【応用情報技術者試験】固有リスク・統制リスク

固有リスクと統制リスクは、対象そのものの性質と、内部統制の効き方を分けて考えるための概念です。監査人自身の見逃しである発見リスクとも区別します。

二つのリスクを比較する

用語	考える条件	例
固有リスク	関連する内部統制を考慮する前の対象の性質	複雑な取引、重要な見積り、不正の誘因等
統制リスク	内部統制で適時に防止・発見・是正されない可能性	承認や照合の設計・運用に不備がある等

財務諸表監査では、重要な虚偽表示のリスクを構成する要素として理解します。「内部統制が全く機能していない」と断定するのではなく、固有リスクでは統制を考慮する前を評価する、と整理しましょう。

複雑な計算を伴う見積りは、誤る可能性を持ちます。一方、検証や承認の仕組みがあっても、担当者が確認していなければ統制が働かないことがあります。対象の複雑さと、チェックの有効性は別々に確認します。

固有リスクと統制リスクが組み合わさった対象側のリスクを踏まえて、監査手続の種類・時期・範囲等を計画します。発見リスクは監査人側の手続で重要な問題を見逃す可能性であり、対象側の二要素から自動的に算出される実測値ではありません。

監査リスクの掛算式を学習で使う場合も、数値が与えられた設問の前提を確認します。実務の評価が全て独立した確率の厳密な積として測定されるわけではありません。

権限のない利用や情報漏えい等の対象リスクと、アクセス制御・点検等が機能しないリスクを分ける考え方へつながります。システム監査・情報セキュリティ監査・財務諸表監査では目的と定義を確認し、用語を混ぜないようにします。

確認問題：固有リスクと統制リスクの組合せだけで、監査人の見逃し確率が自動的に確定する？

いいえ。対象側の評価を踏まえて監査手続を計画します。発見リスクは監査人の手続に関する別の視点です。

経済産業省：情報セキュリティ監査実施基準ガイドライン（公式資料を確認）