問31
頻出度★★★
システム監査の対象に関する記述として, 適切なものはどれか。
平成26年度 春期 ITパスポート試験 問31
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 31
不正解ア
誤り。システム監査の対象は官公庁・独立行政法人などに限られるものではなく、一般の民間企業の情報システムも当然に対象となる。経済産業省が公表するシステム監査基準・システム管理基準も、業種や組織形態を問わず広く組織体の情報システムに適用される考え方で作られている。組織の区分によって対象から除外されるという記述は、システム監査の目的 (情報システムのリスクをコントロールし、信頼性・安全性・効率性を確保すること) とも合わない。
不正解イ
誤り。インターネットに接続していない情報システムであっても、可用性・機密性・完全性が求められることに変わりはなく、システム監査の対象となる。むしろ社内に閉じたシステムでも、内部不正、権限管理の不備、バックアップ・災害対策の不足、開発・運用手順の不備といったリスクは存在する。インターネット接続の有無は、想定される脅威の内容を変える要素ではあっても、監査対象かどうかを分ける基準ではない。
不正解ウ
誤り。会計以外の業務も、その業務が情報システムを利用しているならばシステム監査の対象となる。販売・生産・在庫・人事・顧客管理など、業務の内容にかかわらず情報システムが使われていれば対象である。会計処理や財務諸表の適正性に限定して確かめるのは会計監査の役割であり、その守備範囲をシステム監査に当てはめてしまった記述である。
- エ
正解 正解はエ「情報システムを利用していない業務は対象としない。」。システム監査とは、被監査部門から独立した専門的立場のシステム監査人が、組織の情報システムを企画・開発・運用・保守という全ライフサイクルにわたって点検・評価・検証し、可用性・機密性・完全性などが確保されているかを助言・勧告する監査である。名前のとおり監査の切り口は「情報システム」であり、対象になるかどうかは、その業務が情報システムに関わっているかどうかだけで決まる。そのため、情報システムをまったく利用していない業務は、システム監査の対象にはならない。ここで注意したいのは、対象外だからといって監査を受けなくてよいという意味ではない点である。情報システムを使わない業務は、業務そのものの適正性・有効性を評価する業務監査が扱う領域であり、監査の種類が違うだけである。システム監査 (情報システムを対象)、業務監査 (業務全般を対象)、会計監査 (会計処理・財務諸表を対象) という守備範囲の違いをセットで押さえておくと、この種の問題は迷わずに解ける。
ここがポイント
- システム監査は、独立した立場のシステム監査人が組織の情報システムを企画・開発・運用・保守の全ライフサイクルにわたって点検・評価・検証し、可用性・機密性・完全性などの確保について助言・勧告する監査である。対象になるかどうかは、業種・官民の別、インターネット接続の有無、業務分野ではなく、情報システムに関わっているかどうかだけで決まる。
- 監査は守備範囲で区別する。システム監査は情報システムを対象とし、業務監査は業務全般の適正性・有効性を、会計監査は会計処理や財務諸表の適正性を対象とする。したがって情報システムを利用していない業務はシステム監査の対象外だが、業務監査の対象としては扱われる。
用語