問42
頻出度★★★
企業の内部監査の一環で実施されるシステム監査の内容として, 適切なものはどれか。
平成22年度 春期 ITパスポート試験 問42
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 42
不正解ア
システム運用者が自部門の業務を自分で確認しており、監査する側と監査される側が同一である。これは自己点検 (セルフチェック) と呼ばれ、日常の内部統制活動としては有効だが、独立性という監査の前提を満たさないためシステム監査とは呼べない。自部門に都合の悪い事実が見逃されたり過小評価されたりする可能性を排除できない点が問題である。
不正解イ
利用者へのアンケート調査で次期システムの要件を確認する行為は、システム開発の要件定義工程で行う調査活動であり、そもそも既存業務がルールどおり実施されているかを点検・評価する監査ではない。実施者もシステム開発者本人であり、独立した立場からの点検という要件も満たしていない。
- ウ
正解 正解は ウ。システム監査とは、情報システムの企画・開発・運用・保守が適切に行われているかを、監査人が独立した立場から点検・評価し、問題があれば改善を助言・勧告する活動である。ここで最も重要な条件が監査人の独立性と客観性で、監査する人は監査される部門と利害関係のない立場でなければならない。企業の内部監査の一環として行う場合も同じで、社外の第三者でなくてよいが、少なくとも被監査部門であるシステム部門から独立した者 (内部監査部門など) が担当する必要がある。ウ は「システム部門以外の者が」「システム部門での業務が」ルールどおりに実施されているかを、チェックシートという客観的な基準を使って確認しており、監査する側と監査される側が分離している。したがってシステム監査の内容として適切である。
不正解エ
情報機器が台帳の記載どおりに設置されているかを現物と突き合わせる実地棚卸は、システム部門が自ら行う資産管理 (構成管理) の通常業務であって、監査そのものではない。しかも実施者が自部門であるため、ア と同じく独立性を欠いた自己点検にあたる。台帳と現物の一致確認自体は監査で検証される対象になり得るが、それを自部門で行っただけではシステム監査に該当しない。
ここがポイント
- システム監査は、情報システムの企画・開発・運用・保守が適切かを点検・評価し、改善を助言・勧告する活動。最大の要件は監査人の独立性と客観性で、被監査部門から独立した立場の者が実施しなければならない。内部監査の一環でも同様で、社内の内部監査部門など、システム部門から切り離された者が担当する。
- 自部門が自部門を確認する自己点検は、内部統制の手段としては有効でも監査ではない。選択肢を見るときは「誰が (実施者)」と「何を (対象)」が分離しているかを最初に確認し、同一部門であれば監査候補から外す、という手順で判断すると速い。
用語