問45
頻出度★★★
システム監査の説明として, 適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問45
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 45
错误ア
ISO 9001 是质量管理体系标准，依据它开展的是质量管理体系的认证审核和内部审核。系统审计的对象是信息系统的风险与控制措施，其依据是《系统审计基准》，而不是质量标准。
错误イ
ISO 14001 是环境管理体系标准，确认其符合性的是环境审核。虽然同处于审计这一框架之下，但其对象领域是环境负荷的管理，与评价信息系统控制措施的系统审计并不是一回事。
错误ウ
把 IT 用作审计工具的审计，是使用 CAAT（计算机辅助审计技术）的审计，这说的是「审计的手段」。而系统审计是「把信息系统本身作为审计对象」，该选项把手段和对象弄混了。由于也存在把 IT 当作工具来使用的财务审计等情形，因此这一表述不能成为系统审计的定义。
- エ
正解 系统审计是指：针对信息系统伴随的风险（故障、信息泄露、舞弊、数据丢失等），由独立且具备专业能力的审计人员来验证和评价组织所准备的控制措施（内部控制。例如访问权限管理、备份、变更管理、职责分离）是否建设妥当、以及实际是否按其运行，并根据需要提出改进建议和劝告的活动。选项 エ 所述正是「针对信息系统的风险，对控制措施的建设状况和运行状况进行验证或评价」这一定义本身，也与经济产业省《系统审计基准》的宗旨一致，因此是正确答案。要点有两个：审计的对象是信息系统的风险与控制措施；审计的目的在于提供保证并给出改进建议。
ここがポイント
- 系统审计 = 由独立的审计人员，对信息系统相关风险所对应的控制措施的建设状况和运行状况进行验证与评价，并提出建议和劝告的活动（依据是经济产业省《系统审计基准》）。
- 审计按对象领域来区分：质量对应依据 ISO 9001 的质量审核，环境对应依据 ISO 14001 的环境审核，信息系统则对应系统审计。而把 IT 当作工具使用的 CAAT 属于「审计的手段」，并不是审计的种类。
用語