このユニットでは、情報システムを独立した立場から点検・評価する「システム監査」の基礎を学ぶ。会計監査・業務監査・情報セキュリティ監査との違い、実施主体であるシステム監査人、拠り所となるシステム監査基準、そしてリスクの高い領域に重点を置くリスクアプローチまでを押さえる。システム監査はITパスポートで頻出する重要分野である。
企業の財務諸表が適正かどうかを独立した立場で検証する監査。
会計監査は、企業が作成した財務諸表(貸借対照表や損益計算書など)が、会計のルールに従って正しく作られているかを、独立した監査人が検証する活動です。投資家や取引先など外部の利害関係者が安心して数字を信頼できるようにする役割があります。 試験では、監査の対象が「お金・財務」である点が問われます。情報システムそのものを評価するシステム監査とは目的・対象が異なる、という対比で覚えるのがポイントです。
たとえ学校が出した「お小遣い帳の合計」を、第三者の先生が電卓で検算して、ごまかしや間違いがないか確かめるようなものです。
記憶フック会計監査といえば財務諸表が適正かを検証する監査
組織の業務が適正・効率的に行われているかを点検・評価する監査。
業務監査は、会計に限らず、組織のさまざまな業務活動が規程やルールに従って適正・効率的に行われているかを点検・評価する監査です。販売・購買・人事などあらゆる業務が対象になり得ます。 試験では、対象が「業務全般」へ広がる点が問われます。財務だけを見る会計監査より範囲が広く、情報システムを対象とするシステム監査とも区別される、という位置づけを押さえましょう。
たとえ工場の「作業手順どおりに、ムダなく作業しているか」を見回り役が一つひとつチェックして回るようなものです。
記憶フック業務監査といえば業務全般が適正・効率的かを点検する監査
情報資産が安全に管理されているかを独立した立場で評価する監査。
情報セキュリティ監査は、組織の情報資産が機密性・完全性・可用性を保って安全に管理されているかを、独立した立場から評価する監査です。アクセス制御やパスワード管理など、セキュリティ対策が適切かを確認します。 試験では、対象が「情報の安全(セキュリティ)」に絞られる点が問われます。情報システム全般を広く扱うシステム監査の一部・近接領域として、対象範囲の違いを理解しておくことが重要です。
たとえ家の「鍵がきちんとかかっているか・防犯カメラは動いているか」を専門の点検員が確認してくれるようなものです。
記憶フック情報セキュリティ監査といえば情報資産が安全に守られているかを評価する監査
情報システムを独立した立場で点検・評価し改善を促す監査。
システム監査は、組織の情報システムが安全・効率的・有効に運用されているかを、独立かつ専門的な立場から点検・評価し、問題点の改善を経営者に助言する活動です。信頼性・安全性・効率性などの観点でシステムを総合的に見ます。 試験では、本 topic の中核概念として頻出します。会計監査(財務)・業務監査(業務全般)・情報セキュリティ監査(安全)との対比で、対象が「情報システム」である点と、独立した立場で行う点が問われます。
たとえ建物全体を「設計どおり安全に建っているか・使いやすいか」を、利害のない専門の検査員がくまなく調べて改善点を指摘するようなものです。
記憶フックシステム監査といえば情報システムを独立した立場で点検・評価し改善を助言する監査
独立性・客観性を持ってシステム監査を実施する専門家。
システム監査人は、監査の対象となる部門から独立し、客観的・専門的な立場でシステム監査を行う人です。利害関係があると公正な評価ができないため、監査対象とは独立していることが強く求められます。 試験では、「独立性」と「客観性」がキーワードとして問われます。監査人は問題点を指摘し改善を助言する立場であり、自分が運用に関わったシステムを監査してはいけない、という独立性の原則が頻出の注意点です。
たとえ自分のクラスのテストは自分で採点せず、関係のない別の先生に採点してもらうのと同じで、身内でない人だからこそ公正に評価できます。
記憶フックシステム監査人といえば独立性・客観性を持つ監査の実施者
システム監査の実施方法や行動規範を定めた拠り所となる基準。
システム監査基準は、システム監査人が監査を行う際に従うべき手順や心構え、品質を確保するための行動規範をまとめた基準です。経済産業省が公表しており、監査人が一定の質を保って監査を行う拠り所になります。 試験では、監査人が「何に従って」監査するかという拠り所として問われます。あわせて、評価の物差しとなる『システム管理基準』と名前が似ているため、監査の進め方を示すのが監査基準、という区別を意識しておきましょう。
たとえスポーツの審判が従う「公式ルールブック」のようなもの。これがあるから、誰が監査しても判断のばらつきを抑えられます。
記憶フックシステム監査基準といえば監査人が従う行動規範・拠り所
リスクの高い領域に重点を置いて監査資源を配分する考え方。
リスクアプローチは、限られた時間や人手の中で効率よく監査を行うため、問題が起きやすい・影響が大きいリスクの高い領域を見極め、そこに重点を置いて監査する基本的な考え方です。すべてを一律に調べるのではありません。 試験では、監査を効率的・効果的に行うための方針として問われます。リスクの高い部分を優先的に深く確認するという考え方であり、次の段階である監査計画の策定にもつながる前提だと押さえましょう。
たとえ健康診断で、心配な部位を念入りに、問題のなさそうな部位はさっと診るように、メリハリをつけて重点的に調べるイメージです。
記憶フックリスクアプローチといえばリスクの高い領域に重点を置く監査の考え方
関連の過去問演習は今後のアップデートで追加予定です。