管理策と代替の管理策（control / compensating control）

分類: マネジメント系システム監査
出る試験: 基本情報応用情報
重要度: ★★★☆☆

決まりを守るために置く手立てが管理策。原則の管理策が使えない場合に、承認を受けて置く別の手立てが代替の管理策。

もう少し詳しい説明

管理策

決まりを守るために実際に置く手立てです。

例	守ろうとしていること
利用者ごとにIDとパスワードを与える	誰が何をしたかを分かるようにする
権限を業務に必要な範囲に限る	必要のない情報に触れさせない
申請と承認を別の人が行う	1人の判断だけで進まないようにする
操作の記録を残す	あとからたどれるようにする

管理策は、内部統制の部品にあたります。

3つの種類

種類	働く時点	例
予防的な管理策	起きる前	権限を与えない、入室を制限する
発見的な管理策	起きたあと、気づく	操作の記録を見る、突き合わせる
是正的な管理策	起きたあと、直す	復旧の手順、再発を防ぐ手当て

予防だけでは足りません。 防ぎきれなかったものに気づく手立てが要ります。

代替の管理策

原則の管理策が使えない場合に、承認を受けて置く別の手立てです。

使えない事情の例	置く代わりの手立て
共用の端末で、利用者ごとのIDを使えない	利用の記録を紙で残し、上位者が定期的に確かめる
古い機器で、権限を細かく分けられない	使える人を名簿で限り、入室を制限する
24時間稼働で、申請と承認を別の人にできない時間帯がある	事後に承認し、記録を確かめる

目的は変えずに、手段を変える形です。 「誰が何をしたか分かるようにする」という目的は、紙の記録でも満たせます。

勝手に置くものではない

手順	すること
1	原則の管理策が実施できない理由を示す
2	代わりに置く手立てを示す
3	それで目的が満たされることを示す
4	申請して承認を受ける
5	記録に残す
6	期限を決め、見直す

承認を受けていなければ、規程に違反している状態です。 代替の管理策という言葉が付くかどうかは、承認の有無で決まります。

期限を決めるところも要点です。 期限が無いと、一時的な扱いがそのまま続きます。

監査ではどこを見るか

確かめること	中身
承認を受けているか	申請と承認の記録
目的を満たしているか	代わりの手立てで、本当に同じ目的が果たされるか
実際に行われているか	紙の記録が本当に書かれているか
期限が切れていないか	見直しの記録

「承認されている」ことと「働いている」ことは別です。 承認を受けた代替の管理策が、実際には行われていないという状態が起きます。

形だけになる

起きること	中身
記録を書かずに済ませる	確かめる人がいない
確かめる人が中身を見ない	件数が多く、時間が取れない
事情が変わっても続ける	新しい機器に替わり、原則の管理策が使えるようになっている

この状態を形骸化と呼びます。 代替の管理策は、原則より手作業に頼ることが多いため、形だけになりやすいところです。

管理策を置かない選び方

すべてのリスクに管理策を置くわけではありません。

対応	中身
低減	管理策を置いて、起きる可能性や影響を小さくする
回避	その業務そのものをやめる
移転	保険や委託で、他に移す
受容	小さいと判断して、そのまま受け入れる

受容は、何も考えていない状態とは違います。 判断して、記録に残したうえで受け入れる形です（リスクマネジメントのページで扱っています）。

試験ではこう出る

科目A（旧・午前）では、3つの種類の区別が問われます。起きる前が予防的、気づくのが発見的です。

午後や応用情報（システム監査）では、代替の管理策を書かせる形で出ます。

問われ方	答えの向き
規程どおりにできない場合の扱い	承認を受けて代替の管理策を置く
何を確かめるか	承認の有無、実際に行われているか
なぜ形だけになりやすいか	手作業に頼るため、確かめる人がいないと続かない

共用の端末や共用のIDが本文に出てきたら、この話の入口です。 規程どおりにできない事情として書かれます。

ミニクイズ

代替の管理策の説明として、最も適切なものはどれか。

正解は 3番：規程で定められた管理策を実施できない場合に、承認を受けて置く別の手立て

代替の管理策は、規程どおりの管理策が実施できない事情があるときに、同じ目的を別の方法で満たすために置く手立てです。勝手に置くものではなく、申請して承認を受ける手続きを通します。任意に追加する手立てや、何も置かないことを認める扱いとは違います。点検のための手順書も管理策そのものではありません。

間違えた用語の復習リストを見る →

この分野をまとめて解く → 法務とシステム監査のミニテスト（全24問）

最終更新：2026-11-09