解説

内部統制のIT統制は2種類に分類される。IT全般統制（IT General Controls）は組織全体のITシステム・インフラに横断的に適用される管理活動で、アクセス管理規程・変更管理・システム開発管理・IT運用管理・教育訓練等が含まれる。IT業務処理統制（IT Application Controls）は特定のアプリケーションシステムの処理に組み込まれた自動化された統制で、入力検証・認証機能・承認ワークフロー・出力検証・計算チェック等が含まれる。「組織内のアプリケーションシステムに利用者IDとパスワードによる認証機能を設ける」は特定のアプリケーション（発注システム・会計システム等）に組み込まれた具体的な認証機能であり、IT業務処理統制に分類される。金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）」はJ-SOX（日本版SOX法）対応の基準で、IT統制の評価範囲・手続きを規定している。

なぜ他の選択肢は違うのか

選択肢 ア

「組織としてアクセス管理規程を定め統一的なアクセス管理を行う」は組織全体に適用される方針・規程の策定であり、IT全般統制（IT General Controls）のアクセス管理に分類される。特定のアプリケーションに組み込まれた機能ではなく、組織横断的なポリシーであるためIT業務処理統制には当たらない。

選択肢 イ

「アクセス権限の設定方針を定め周知徹底を図る」も組織全体の方針策定と教育・啓発活動であり、IT全般統制の範囲。特定のシステムの機能として実装されたものではなく、組織的な管理活動。IT業務処理統制は「システムに組み込まれた自動化された統制」が特徴であり、方針策定・周知徹底は人的・組織的統制またはIT全般統制。

選択肢 エ

「全利用者へのアクセス管理の重要性についての教育」は人的統制または組織横断的なIT全般統制の意識啓発・教育訓練カテゴリに分類される活動。特定のアプリケーションシステムに自動化されて組み込まれた制御機能ではなく、人間を対象とした管理活動であるためIT業務処理統制（IT Application Controls）には該当しない。

解くときのポイント

IT全般統制（組織横断：開発・変更管理、アクセス管理規程、運用管理、教育）vs IT業務処理統制（特定アプリ：入力チェック、認証機能、承認ワークフロー、出力検証）の区別が試験頻出。