問45
頻出度★★★
システム監査の説明として, 適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問45
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 45
不正解ア
ISO 9001 は品質マネジメントシステムの規格であり、これに基づいて行われるのは品質マネジメントシステムの認証審査・内部監査です。システム監査は情報システムのリスクとコントロールを対象とし、拠り所は「システム監査基準」であって品質規格ではありません。
不正解イ
ISO 14001 は環境マネジメントシステムの規格で、その適合性を確認するのは環境監査です。監査という枠組みは同じでも対象領域が環境負荷の管理であり、情報システムのコントロールを評価するシステム監査とは別物です。
不正解ウ
監査ツールとして IT を利用する監査は CAAT (コンピュータ支援監査技法) を用いた監査であり、これは「監査の手段」の話です。システム監査は「情報システムそのものを監査の対象とする」ものであり、手段と対象を取り違えた説明になっています。IT を道具に使う財務監査などもあり得るため、この記述はシステム監査の定義になりません。
- エ
正解 システム監査とは、情報システムにまつわるリスク (障害・情報漏えい・不正・データ喪失など) に対して、組織が用意したコントロール (統制。例: アクセス権管理、バックアップ、変更管理、職務分掌) が適切に整備されているか、また実際にそのとおり運用されているかを、独立かつ専門的な立場の監査人が検証・評価し、必要に応じて改善を助言・勧告する活動です。エはこの「リスクに対するコントロールの整備状況・運用状況を検証又は評価する」という定義そのものを述べており、経済産業省「システム監査基準」の趣旨とも一致するため正解です。ポイントは、監査の対象が情報システムのリスクとコントロールであり、監査の目的が保証と改善提言にあるという2点です。
ここがポイント
- システム監査 = 情報システムに係るリスクに対するコントロールの整備状況・運用状況を、独立した監査人が検証・評価し、助言・勧告する活動 (拠り所は経済産業省「システム監査基準」)。
- 監査は対象領域で区別する: 品質は ISO 9001 に基づく品質監査、環境は ISO 14001 に基づく環境監査、情報システムはシステム監査。IT を道具として使う CAAT は「監査の手段」であって監査の種類ではない。
用語