Compensating Control
Compensating Control
Compensating Control（補完統制）とは
ひとことで
本来あるべき主要な統制を実施できない、または十分でない場合に、その弱点を別の方法で補ってリスクを許容できる水準に抑える統制。小規模な組織で職務分掌ができないときの上司によるログのレビューなどが典型である。
たとえると
自転車の鍵が壊れて直せないとき、代わりに人目の多い場所に止め、防犯カメラの前を選ぶようなものです。本来の対策ではありませんが、別の工夫で盗まれる危険を下げています。
現場ではこう使う
社員5人の支店では、システム管理者が1人しかおらず、権限の付与と利用を分けられませんでした。そこで、管理者の操作ログを本社の担当者が毎週確認し、権限変更の記録と申請書を照合する手順を設けました。
試験のポイント
EXAM POINTCISAでは「職務分掌ができない小規模組織で、監査人が確認すべきこと」として補完統制が頻出です。CISMでは、例外を認める際に補完統制で残余リスクを許容範囲に収める考え方が問われます。補完統制は主要な統制の目的を別の手段で達成するものであり、統制をなくしてよいという意味ではない点に注意しましょう。
混同しやすい用語との違い
- SoD1人に重要な業務を完結させない原則。補完統制は、職務分離ができないときに弱点を補う手段
- Defense in Depth複数の対策を重ねる考え方。補完統制は不足する特定の統制を代わりに補うもの