令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
マネジメント／システム監査金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”におけるアクセス管理に関して，内部統制のうちの IT に係る業務処理統制に該当するものはどれか。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
- ア組織としてアクセス管理規程を定め，統一的なアクセス管理を行う。
- イ組織としてアクセス権限の設定方針を定め，周知徹底を図る。
- ウ組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者 ID とパスワードによって認証する機能を設ける。
- エ組織内の全ての利用者に対して，アクセス管理の重要性についての教育を行う。
正解：ウ
解説
内部統制における IT 統制は，組織全体に関わる「IT 全般統制」と，個々の業務・システムに組み込まれた「IT 業務処理統制」に大別されます。組織としてのアクセス管理規程の制定や権限設定方針の策定，利用者教育などは組織全体に関わる IT 全般統制に該当します。一方，個々のアプリケーションシステムにおいて，業務内容に応じた権限を利用者 ID とパスワードに割り当てて認証する機能を設けることは，業務システムに組み込まれた具体的な統制活動であり，IT 業務処理統制に該当します。
選択肢ごとの解説
- ア誤り。組織としてアクセス管理規程を定め統一的な管理を行うことは，組織全体に関わる IT 全般統制に該当し，個別のシステムに組み込まれた業務処理統制ではありません。
- イ誤り。組織としてアクセス権限の設定方針を定め周知徹底を図ることは，組織全体に関わる IT 全般統制に該当し，業務処理統制ではありません。
- ウ正しい。個々のアプリケーションシステムに，業務内容に応じた権限を付与した利用者 ID とパスワードによる認証機能を設けることは，業務システムに組み込まれた IT 業務処理統制に該当します。
- エ誤り。組織内の全ての利用者へのアクセス管理の重要性についての教育は，組織全体に関わる IT 全般統制に該当し，業務処理統制ではありません。