問51
頻出度★★★
システム監査の実施内容に関する記述のうち, 適切なものはどれか。
平成25年度 春期 ITパスポート試験 問51
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 51
错误ア
依据 ISO 9001 构建并运营质量管理体系，是由管理质量的一方（被审计方）自己承担的业务本身，并不是审计。审计是以已经建立并运行的机制为对象，从外部检查、评价它是否适当的行为。因此，「由质量管理负责人构建并运营自己的质量管理体系」这一描述，只是普通管理业务的说明，而不是系统审计的实施内容。
错误イ
开发人员测试自己开发的系统，属于在开发工序中进行的单元测试等自我验证，并不是系统审计。而且，进行评价的人与被评价工作的承担者是同一个人，因此不满足系统审计不可或缺的独立性（独立于审计对象）。自己作业中的错误自己很难察觉，无法形成客观的评价，所以不能成立为审计。
- ウ
正解 正确答案是 ウ。所谓系统审计，是指由处于独立立场的系统审计人员，对信息系统相关风险的控制措施是否得到适当建立、是否按预期运行进行检查、评价与验证，并把结果报告给管理层等，提出建议与劝告的活动。这里的决定性因素是「独立性」：系统审计准则要求系统审计人员独立于审计对象（外观上的独立性），并且能够公正、客观地作出判断（精神上的独立性）。因为由自己去核查自己负责的业务，难免出现疏漏与偏袒，无法保证评价的客观性。ウ 同时满足两点——评价的对象是「信息系统针对风险的控制措施的建立与运行状况」，评价的主体是「独立于审计对象的第三方」，因此作为系统审计实施内容的说明是恰当的。
错误エ
系统管理员使用专用软件（漏洞检查工具等）自行验证自己所管理系统的安全漏洞，属于运维人员进行的自查与漏洞诊断，并不是系统审计。这里同样因为进行检查的人本身就是负责管理的当事人而缺乏独立性。技术性检查本身很有用，作为安全对策也有必要，但它不满足「由独立于审计对象的第三方进行评价」这一要求，因此作为系统审计的实施内容是不恰当的。
ここがポイント
- 系统审计的定义：由系统审计人员检查、评价与验证信息系统相关风险的控制措施是否得到适当的建立与运行，并向管理层等报告、提出建议与劝告的活动。审计不是创建机制或让机制运转的行为（那是被审计方的业务），而是从外部加以核实的行为。
- 系统审计人员的独立性（系统审计准则）：要求其处于独立于受审部门与受审业务的立场（外观上的独立性），并且能够公正、客观地作出判断（精神上的独立性）。像开发人员自测、管理员自查这样由当事人核查自己工作的形式缺乏独立性，因此不能称为审计。
用語