分野 T｜ビジネス・技術
コーポレートガバナンスと内部統制
今の制度の過去問（6回分）では、統制活動に当たるものを選ぶ問題と、内部統制に最終的な責任を負う者を選ぶ問題が、1問ずつ出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 コーポレートガバナンス／コーポレートガバナンス』『2 内部統制・デジタルガバナンス／内部統制・デジタルガバナンス』
最終更新
問われ方
- 内部統制の基本的要素のうち、統制活動に当たるものを選ぶ形
- 内部統制の整備と運用に最終的な責任を負う者を選ぶ形
- 問われるとしたら：職務分掌の不備を見つけ、適切な見直しを選ぶ形
- 問われるとしたら：内部統制の限界を、事例から選ぶ形
- 問われるとしたら：全般統制と業務処理統制を区別する形
覚えること
- コーポレートガバナンス：経営者の職務を監督し、企業を適切に運営させる仕組み
- コンプライアンス：法令や社内規程、社会の規範を守ること
- 内部統制：業務の有効性・効率性、報告の信頼性、法令遵守、資産の保全を合理的に保証する仕組み
- 基本的要素：統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応
- 統制環境：組織の気風を決め、他の基本的要素の基礎となる基盤（例：経営方針及び経営戦略）
- 実施ルールの設定：業務の手順や権限、承認の流れを、規程などで定めること
- チェック体制の確立：ルールどおりに行われたかを確かめる仕組みを置くこと
- リスクの評価と対応：目的の達成を妨げるリスクを見つけ、評価し、対応を選ぶ
- 統制活動：業務の中に組み込んだ、承認・検証・職務分掌などの方針と手続
- 職務分掌：申請・承認・記録などを一人に集めず、分担して不正や誤りを防ぐ
- 情報と伝達：必要な情報を、関係者に正しく適時に伝える
- モニタリング：内部統制が働いているかを、日常的に、又は独立した立場で評価する
- ITへの対応：IT環境への対応と、ITの利用及び統制
- ITに係る全般統制：開発・保守、運用、アクセス管理など、複数の業務に共通する統制
- ITに係る業務処理統制：個々の業務処理に組み込む入力チェックや照合などの統制
- 内部統制の限界：判断の誤りや共謀、経営者の不当な無視で働かないことがあり、保証は合理的な範囲
- デジタルやAIの利用で生じる誤りや不正のリスクも、評価と対応の対象に含める
- 経営者：内部統制の整備と運用に最終的な責任を負う
- 監査役等：独立した立場から、内部統制の整備と運用の状況を監視・検証する
- 内部監査人：モニタリングの一環として、整備と運用の状況を評価し、改善を促す
- 業務担当者：日々の業務の中で、内部統制を運用する
ひっかけ
- 統制活動（業務に組み込む手続）とモニタリング（働き具合の評価）の取りちがえ
- 全般統制（基盤となる統制）と業務処理統制（個々の処理の統制）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
C さんが取るべき対応として、最も適切なものはどれか。
B 社の経理部の責任者の C さんは、内部の点検で、購買の申請、承認、支払いの登録を、1 人の担当者がシステム上で全て行えている、と指摘された。担当者は経験が長く、これまで誤りはない。
正解：イ 申請、承認、支払いの登録の担当を分け、承認は申請した者以外が行うよう権限を設定する
ポイント
職務分掌の不備に対する、適切な見直しを選ぶ問題です。
考え方と解き方
経験や人柄に頼る対応は、仕組みの不備を残します。責任者の立場なら、人を疑う前に、一人で完結できる仕組みそのものを先に考えます。
- 申請・承認・登録を一人が行えると、誤りや不正が起きても、他の者が気づく機会がありません。担当を分け、承認を申請者以外にするのが職務分掌です。
- 権限の設定で分担を仕組みにするので、人に依存しません。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 権限を変えないので、一人で完結できる状態が残ります。経験や実績は、分担をしない理由にはなりません。
- ウ 全員に全ての権限を与えると、分担がなくなり、職務分掌の考え方と反対になります。
- エ 誓約書は本人の約束にとどまり、権限の設定という仕組みを変えないので、一人で完結できる状態が残ります。
覚えておくこと
- 職務分掌：申請・承認・記録などを一人に集めず、分担して不正や誤りを防ぐ
- 統制活動：業務の中に組み込んだ、承認・検証・職務分掌などの方針と手続
（テーマ・覚えること）
内部統制の基本的要素の説明として、適切なものだけを全て挙げたものはどれか。
情報セキュリティ管理者の D さんは、研修用に、内部統制の基本的要素を次の a〜c にまとめた。
- a 統制活動は、内部統制が働いているかを日常的に評価する活動である。
- b 情報と伝達は、必要な情報を関係者に正しく適時に伝えることである。
- c ITへの対応には、ITに係る全般統制と業務処理統制の整備が含まれる。
正解：エ b、c
ポイント
内部統制の基本的要素を、取りちがえずに選ぶ問題です。
考え方と解き方
要素ごとに役割を区別します。統制活動は業務に組み込む手続、モニタリングは働き具合の評価です。似た語の入れかえが誤りの元になります。
- a は不適切です。日常的に評価するのは、モニタリングです。統制活動は、業務の中に組み込んだ承認や検証などの手続です。b は適切です。c は適切です。ITへの対応は、全般統制と業務処理統制を含みます。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切です。また、c も適切なので、a、b では組合せが合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。
- ウ a は不適切です。また、b も適切なので、a、c では組合せが合いません。
覚えておくこと
- 統制活動：業務の中に組み込んだ、承認・検証・職務分掌などの方針と手続
- モニタリング：内部統制が働いているかを、日常的に、又は独立した立場で評価する
- 情報と伝達：必要な情報を、関係者に正しく適時に伝える
（テーマ・覚えること）
この状況から言える内部統制の限界として、最も適切なものはどれか。
A 社の経営者は、購買の承認と照合の手続を整え、運用してきた。ところが、購買担当者と取引先の担当者が示し合わせて、請求を水増ししていたことが後で分かった。
正解：ア 担当者どうしが共謀すると、整えた手続も働かないことがあるので、保証は合理的な範囲にとどまる
ポイント
内部統制の限界を、事例から選ぶ問題です。
考え方と解き方
手続を整えても、人が示し合わせれば働かないことがあります。経営者の立場なら、不正が起きない保証を求めるのではなく、限界を前提に、評価と見直しを続けることを先に考えます。
- 共謀のように、手続を意図して無効にする行為には、整えた統制が働かないことがあります。内部統制は、目的の達成について合理的な保証を与えるものです。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 職務分掌は誤りや不正を防ぐ手段ですが、共謀までは防げない場合があり、不正が起きないことを保証するものではありません。
- ウ 限界があっても、内部統制の整備と運用に最終的な責任を負うのは経営者です。
- エ システム化しても、共謀や経営者の不当な無視などで働かない場合があるので、限界はなくなりません。
覚えておくこと
- 内部統制の限界：判断の誤りや共謀、経営者の不当な無視で働かないことがあり、保証は合理的な範囲
- 経営者：内部統制の整備と運用に最終的な責任を負う
（テーマ・覚えること）
X と Y に当たる統制の組合せとして、最も適切なものはどれか。
A 社の情報システム部の E さんは、会計システムについて、次の 2 つを整えた。
X：金額欄が空欄の伝票は登録できないよう、入力画面に確認を組み込んだ。
Y：システムの変更は、責任者の承認を得てから本番環境に反映する手順を定めた。
X：金額欄が空欄の伝票は登録できないよう、入力画面に確認を組み込んだ。
Y：システムの変更は、責任者の承認を得てから本番環境に反映する手順を定めた。
正解：ウ X：ITに係る業務処理統制、Y：ITに係る全般統制
ポイント
ITに係る全般統制と業務処理統制を区別する問題です。
考え方と解き方
個々の処理に組み込まれた確認なのか、システム全体の開発・保守や運用に共通する統制なのかで見分けます。管理者の立場なら、その統制がどの業務にも効く基盤かを先に考えます。
- X は、伝票の登録という個々の業務処理に組み込んだ入力チェックなので、業務処理統制です。
- Y は、システムの変更という開発・保守に共通する統制なので、全般統制です。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア X は個々の処理に組み込まれた確認なので、全般統制ではなく、業務処理統制です。
- イ X と Y が逆です。入力チェックは業務処理統制、変更の承認は全般統制です。
- エ Y は個々の処理ではなく、システムの変更全体にかかる統制なので、業務処理統制ではなく、全般統制です。
覚えておくこと
- ITに係る全般統制：開発・保守、運用、アクセス管理など、複数の業務に共通する統制
- ITに係る業務処理統制：個々の業務処理に組み込む入力チェックや照合などの統制
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（ビジネス・技術）
- サービスマネジメントの基本（SLA・サービスデスク・インシデント管理と問題管理）今の制度の過去問（6回分）では、サービスレベル目標の説明、インシデントの該当、サービス満足度の計算が3問出ています。
- 変更・構成管理と可用性・サービス継続（リリース・CI・スタンバイ）今の制度の過去問（6回分）では、待機系をもつシステムの方式を選ぶ問題が1問出ています。
- データ利活用と業務分析（スクレイピング・バイアス・QC七つ道具）今の制度の過去問（6回分）では、特性要因図の説明が2問、ビッグデータ活用のフローが1問出ています。
- 識別AIの活用（教師あり・教師なし・強化学習）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 生成AIの活用（RAG・プロンプトエンジニアリング・マルチモーダル）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AIエージェントの活用（自律性・人の関与・ガードレール）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 経営管理・役職・BCP（PDCA・CISO・BIA）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 損益分岐点と財務諸表（貸借対照表・損益計算書）今の制度の過去問（6回分）では、製造原価明細書と損益計算書から売上総利益を求める計算が1問出ています。
- システム監査・情報セキュリティ監査今の制度の過去問（6回分）では、フォローアップの意味、指摘事項にすべき状況、監査人の行為やチェックポイント、管理基準の記述を選ぶ問題が、6問出ています。
- クラウドサービスと仮想化（SaaS・IaaS・コンテナ）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- ネットワークの基本（LAN・無線LAN・IPアドレス・ルータ）今の制度の過去問（6回分）では、社内から外へのアクセスを中継するプロキシサーバを選ぶ問題が 2 問出ています。
- 通信プロトコル（HTTP・SMTP・DNS・DHCP・サブネット）今の制度の過去問（6回分）では、ネットワークアドレスの計算と、ポート番号 80 番の扱いが、1問ずつ出ています。
- ネットワークの応用と運用（メール・cookie・VPN・5G・障害切分け）今の制度の過去問（6回分）では、cookie の仕組みについての記述を選ぶ問題が、1問出ています。