ITパスポート 過去問
令和8年度
問40 (マネジメント系 問6)

正解です。
「財務報告の信頼性」を達成するため、もし決算に誤りが見つかった場合でも、それを隠蔽せずに速やかに開示・訂正して利害関係者へ伝えることが、健全な組織のプロセス（内部統制）として正しく機能していることになります。

誤りです。
内部統制上重要なルールとして「職務の分離」があります。お金に関わる伝票の「起票」と「最終承認」が同一人物が行うことは不正の温床となるため不適切です。

誤りです。
リスク対応には「回避だけ」でなく「低減」「移転」などがあります。すべてのリスクを「回避」にすることは不可能で、リスクの重要度やコストに応じて、最適な対応を選択することが内部統制上重要です。

誤りです。
内部通報は適切に上層部に伝達される必要があります。通報者の上司がその通報に対し都合が悪い場合、情報をすり替えたり隠ぺいする可能性があるため、「必ず直属の上司を通じて行う」ことに限定することは不適切です。

もし今、自分がどこかの企業の財務を任されていて、今日が決算日だったとします。

発表された数字が、自分の知っている数字と違うとしたら、どうでしょう？

誤りの内容によっては第三者から指摘があった際、不正への加担も疑われかねません。
 

決算に関わらず、このような重大なミスは発覚次第、速やかに報告すべきです。（正解）

支払伝票とは、備品購入などで予算を使った際、「どのような名目で幾ら使ったのか?」を記録するための伝票です。

この様な伝票を残しておくことは、横領などの不正防止という意味でも重要です。
 

しかし、この伝票の内容を偽って会社の金銭を横領するといった不正も考えられます。

よって、伝票を記入した人（起票者）とは別の人が内容確認を行うべきです。
 

※「起票者が"責任をもって"確認し」と、「責任」のフレーズがもっともらしいですが、ここが引っ掛けになっているのに注意！

この様に、会社の業務を進めるうえでどのようなリスクがあり、どう対処すべきかを検討することをリスクマネジメントといいます。

リスクマネジメントで定める対処として、確かに「リスク回避」というものはあります。

リスク回避とは、
 

「経費削減のため、社員が個人で所有するPCの業務利用（BYOD）を認めるのはどうか?」
 

という提案に対し、
 

「しかし、個人保有のPCだとセキュリティ管理が行き届かないことがある。ウィルス感染のリスクを避けるため却下」

という考え方です。

しかし、他にもリスクに対して検討できる措置はあります。

上記のBYODの例だと、

・会社指定のセキュリティソフトの導入を義務付ける（リスク低減）

・業務でのPC使用率から、発生確率が低いと見積もったので認める（リスク保有）

・セキュリティ事故に備え、損害保険に加入する（リスク移転）

などが挙げられます。

リスクマネジメントでは、まず起こりうるリスクと発生した場合の被害規模を見積もり、その内容と照らし合わせて適切な対応策を決定します。

よって、「全てを"回避"で対応」するのが適切とは限りません。

社内で発生した不正などについて、まず上司に相談するのが適切か否かはケースバイケースです。

例えば、他の社員が不正を働いており、その上司が中立的な対応が取れる場合には、上司への相談も妥当と言えるでしょう。

しかし、その上司も不正に加担していないとも言えない場合には、通報も有耶無耶にされかねません。
 

「内部通報における上司への事前報告をルール化」と言うのは、

仕事の基本との言える「報告・連絡・相談（ほう・れん・そう）」の観点から一見正しいようにも見えます。

しかし、ルールの意義を考えてみると、矛盾点も見えてきますね。

正しいです。決算発表という外部報告に重大な誤りがあれば、速やかに訂正・公表して報告の信頼性を確保することは内部統制上適切です。

起票者自身が最終承認まで行うと、同じ人に権限が集中します。起票と承認を分ける職務分掌が必要です。

全てのリスクを回避すると、事業機会を失ったり過大なコストが生じたりします。回避・低減・移転・保有を状況に応じて選びます。

直属の上司が不正に関与している場合などに通報できなくなるため、独立した窓口を含む複数の通報経路が必要です。