- ベストアンサー
ＩＴ統制とは？
IT統制に関連して、職務権限をしっかり分けるようにと内部統制担当から指示がありました。 そこで２点ほど質問なのですが・・・。 １．あるシステムに対して、担当者Ａは「登録」権限しか持てないことになっていますが、システム上は、担当者Ａに対して「修正」や「承認」の権限がついていたとします。 『担当者Ａは「登録」権限しか持たないので、「修正」や「承認」は行わないようにしています』ということで、IT統制ができていると言えるのでしょうか？ 上司から、「システム上で権限がついていても、その権限を行わないようにしているから問題ない。」と言われたのですが、「それでいいの？」と内心疑問に思いました。 実際行おうとすればできる状態にあるのに、担当者の良心やモラルに一任しているだけというのはどうなのでしょう・・・？ ２．そのシステムを利用する業務には関与していない（もともとは参照権限もない）担当者Ｂが、システム管理者として全権を持って、各担当者に「登録」や「承認」の権限を付与するという行為が、IT統制になるのでしょうか？ IT統制に詳しい方、教えて下さい。
- みんなの回答 （4）
- 専門家の回答
質問者が選んだベストアンサー
その他の回答 (3)
- ok2007
- ベストアンサー率57% (1219/2120)
No.2の者です。 > 担当者Ｂは、本来そのシステムを参照する権限はなく、ただ「各担当者に権限を付与するためだけに」権限をつけて、参照できてしまうということは、内部統制上問題はないのでしょうか？ Ｂさんがシステム利用部署の責任者なのかどうかにより、話が異なってくるように思います。 Ｂさんがシステム利用部署の責任者であれば、権限付与の責任者でもあるといえるでしょうから、特に問題はないでしょう。むしろ、「本来そのシステムを参照する権限はな」いことが内部統制上問題となるでしょう。 Ｂさんがシステム利用部署の責任者ではないのであれば、Ｂさんが決裁どおりに付与しないリスクが生じます。これを決裁者等が確認することによりコントロールが効きますから、確認行為の有無が問題となるでしょう。 それから、No.2の回答は一部不正確でした。ごめんなさい。１については、IT統制ではないとしましたが、正確にはIT統制に該当します。 １は、IT統制に該当した上で、修正や承認が不正に行われるリスクをITでコントロールできていないことから、IT統制が非有効と判定されます。その結果、IT統制に依拠出来ず他の統制でカバーしなければならないことになります。
お礼
ok2007さん、再度ご回答下さいまして、ありがとうございます。 担当者Ｂは、システム利用部門の責任者ではなく、他部署の一般社員という立場になります。 そのため、このシステムを使う必要もないため、現状は、参照する権限がありません。 参照させてよいのかどうかをまず考えなければいけないかと思います。 その上で、参照＆権限付与をさせる場合は、システム利用部門の責任者が、担当者Ｂが正確に権限付与を行っているかを確認しなければいけないのですね。（実際はあまり確認しそうもないですが・・・） 分かりやすいご説明で、大変参考になりました。 『IT統制が非有効』ということも理解できました！ ありがとうございました。
- ok2007
- ベストアンサー率57% (1219/2120)
IT統制は、ITそのものでリスクをコントロールできる統制活動のことをいいますから、１も２もIT統制ではありません。 １は、システム上も登録権限しか持たせなければIT統制になります。２の権限付与行為自体は、IT統制と無関係です。
お礼
ok2007さん、ご回答ありがとうございます。 ITで統制しなければ、意味がないのですね。 すべての権限がついている以上、「やらないようにしています」と言ったところで、担当者Ａが勝手に承認を行ったりするリスクが実際にはありますよね！ ２の権限付与行為自体は、IT統制と無関係とのことですが、次のことについても、よろしければ教えて頂けると嬉しいです。 担当者Ｂは、本来そのシステムを参照する権限はなく、ただ「各担当者に権限を付与するためだけに」権限をつけて、参照できてしまうということは、内部統制上問題はないのでしょうか？ 例えば、会社のすべてのシステムに対して「各担当者に権限を付与する」権限は担当者Ｂのみとするため、他部署のシステムにもアクセス可能にすることの方が逆に問題ではないのかと思うのですが・・・。 もともとそのシステムを管理している部署内で、きちんと各担当を決めた方がいいのではないかと思ったのですが、「それでは統制できていると言えない！」と言われてしまいました・・・。
- biwa-plus
- ベストアンサー率25% (97/383)
専門家ではありませんが、はっきり言ってその会社はＩＴ統制はしたくないのではと思いますよ。 ただシステムを導入してしまった以上、無駄な投資に見えないよう建前で使っているだけでしょう。 承認権限の設定は困難でないはずですよ。
お礼
biwa-plusさん、ご回答ありがとうございます。 おっしゃる通り、上司は、内部統制担当に指示されてしかたなく・・・という態度が見え見えです。 IT統制ができているとは言えませんよね！ 指摘を受けて、やり直しになるのではないかと思います。
お礼
tiuhtiさん、ご回答ありがとうございます。 ＞「行わないようにしている」かどうかではなくて、「行わなせない仕組みは何か」という事が問題 恐らく現状では、「行わせない仕組みは何か？」と問われた場合、きちんと答えることができないと思います。 その点で、不十分であると言えますね・・・。 ＞統制の構築は、そういうメリット・デメリットを勘案した上で決められるもの それぞれのシステムに対して、他部署の担当者に参照させていいものかどうかきちんと吟味しなければいけませんね。 例えば、個人情報が参照できてしまうようなものはＮＧということになりますね。 参照させてＯＫであれば、権限付与と実務を分けた方が不正を防ぎやすいですね。 コスト・実際のプロセス・有効性など、さまざまな角度から考えてみる必要があるのだということがよく分かりました。 一律に決めてしまえるものでもなく、難しい問題です。 IT統制のために、実務に弊害があっては、本末転倒ですし・・・。 ご経験を元にした内容で、とても分かりやすかったです。 ＵＲＬもたいへん参考になりました。 ありがとうございました。