平成25年度春期 システム監査技術者 午前Ⅱ 問7

統制目的を整理する基本視点

統制の目的を考えるときは、個別の手段や用語の印象に引きずられず、業務上のリスクがどの段階で生じ、誰が何を確認し、どの結果を保護したいのかという関係を一つの流れとして捉えることが大切です。

この問題で問われていること

選択肢を比べる際は、統制が置かれる対象と、そこで期待される管理上の成果の対応だけに注目してください。実施方法の細部ではなく、目的と対象の結び付きが自然かを確認すると整理しやすくなります。

視点

統制は、リスクへの対応を業務の流れに結び付ける枠組みとして捉えます。まず対象となる活動を見定め、その活動で避けたい状態と、確認によって得たい管理上の成果を対応させて考えます。

確認ポイント

• 対象となる業務活動が何かを読み取る
• その活動に関して懸念される状態を抽象的に捉える
• 示された目的と対象の結び付きが自然か確認する

正解

イ

解説

システム管理基準は、組織体が情報システムに関するリスクへのコントロールを整備・運用し、情報システムを組織体の目的に沿って安全、有効かつ効率的に機能させるための基準です。

理由

問われているのは、組織体が情報システムにまつわるリスクへのコントロールを整備・運用する目的です。したがって、情報システムが組織体の目的を実現するように機能することを示す記述が、設問の対象に合う。

比較

ア、ウ、エはいずれも監査人の監査、評価、保証・助言、または情報セキュリティリスクマネジメントの評価に関する目的を述べている。一方、システム管理基準の目的は、情報システム自体を安全、有効かつ効率的に機能させることです。

選択肢ア

これは不正解だよ。システム監査業務の品質を確保し，有効かつ効率的に監査を実施することは、監査業務そのものの目的に関する記述である。設問は、組織体が情報システムに対するコントロールを整備・運用する目的を問うており、監査業務の品質確保を直接の目的とはしていない。

選択肢イ（正解）

これは正解だよ。情報システムが，組織体の目的を実現するように安全，有効かつ効率的に機能するため、という記述は、システム管理基準が目指す情報システムの状態を示している。組織体の目的への貢献、安全性、有効性、効率性という観点が、設問の目的と一致する。

選択肢ウ

これは不正解だよ。情報セキュリティに係るリスクマネジメントに基づくコントロールの整備・運用状況を評価することは、リスクマネジメントや監査における評価活動の説明である。設問が問う、情報システムを組織体の目的に沿って機能させるという管理基準の目的を直接示していない。

選択肢エ

これは不正解だよ。リスクに対するコントロールをシステム監査人が評価し、保証又は助言を行い、ITガバナンスの実現に寄与することは、システム監査人の役割や監査の目的に関する記述である。組織体による情報システムの整備・運用目的そのものとは異なる。

学習のポイント

システム管理基準の目的と、システム監査基準の目的を区別して理解する。