平成25年度 春期 ITパスポート試験 問51

ISO 9001に基づく品質マネジメントシステムを構築し運営するのは、品質を管理する側 (被監査側) が行う業務そのものであって、監査ではない。監査は、すでに整備・運用されている仕組みを対象として、それが適切かどうかを外から点検・評価する行為である。したがって、品質管理責任者が自らの品質マネジメントシステムを構築・運営するという記述は、システム監査の実施内容ではなく通常の管理業務の説明にとどまる。

開発担当者が自ら開発したシステムをテストするのは、開発工程の中で行う単体テストなどの自己検証であり、システム監査ではない。しかも評価する人と評価される仕事の担当者が同一なので、システム監査に不可欠な独立性 (監査対象から独立していること) を満たさない。自分の作業の誤りは自分では気付きにくく、客観的な評価にならないため、監査としては成立しない。

システム管理者が専用のソフトウェア (脆弱性検査ツールなど) で自分が管理するシステムのセキュリティホールを検証するのは、運用担当者による自己点検・脆弱性診断であって、システム監査ではない。ここでも、点検する人が管理の当事者そのものであるため独立性を欠く。技術的な検査自体は有用でセキュリティ対策として必要だが、監査対象から独立した第三者による評価という要件を満たさない点で、システム監査の実施内容としては不適切である。