平成24年度 春期 ITパスポート試験 問37

「X社の監督官庁」は誤り。本問のシステム監査は、社長 A 氏が自社の情報システムを確認したいという経営上の目的で自ら依頼したものであり、行政庁への提出が義務付けられた法定の検査ではない。監査報告書には情報システムの弱点など機密性の高い情報が含まれるため、依頼者以外への開示は依頼者の判断と責任で行うものであって、監査人が独断で監督官庁に提出することはない。

「X社の被監査部門の部門長」は誤り。被監査部門は監査される側であり、報告書を受け取って評価を下す立場ではない。監査人が被監査部門に直接報告してしまうと、指摘事項が部門内部で握りつぶされたり、経営者に是正の判断材料が届かなかったりして、監査の実効性と独立性が損なわれる。被監査部門には、依頼者 (経営者) からの改善指示という形で結果が伝わるのが正しい流れである。なお、事実誤認を防ぐために監査の過程で被監査部門に内容を確認することはあるが、それは報告書の提出先という話とは別である。

「被監査部門と利害関係のない第三者」は誤り。被監査部門と利害関係を持たないという独立性・客観性の要件は、監査を行うシステム監査人自身に求められる条件であって、報告書の提出先の条件ではない。監査人の独立性の話と報告先の話を取り違えさせるのがこの選択肢のねらいであり、無関係の第三者に報告書を渡しても改善につながらないうえ、機密情報の漏えいにもなりかねない。