問50
頻出度★★★
システム監査に必要なプロセスのうち, システム監査人が実施するものはどれか。
平成26年度 春期 ITパスポート試験 問50
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 50
不正解ア
運用ルール (業務規程やマニュアルなど) を整備するのは、監査対象である業務を実際に行っている被監査部門と、その体制を整える経営者の責任である。監査人がルールを作ってしまうと、自分が作った統制を自分で評価することになり、システム監査に求められる独立性・客観性が損なわれる。監査人はルールが整備・運用されているかを点検・評価する側であって、整備する側ではない。
- イ
正解 正解はイ「監査対象に関する予備調査」。システム監査は、監査対象から独立した第三者であるシステム監査人が、情報システムを点検・評価し、改善を助言する仕組みで、大きく「監査計画の策定 → 予備調査 → 本調査 → 評価・結論 → 監査報告書の作成・提出 → フォローアップ」という流れで進む。予備調査は本調査に入る前の下準備の工程で、監査人が監査対象の業務内容・システム構成・関連規程・過去の監査結果などの資料を集めて全体像をつかみ、どこにリスクがありそうかを見極めて本調査の範囲・重点項目・手続を絞り込む作業である。これは監査を実施する側の作業そのものなので、監査人が行う。ポイントは「主体は誰か」で選択肢を仕分けることで、ルールを整備したり弱点を直したりするのは監査される側 (被監査部門) の仕事、報告書を受け取って改善を指示するのは監査を依頼した経営者側の仕事であり、監査人はあくまで調べて評価し報告する立場に徹する (独立性・客観性の確保)。
不正解ウ
監査で指摘された脆弱性や問題点を実際に改善するのは被監査部門であり、監査人ではない。監査人の役割は、改善が必要な点を指摘し助言することと、その後に改善が実施されたかを確認するフォローアップまでである。監査人が自ら改善作業を行えば、これも自分の作業を自分で評価する形になり独立性に反する。
不正解エ
システム監査報告書は監査人が作成して提出する側であり、それを受理するのは監査を依頼した経営者 (監査依頼者) である。受理した経営者は報告書の内容に基づいて被監査部門に改善を指示する。したがって「受理」は監査人ではなく依頼者側の行為で、主体が逆になっている。
ここがポイント
- システム監査の基本的な流れは「監査計画の策定 → 予備調査 → 本調査 → 評価・結論 → 監査報告書の作成・提出 → フォローアップ」。予備調査は本調査の前に監査人が資料収集などで監査対象の概要とリスクを把握し、本調査の範囲・重点・手続を決める工程である。
- 役割分担で覚える。システム監査人 = 調査・評価・報告・フォローアップを行う独立した第三者、被監査部門 = 運用ルールの整備・運用と指摘事項の改善を実施、監査依頼者 (経営者) = 監査を依頼し報告書を受理して改善を指示。監査人が整備や改善そのものを行うと独立性・客観性が失われる。
用語