ITガバナンス・内部統制・リスク評価重要度:★★★出題: AM2・PM1・PM2

統制自己評価（CSA：Control Self-Assessment）

とうせいじこひょうか / Control Self-Assessment (CSA)

業務やシステムを直接担当する現場部門（第1線）自身が、質問票やワークショップを通じて自部門のリスクとコントロールの有効性を定期的に点検・評価する手法です。

3行速習ポイント

業務やシステムを直接担当する現場部門（第1線）自身が、質問票やワークショップを通じて自部門のリスクとコントロールの有効性を定期的に点検・評価する手法です。
現場のリスク意識を高め全社を広くカバーできる利点がある一方、評価の甘さや虚偽申告のリスクがあるため、システム監査人による客観的な裏付け検証が不可欠です。
試験対策：午後I・午後IIにおいて、監査部門のリソース制約を補う施策や、グループ子会社・多数拠点のセキュリティ規程遵守状況を監査する際の前提手法として記述します。

図解

図統制自己評価（CSA）のメリット・限界とシステム監査人による検証方式・特性の対比

第1線による自主点検の活用と、第3線による客観性担保のバランス

⚖️ 対比軸：［網羅性・意識向上］CSA（統制自己評価）の強みと活用領域VS［客観的裏付け検証］CSAの限界とシステム監査人による補完手続

CSA（統制自己評価）の強みと活用領域網羅性・意識向上

全社・全拠点の網羅的カバーと現場のリスク当事者意識向上

業務を最もよく知る現場自身が点検するため網羅性が高く、監査資源の限界を補いながら全社的な規程浸透や潜在リスクの早期気づきを促進できる。

CSAの限界とシステム監査人による補完手続客観的裏付け検証

自己評価の甘さ・基準解釈のばらつき・不都合な事実の隠蔽への対策

評価基準の具体的な判断例を事前提示した上で、回答結果に対するエビデンス添付を義務付け、システム監査人がログや実機設定との突合（試査）を行って信頼性を検証する。

💡 午後II平成30年問2（監査部門以外のリスク評価結果の利用）や情報セキュリティ関連規程の周知徹底監査で、CSAの利点と限界・事前措置が問われます。

概要と本質

業務やシステムを直接担当する現場部門（第1線）自身が、質問票やワークショップを通じて自部門のリスクとコントロールの有効性を定期的に点検・評価する手法です。現場のリスク意識を高め全社を広くカバーできる利点がある一方、評価の甘さや虚偽申告のリスクがあるため、システム監査人による客観的な裏付け検証が不可欠です。

重要ポイント・コア概念

質問書（チェックリスト）方式やワークショップ方式による、第1線部門の自律的なリスク識別とルール遵守状況の定期点検
CSAの形骸化・過大評価を防ぐための、システム監査人による回答根拠資料（エビデンス）のサンプリング査閲と高リスク拠点への実地監査の組み合わせ
定量的効果・監査目標例：全45拠点への年次CSAと、回答スコアの急変拠点・未提出項目に対するシステム監査部門の抜打ち証跡突合を組み合わせ、監査カバレッジ100%と虚偽報告ゼロを両立