問42
頻出度★★★
システム監査の実施に関する記述として, 適切なものはどれか。
平成23年度 特別試験 ITパスポート試験 問42
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 42
不正解ア
監査計画を立案せずに監査を実施するのは不適切である。システム監査では、組織全体の監査方針を示す中長期計画、その年度に何を監査するかを定める年度計画、そして個々の監査ごとに監査目的・対象範囲・監査手続・日程・要員配置などを定める個別監査計画を策定したうえで実施することが求められる。計画がなければ、監査の目的や範囲が曖昧になって重要なリスクを見落とす、必要な要員や期間を確保できない、被監査部門との日程調整ができず業務を混乱させる、監査結果の品質を後から検証できない、といった問題が生じる。計画の策定は監査手順の出発点であり、省略できる工程ではない。
不正解イ
監査の結果に基づく改善指導を行うことはない、という記述は誤りである。システム監査の目的は問題点を指摘して終わることではなく、指摘した問題が実際に是正され、情報システムが有効かつ安全に運用される状態に近づくことにある。そのため監査人は監査報告書の中で改善提案 (改善勧告) を示し、報告後は被監査部門が策定した改善計画の実施状況を確認するフォローアップを行う。このフォローアップまで含めて一連の監査活動であり、改善につなげる働きかけを行わないという運用では監査の意義が失われる。
不正解ウ
監査報告書の作成に先立って事実確認を行うことはない、という記述は誤りである。監査報告書に記載する指摘事項や改善提案は、監査証拠に裏付けられた客観的な事実に基づかなければならない。そこで報告書をまとめる前に、監査人は把握した事象や数値、運用の実態について被監査部門と突き合わせ、認識の食い違いや誤解、監査人自身の事実誤認がないかを確認する。この事実確認を省くと、誤った前提のまま指摘が行われて報告書の信頼性が失われ、被監査部門の納得も得られないため改善にもつながらない。事実確認は報告書作成前に必ず経るべき工程である。
- エ
正解 正解はエ。システム監査は思い付きで調べて回るものではなく、あらかじめ定められた手順に沿って進める。大きな流れは、監査計画の策定 → 予備調査 → 本調査 → 評価・結論 → 監査報告書の作成・提出 → フォローアップ (改善状況の確認) である。このうち予備調査とは、本調査に入る前に監査対象の業務内容やシステムの概要、関連規程、内部統制の仕組みなどを、資料の閲覧や関係者へのヒアリング、アンケートなどによって大づかみに把握する工程をいう。目的は主に二つある。第一に、監査対象の実態を知らないまま本調査に入るとどこにリスクがあるか判断できないため、重点的に調べるべき領域を絞り込むこと。第二に、その絞り込みを踏まえて、いつ・誰に・どの証拠を・どの方法 (閲覧、突合、実査、立会い、再実施など) で確かめるかという具体的な監査手続を確定させ、個別監査計画を詳細化することである。予備調査で当たりを付けておくことで、続く本調査では実際に監査証拠を入手して監査調書にまとめる作業に集中でき、限られた期間と要員で効果的・効率的な監査が行える。したがって、本調査に先立って予備調査を実施するというエの記述が、システム監査の実施に関する記述として適切である。
ここがポイント
- システム監査の実施手順 — 監査計画の策定 (中長期・年度・個別) → 予備調査 → 本調査 → 評価・結論 → 監査報告書の作成・提出 → フォローアップ、という流れを押さえる。予備調査は本調査の前に監査対象の実態を把握して調査範囲と監査手続を絞り込む工程、本調査は実際に監査証拠を入手して監査調書を作成する工程である。
- 監査報告とフォローアップ — 報告書の作成前には被監査部門との事実確認を行い、客観的事実と監査証拠に基づいて指摘事項と改善提案をまとめる。報告後は改善計画の実施状況を確認するフォローアップまで行い、指摘して終わりにしないことがシステム監査の基本姿勢である。
用語