されます。その結果、IT統制に依拠出来ず他の統制でカバーしなければならないことになります。
お礼
ok2007さん、再度ご回答下さいまして、ありがとうございます。 担当者Ｂは、システム利用部門の責任者ではなく、他部署の一般社員という立場になります。 そのため、このシステムを使う必要もないため、現状は、参照する権限がありません。 参照させてよいのかどうかをまず考えなければいけないかと思います。 その上で、参照＆権限付与をさせる場合は、システム利用部門の責任者が、担当者Ｂが正確に権限付与を行っているかを確認しなければいけないのですね。（実際はあまり確認しそうもないですが・・・） 分かりやすいご説明で、大変参考になりました。 『IT統制が非有効』ということも理解できました！ ありがとうございました。
- ok2007
- ベストアンサー率57% (1219/2120)
IT統制は、ITそのものでリスクをコントロールできる統制活動のことをいいますから、１も２もIT統制ではありません。 １は、システム上も登録権限しか持たせなければIT統制になります。２の権限付与行為自体は、IT統制と無関係です。
お礼
ok2007さん、ご回答ありがとうございます。 ITで統制しなければ、意味がないのですね。 すべての権限がついている以上、「やらないようにしています」と言ったところで、担当者Ａが勝手に承認を行ったりするリスクが実際にはありますよね！ ２の権限付与行為自体は、IT統制と無関係とのことですが、次のことについても、よろしければ教えて頂けると嬉しいです。 担当者Ｂは、本来そのシステムを参照する権限はなく、ただ「各担当者に権限を付与するためだけに」権限をつけて、参照できてしまうということは、内部統制上問題はないのでしょうか？ 例えば、会社のすべてのシステムに対して「各担当者に権限を付与する」権限は担当者Ｂのみとするため、他部署のシステムにもアクセス可能にすることの方が逆に問題ではないのかと思うのですが・・・。 もともとそのシステムを管理している部署内で、きちんと各担当を決めた方がいいのではないかと思ったのですが、「それでは統制できていると言えない！」と言われてしまいました・・・。
- biwa-plus
- ベストアンサー率25% (97/383)
専門家ではありませんが、はっきり言ってその会社はＩＴ統制はしたくないのではと思いますよ。 ただシステムを導入してしまった以上、無駄な投資に見えないよう建前で使っているだけでしょう。 承認権限の設定は困難でないはずですよ。
お礼
biwa-plusさん、ご回答ありがとうございます。 おっしゃる通り、上司は、内部統制担当に指示されてしかたなく・・・という態度が見え見えです。 IT統制ができているとは言えませんよね！ 指摘を受けて、やり直しになるのではないかと思います。
お礼
tiuhtiさん、ご回答ありがとうございます。 ＞「行わないようにしている」かどうかではなくて、「行わなせない仕組みは何か」という事が問題 恐らく現状では、「行わせない仕組みは何か？」と問われた場合、きちんと答えることができないと思います。 その点で、不十分であると言えますね・・・。 ＞統制の構築は、そういうメリット・デメリットを勘案した上で決められるもの それぞれのシステムに対して、他部署の担当者に参照させていいものかどうかきちんと吟味しなければいけませんね。 例えば、個人情報が参照できてしまうようなものはＮＧということになりますね。 参照させてＯＫであれば、権限付与と実務を分けた方が不正を防ぎやすいですね。 コスト・実際のプロセス・有効性など、さまざまな角度から考えてみる必要があるのだということがよく分かりました。 一律に決めてしまえるものでもなく、難しい問題です。 IT統制のために、実務に弊害があっては、本末転倒ですし・・・。 ご経験を元にした内容で、とても分かりやすかったです。 ＵＲＬもたいへん参考になりました。 ありがとうございました。