正解：ウ
各選択肢の解説
ア不審メールで被害が起こりうる業務を洗い出し、影響の大きさと起こりやすさを評価し直す。
誤り。これはリスクの評価と対応です。どこにどれだけのリスクがあるかを見直すことはできますが、 今回の問題は、現場がつかんだ情報が上に届かなかったことです。評価をやり直しても、伝わる経路は変わりません。
イ不審メールを開いた端末をネットワークから切り離す手順を定め、部員に実施させる。
誤り。これは指示を業務で確実に実行させる統制活動にあたる手順です。 被害の拡大を抑える効果はありますが、部門内でつかんだ情報を全社の判断に生かす経路が無いことは解消しません。
ウ報告すべき情報の基準と期限を定め、責任者と経営者に届く報告の経路を決めておく。
正解。必要な情報が適時に適切な人へ伝わる仕組みを整えるのは、情報と伝達の取組みです。 何を・いつまでに・誰へ上げるかを決めておけば、部門で止まっていた情報が全社の判断に届きます。
エ内部監査部が年に1回、各部門の不審メール対応の記録を抜き取って点検する。
誤り。これは内部統制が働いているかを確かめるモニタリングです。 伝達の漏れを後から見つけることはできても、年1回の点検では、注意喚起が遅れる状況そのものは変わりません。
理解を深めるために
情報は、つかんだ人のところで止まると役に立たない
火災報知器が鳴っても、その音が建物の一室にしか届かなければ、ほかの部屋の人は逃げ遅れます。 不審メールの報告も同じで、受け取った課長のところで止まれば、全社で判断すべき人が知らないままになります。 内部統制の基本的要素のうち、この「届く仕組み」を受け持つのが情報と伝達です。
情報と伝達が求めること
金融庁の基準・実施基準では、情報と伝達を、必要な情報が識別・把握・処理され、 組織内外や関係者に適時かつ適切に伝えられることを確保するものとしています。 伝える向きは上から下だけではありません。
- 下向き: 経営方針や規程、指示を現場に伝える
- 上向き: 現場でつかんだ重要な情報を、経営者や責任者に伝える
- 横・外向き: 他部門や取引先など、組織の外とのやり取り
今回の見直しで決めるべきなのは、どんな情報を（基準）、いつまでに（期限）、誰に（経路）上げるかです。 これが決まっていれば、課長個人の判断で止まることがなくなります。
混同しやすい基本的要素との違い
| 基本的要素 | 今回の場面での役割 |
|---|---|
| 情報と伝達 | つかんだ情報を責任者・経営者に届ける経路と基準を定める |
| リスクの評価と対応 | どこにどれだけリスクがあるかを評価し、対応を決める |
| 統制活動 | 決めた対応を手順として業務で実行させる |
| モニタリング | 統制が働いているかを日常的・定期的に確かめる |
「手順も評価もあるのに、知るべき人が知らなかった」場面では、伝わる経路が決まっているかをまず疑います。