はじめに
今回も、応用情報技術者試験の過去問を解いていきます。
今回のテーマは、「ITに係る全般統制」と「ITに係る業務処理統制」です。
どちらも内部統制の中で使われる言葉ですが、試験では、
IT環境全体を支えるための統制なのか
個々の業務処理を正確に行うための統制なのか
を見分けられるかがポイントになります。
ざっくり言えば、
全般統制＝ITの土台
業務処理統制＝業務処理そのもののチェック
と考えると整理しやすいです。
それでは、問題を見ていきましょう。
問題
情報システムに対する統制を、ITに係る全般統制とITに係る業務処理統制に分けたとき、ITに係る業務処理統制に該当するものはどれか。
選択肢
| 選択肢 | 内容 |
|---|---|
| ア | サーバ室への入退室を制限・記録するための入退室管理システム |
| イ | システム開発業務を適切に委託するために定めた選定手続 |
| ウ | 販売管理システムにおける入力データの正当性チェック機能 |
| エ | 不正アクセスを防止するためのファイアウォールの運用管理 |
解答
正解：ウ
販売管理システムにおける入力データの正当性チェック機能
解説
この問題で最も重要なのは、
「ITに係る全般統制」と「ITに係る業務処理統制」の役割の違い
を理解することです。
まず、全体像から整理します。
内部統制
└─ ITへの対応
├─ ITに係る全般統制
│ └─ IT環境全体を支えるための統制
│
└─ ITに係る業務処理統制
└─ 個々の業務処理を正確・完全に行うための統制この2つは別々に存在するというより、
ITに係る全般統制
↓
IT環境の土台を整える
↓
ITに係る業務処理統制
↓
個々の業務処理を正しく行うという関係で考えると分かりやすいです。
ITに係る全般統制とは
ITに係る全般統制とは、ITに係る業務処理統制が有効に機能するための環境を整備する統制です。
例えば、次のようなものがあります。
- システムの開発・変更管理
- システムの運用管理
- アクセス管理
- サーバ室などへの物理的アクセス管理
- 情報セキュリティ管理
特定の販売処理や会計処理だけを対象とするのではなく、IT環境全体の基盤を整えるのが特徴です。
覚え方としては、
「ITの土台」
と考えるとよいでしょう。
ITに係る業務処理統制とは
ITに係る業務処理統制とは、個々の業務処理が正確・完全・適切に処理、記録されることを確保するための統制です。
例えば、
- 入力値の妥当性チェック
- 必須項目チェック
- 重複登録チェック
- 計算結果のチェック
- 承認処理
- 処理結果の確認
などがあります。
こちらはIT環境全体ではなく、実際の業務処理の中に組み込まれたチェック機能が中心です。
各選択肢を確認
ア：サーバ室への入退室管理
サーバ室に誰でも自由に入れる状態では、機器の盗難や不正操作などのリスクがあります。
そのため、入退室を制限・記録することは重要です。
ただし、これは特定の販売処理などをチェックするものではなく、IT環境全体を安全に維持するための管理です。
したがって、
ITに係る全般統制
に該当します。
イ：システム開発業務の委託先選定手続
システム開発を外部企業に委託するときには、
- 技術力
- 信頼性
- セキュリティ体制
- 契約条件
などを適切に評価する必要があります。
これは個々の業務データをチェックするものではなく、システム開発・管理の仕組みに関する統制です。
したがって、
ITに係る全般統制
です。
ウ：販売管理システムの入力データの正当性チェック
例えば、販売管理システムで、
販売数量：-100個と入力された場合を考えてみましょう。
通常、販売数量がマイナスになることはないため、システム側でエラーにする必要があります。
入力
↓
販売数量：-100
↓
正当性チェック
↓
エラーこのように、入力された業務データが正しいかを確認する仕組みは、まさに業務処理の中に組み込まれた統制です。
したがって、
ITに係る業務処理統制
に該当します。
よって、正解はウです。
エ：ファイアウォールの運用管理
ファイアウォールは、不正な通信やアクセスを防止するために利用されます。
その運用管理は、特定の販売データなどをチェックするものではなく、IT環境全体のセキュリティを維持するための管理です。
したがって、
ITに係る全般統制
に該当します。
問題の用語解説
ITに係る全般統制
ITに係る全般統制は、ITを利用した業務処理が適切に機能するための基盤となる統制です。
代表的なものとして、
| 分類 | 例 |
|---|---|
| 開発・変更管理 | システム変更時の承認、テスト |
| 運用管理 | バックアップ、障害対応 |
| アクセス管理 | ID・パスワード、権限管理 |
| 物理的管理 | サーバ室への入退室管理 |
| セキュリティ管理 | ファイアウォールの運用管理 |
などがあります。
ITに係る業務処理統制
ITに係る業務処理統制は、個々の業務処理の正確性や完全性などを確保するための統制です。
代表例は次のとおりです。
| 処理 | 例 |
|---|---|
| 入力 | 入力値チェック、必須項目チェック |
| 処理 | 計算結果チェック、重複処理防止 |
| 承認 | 承認者による確認 |
| 出力 | 出力内容の確認 |
試験では特に、
「入力チェック」
が出てきた場合は、業務処理統制を疑うとよいでしょう。
ITに係る全般統制と業務処理統制の比較
| 項目 | ITに係る全般統制 | ITに係る業務処理統制 |
|---|---|---|
| 主な対象 | IT環境・管理体制 | 個々の業務処理 |
| 役割 | 業務処理統制が機能するための基盤を整える | 業務を正確・完全・適切に処理する |
| 例 | 入退室管理、アクセス管理、開発管理、FW運用 | 入力チェック、重複チェック、計算チェック |
| 覚え方 | ITの土台 | 業務処理のチェック |
体系的位置づけ
応用情報技術者試験では、このテーマはマネジメント系に位置付けて整理するとよいでしょう。
マネジメント系
└─ システム監査
└─ 内部統制
└─ ITへの対応
├─ ITに係る全般統制
└─ ITに係る業務処理統制「システム」という言葉が入っているためテクノロジ系に見えますが、ここで問われているのは技術そのものではなく、システムをどのように管理・統制するかという観点です。
今回の問題の重要ポイント
今回覚えておきたいのは、次の関係です。
全般統制
＝ IT環境全体の土台
業務処理統制
＝ 個々の業務処理のチェック例えば、
サーバ室への入退室管理
↓
全般統制
ファイアウォール管理
↓
全般統制
入力データのチェック
↓
業務処理統制と考えます。
問題文に、
- 入力チェック
- 計算チェック
- 重複チェック
- 承認チェック
など、特定の業務処理に直接関係するチェックが登場したら、業務処理統制である可能性が高いです。
まとめ
今回の問題では、
販売管理システムにおける入力データの正当性チェック機能
がITに係る業務処理統制に該当します。
したがって、
正解は「ウ」
です。
ポイントは、
全般統制＝ITの土台
業務処理統制＝個々の業務処理を正しくするチェック
という違いです。
「サーバ室」「ファイアウォール」「開発管理」のようにIT環境全体に関係するものは全般統制。
「入力値が正しいか」「計算結果が正しいか」のように、業務処理そのものに組み込まれたチェックは業務処理統制。
この違いを押さえておけば、似た問題が出ても判断しやすくなります。
コメント