ITパスポート過去問 令和1年度（2019年）問61
IPA“組織における内部不正防止ガイドライン（第4版）”にも記載されている，内部不正防止の取組として適切なものだけを全て挙げたものはどれか。
- a システム管理者を決めるときには，高い規範意識をもつ者を一人だけ任命し，全ての権限をその管理者に集中させる。
- b 重大な不正を犯した内部不正者に対しては組織としての処罰を検討するとともに，再発防止の措置を実施する。
- c 内部不正対策は経営者の責任であり，経営者は基本となる方針を組織内外に示す“基本方針”を策定し，役職員に周知徹底する。
選択肢
- ア：a，b
- イ：a，b，c
- ウ：a，c
- エ：b，c
- ア
- イ
- ウ
- エ
正解と解き方・学習ポイント（AI解説）
内部不正防止の取組としては、経営者が基本方針を定めて周知することや、不正が発生した場合に処罰を検討しつつ再発防止策を実施することが適切です。一方、特定の管理者に全権限を集中させる運用は、相互牽制が働きにくく内部不正のリスクを高めるため不適切です。したがって適切なのはbとcです。
Point
この問題は、IPAの内部不正防止ガイドラインに沿って、内部不正を抑止するための組織的な取組を選べるかを確認します。特に、経営者が示す基本方針の重要性、不正発生後の処罰と再発防止、そして権限集中を避ける考え方を理解しているかが問われます。
解くために必要な知識
この問題を解くには、IPAの「組織における内部不正防止ガイドライン（第4版）」で示される、内部不正対策の基本的な考え方の理解が必要です。
用語の整理
| 用語 | 意味 |
|---|---|
| 内部不正 | 組織の従業員や元従業員など内部の人が、不正に情報を持ち出す、漏えいさせる、消去する、改ざんするなどの行為を行うことです。 |
| 内部不正防止ガイドライン | IPAが示す、組織が内部不正を防止するための考え方や対策をまとめた指針です。経営者の責任、ルール整備、権限管理、発生時の対応などが扱われます。 |
| 基本方針 | 内部不正対策について、経営者が方針を明確にし、組織内外に示す文書や方針のことです。 |
他の選択肢に出てくる用語
| 用語 | 意味 |
|---|---|
| 職務分掌 | 業務や権限を複数人に分け、相互にけん制が働くようにすることです。権限が1人に集中する状態を避ける目的があります。 |
試験での着眼点
-
権限を集中させる記述は、不正の実行と隠蔽の両方が容易になるため、不適切として扱われやすいです。
-
不正が起きた後の対応では、処罰だけでなく、原因を踏まえた再発防止策の実施まで含めて適切と判断します。
-
内部不正対策は、担当部門任せではなく、経営者が方針を示し周知することが重要として扱われます。
問題の解法手順
選択肢を構成する要素の整理
判断の進め方
a、b、cの各記述が、ガイドラインに沿った「内部不正防止の取組」かどうかを個別に判定します。
各記述の判定
| 記述 | 内容 | 判定 | 理由 |
|---|---|---|---|
| a | 管理者を一人だけ任命し、全ての権限を集中させる | 不適切 | 権限が集中すると不正の実行と隠蔽がしやすくなり、けん制が働きにくくなります。内部不正防止では、権限の集中を避けることが原則です。 |
| b | 重大な不正に対する処罰の検討と、再発防止措置の実施 | 適切 | 不正への対応として、処罰を含む対応を検討することと、原因を踏まえた再発防止策を実施することが重要です。 |
| c | 経営者が基本方針を策定し、役職員に周知徹底する | 適切 | 内部不正対策は経営者の責任として扱われ、基本方針を定めて周知することが求められます。 |
結論
適切なのはbとcなので、正解はエ（b，c）です。
選択肢ごとの解説
- ア：不正解
aが不適切なので誤りです。権限を一人に集中させる考え方は、内部不正の抑止や発見の面で不利になりやすいとされます。
- イ：不正解
aが全権限の集中で不適切です。bとcは適切ですが、aを含むため誤りです。
- ウ：不正解
aは全権限の集中で不適切です。cは経営者が基本方針を策定し周知する内容で適切ですが、aを含むため誤りです。
- エ：正解
bは不正発生時に、組織として処罰を検討しつつ再発防止策を実施する内容で適切です。cは経営者が基本方針を策定し、組織内外に示して周知徹底する内容で適切です。aは不適切なので、適切なものだけを挙げるとbとcになり、エが正解です。
まとめ
内部不正防止の取組としては、経営者が基本方針を定めて周知することや、不正が発生した場合に処罰を検討しつつ再発防止策を実施することが適切です。一方、特定の管理者に全権限を集中させる運用は、相互牽制が働きにくく内部不正のリスクを高めるため不適切です。したがって適切なのはbとcです。
テクノロジ系 > 技術要素 > セキュリティ
aが不適切なので誤りです。権限を一人に集中させる考え方は、内部不正の抑止や発見の面で不利になりやすいとされます。
aが全権限の集中で不適切です。bとcは適切ですが、aを含むため誤りです。
aは全権限の集中で不適切です。cは経営者が基本方針を策定し周知する内容で適切ですが、aを含むため誤りです。
bは不正発生時に、組織として処罰を検討しつつ再発防止策を実施する内容で適切です。cは経営者が基本方針を策定し、組織内外に示して周知徹底する内容で適切です。aは不適切なので、適切なものだけを挙げるとbとcになり、エが正解です。