登場人物
美咲（みさき）
女子大生。就活のエントリーシートの資格欄が真っ白なことに気づき、慌ててITパスポートの勉強を開始。ITは完全に素人。高校時代は可愛くて人気者だったので、ちょっとプライドが高い。素直じゃない。
拓也（たくや）
美咲の高校時代の同級生。東京大学工学部。子どもの頃からパソコンばかりいじってきた生粋のオタク。実は美咲のことが好きだが、10年近く言い出せていない。教えるのは得意だが、口が悪いのが玉に瑕。
今日の問題
今日の問題
事業活動に関わる法令の遵守などを目的の一つとして、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応から構成される取組はどれか。
- アCMMI
- イITIL
- ウ内部統制
- エリスク管理
第1幕：やけに気合の入った拓也
1月、カフェの窓際の席。待ち合わせに現れた拓也は、いつになく大きな紙袋を提げていた。
美咲
……その荷物、何?
拓也
あ、今日のために資料まとめてきた。あと、これも
美咲
気合入りすぎじゃない? 今日、何かあったの?
拓也
いや、別に。……それより、今日の問題、始めよう
美咲は少し首をかしげながらも、席についた。
第2幕：リスクの評価と対応でしょ
拓也がテーブルいっぱいに資料を広げる。
美咲
じゃあ答えるわね。これエでしょ。『リスク管理』
拓也
お、なんでそう思った?
美咲
だって、"リスクの評価と対応"って言葉が入ってるから、リスク管理のことかなって
拓也
発想はわかるんだけど、実はこの問題、リスク管理"だけ"の話じゃなくて、もっと広い範囲をカバーしてる仕組みについてなんだ
美咲
え、違うの?
拓也
うん。リスクの評価と対応は、この仕組みを構成する要素の"一つ"にすぎない。統制環境、統制活動、情報と伝達、モニタリング、ITへの対応まで含めた、もっと大きな枠組みの話なんだ
第3幕：カフェ経営、全部まとめて内部統制
拓也は、テーブルの上に持ってきた資料を、まるでプレゼンのように並べ始めた。
拓也
このカフェで考えてみよう。まず、お店の雰囲気やルール作り、これが"統制環境"。次に、混雑や食中毒みたいなリスクへの備えが"リスクの評価と対応"
美咲
うん
拓也
実際のマニュアル運用が"統制活動"、スタッフ同士の報連相が"情報と伝達"、定期的なチェックが"モニタリング"、POSレジなどのシステム活用が"ITへの対応"。この6つ全部をまとめた仕組みが、内部統制なんだ
美咲
あ……! リスク管理は、その中の"一部分"でしかないってことね
拓也
そのとおり。正解はウ。法令遵守なども目的にしながら、組織全体を健全に運営するための、幅広い取り組み全体が内部統制。リスク管理は、その中の一つの要素にすぎないんだ
美咲
なるほどね……。でも、なんか今日、説明がいつもよりずっと丁寧すぎない?
第4幕：……よし、次いこう
拓也は、美咲の言葉が聞こえていないかのように、次のページをめくった。
拓也
……よし、次いこう。ついでに、内部統制の歴史的な背景も説明しておくと――
美咲
ちょっと待って。今日、明らかに教える量、多すぎない?
拓也
気のせいだよ。……それより、この図、見て。COSOフレームワークっていって――
美咲
今度は逆に濃いんだけど! この前まで、ゆっくりだったのに、急にどうしたのよ
拓也
……
美咲
黙らないでよ。なんか変よ、今日
拓也
……ごめん。ちょっと、張り切りすぎた
美咲
張り切るのはいいけど、情報量、私のキャパ超えてるから。ちょっとペース落として
拓也
……うん、ごめん
第5幕：残りの選択肢を片付ける
拓也がやっと資料を半分ほど片付け、ペースを落として続ける。
美咲
……気を取り直して。残りのアとイも教えて
拓也
アのCMMIは、ソフトウェア開発組織の成熟度を、多段階のレベルで評価するためのモデル。組織の"開発力の熟練度"を測る物差しみたいなものなんだ
美咲
イは?
拓也
イのITILは、ITサービスの提供とサポートに関するベストプラクティス集。前に少し名前だけ出た言葉だけど、"効率よくITサービスを運用するためのお手本集"、ってイメージだね
美咲
内部統制は組織全体の健全な運営、リスク管理はその一部、CMMIは開発力の成熟度、ITILはサービス運用のお手本集。……全部、組織を良くするための仕組みだけど、範囲も対象も全然違うのね
拓也
完璧な整理。この手のマネジメント用語は、"どこまでの範囲をカバーしてるか"を意識すると、混同しにくくなるよ
問題文（再掲）
事業活動に関わる法令の遵守などを目的の一つとして、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応から構成される取組はどれか。
- アCMMI
- イITIL
- ウ内部統制
- エリスク管理
まとめ：選択肢ごとの答え合わせ
| 選択肢 | 内容 | 正誤 |
|---|---|---|
| ア | CMMI（ソフトウェア開発組織の成熟度評価モデル） | 不正解 |
| イ | ITIL（ITサービスのベストプラクティス集） | 不正解 |
| ウ | 内部統制（組織全体を健全に運営するための幅広い取り組み） | 正解 |
| エ | リスク管理（内部統制を構成する要素の一つ） | 不正解 |
答えウ 内部統制
覚え方のコツ
リスク管理は一部分、内部統制は全体像。
- 内部統制＝統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応から構成される、組織全体の幅広い取り組み
- リスク管理は、内部統制を構成する要素の一つにすぎない
- CMMIは開発組織の成熟度評価モデル、ITILはITサービスのベストプラクティス集。それぞれ対象範囲が異なる
エピローグ
閉店間際のカフェで、拓也は資料を紙袋にしまいながら、小さく息を吐いた。
美咲
……今日、結局最後まで、変なテンションだったわね
拓也
……ごめん。空回りした
美咲
別に、悪いことじゃないけど。ただ、急にどうしたのかなって
拓也
……ちょっと、反省することがあって。ちゃんと、できることはやろうと思っただけ
美咲
反省? 何を?
拓也
……それは、また今度話す
美咲
また今度、また今度って、いつよ
拓也
……近いうちに、ちゃんと
拓也心の声
……せめて、今できることだけは、ちゃんとやろう。理由はまだ言えないけど
美咲
なに黙ってるのよ
拓也
いや、なんでもない。今日は付き合ってくれてありがとう
美咲
……うん。また来週
カフェの明かりが落ちる中、二人は少し気まずい沈黙のまま、店を出た。
今日のポイントおさらい
- 内部統制＝統制環境・リスクの評価と対応・統制活動・情報と伝達・モニタリング・ITへの対応から構成される、組織全体の幅広い取り組み
- リスク管理は、内部統制を構成する要素の一つにすぎない
- CMMIは、ソフトウェア開発組織の成熟度を多段階のレベルで評価するモデル
- ITILは、ITサービスの提供とサポートに関するベストプラクティス集
- マネジメント用語は、「どこまでの範囲をカバーしているか」を意識すると混同しにくい
この記事はITパスポート試験 令和6年度 問54（マネジメント系／システム監査）の解説です。