問40
頻出度★★★
情報システムのリスクに対するコントロールが適切に整備運用されていることを検証するための手段として, 最も適切なものはどれか。
平成27年度 春期 ITパスポート試験 問40
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 40
不正解ア
BCP (Business Continuity Plan、事業継続計画) は、災害・大規模障害・事故などの緊急事態が発生したときに、中核となる事業をできるだけ中断させず、中断しても目標時間内に復旧させるための行動をあらかじめ定めておく計画です。有事への備えを定める文書であり、平常時のコントロールが適切に整備・運用されているかを第三者の立場で検証する手段ではありません。
不正解イ
ITIL (Information Technology Infrastructure Library) は、IT サービスマネジメントに関する成功事例 (ベストプラクティス) を体系的にまとめたガイドラインで、サービスの運用や改善を実践する際の手引きとして参照されます。あくまでサービス提供のやり方を示す参考書であって、統制状況を検証・評価する行為そのものではありません。
不正解ウ
IT ガバナンスは、企業が競争優位の確立や経営目標の達成に向けて IT の活用を適切に方向付け、統制し、その状況を監視する経営者の責任・仕組みを指します。これは検証される側の統制の枠組み自体であり、その枠組みが有効に機能しているかを独立した立場で確かめる「手段」ではありません。検証の手段として位置づけられるのはシステム監査です。
- エ
正解 正解はエ。システム監査とは、情報システムに関わるリスクに対してコントロール (統制) が適切に整備され、意図したとおりに運用されているかを、被監査部門から独立した専門家であるシステム監査人が点検・評価・検証し、その結果を監査報告書として経営者に報告するとともに、必要に応じて改善を助言・勧告する活動です。設問の「コントロールが適切に整備運用されていることを検証するための手段」という記述は、システム監査の目的そのものを言い換えたものです。IT パスポート試験では、システム監査は経済産業省のシステム監査基準・システム管理基準に沿って行われること、監査人には独立性と客観性が求められること、そして監査対象のリスクの大きさに着目して重点的に検証するリスクアプローチが用いられることを併せて押さえておきましょう。
ここがポイント
- システム監査 = 被監査部門から独立したシステム監査人が、情報システムのリスクに対するコントロールの整備・運用状況を点検・評価・検証し、監査報告書で経営者に報告して改善を助言・勧告する活動。独立性と客観性、およびリスクの大きい領域を重点的に検証するリスクアプローチが要点。
- 紛らわしい用語の切り分け: 統制状況を検証する手段 → システム監査、経営者が IT 活用を方向付け統制する仕組み → IT ガバナンス、IT サービス運用のベストプラクティス集 → ITIL、緊急時に事業を継続・復旧させる計画 → BCP。
用語