平成28年度春期 システム監査技術者 午前Ⅱ 問7

監査の整理で注目する視点

監査を考えるときは、名称の印象だけで判断せず、何を確かめる活動なのかと、誰がどの立場から関与するのかを切り分けて整理しましょう。両者の対応関係を丁寧に照合することが重要です。

この問題で問われていること

選択肢を読む際は、監査の目的や対象を広げて考えすぎず、まず「実施主体がどの役割を担う前提で説明されているか」という一点に絞って、記述全体の整合性を確認しましょう。

視点

監査の名称や説明を読むときは、活動の目的と、それを担う立場の役割を別々に整理し、その組み合わせが自然かどうかを落ち着いて確認します。

確認ポイント

• 実施主体がどのような立場として説明されているか
• 監査の目的と主体の役割が同じ前提で書かれているか
• 名称の印象ではなく説明全体の関係を確認できているか

正解

イ

解説

JIS Q 19011:2012の第二者監査は、顧客などが取引関係にある供給者や委託先を評価するために行う監査です。この設問では、業務委託先である子会社へのシステム監査が該当する。

理由

第二者監査は、監査対象と契約や取引などの関係を持つ組織が、相手の業務や管理状況を評価する目的で実施する。業務委託先に対する監査は、この関係に該当する。

比較

自組織が自ら行う内部監査は第一者監査、独立した認証機関が行う審査は第三者監査に当たる。会社法監査も、第二者監査の典型である委託先評価とは目的と関係が異なる。

選択肢ア

これは不正解だよ。監査法人による会社法監査は、会社法に基づく財務諸表などの監査であり、業務上の取引先や委託先を評価する第二者監査とは目的と立場が異なる。この選択肢は第二者監査には該当しない。

選択肢イ（正解）

これは正解だよ。業務委託先である子会社へのシステム監査は、委託する側が取引関係にある相手の管理や業務実施状況を評価する監査である。供給者・委託先を対象とする評価なので、JIS Q 19011:2012の第二者監査に該当する。

選択肢ウ

これは不正解だよ。審査機関によるISMS認証審査は、組織から独立した認証機関が規格への適合を審査するものである。取引関係にある顧客が委託先を評価する第二者監査ではなく、第三者による審査に当たる。

選択肢エ

これは不正解だよ。内部監査人が行う情報セキュリティ監査は、通常、自組織の内部統制や情報セキュリティの状況を自組織側で確認する監査である。取引先や委託先を評価する第二者監査ではなく、第一者監査に当たる。

学習のポイント

監査人の名称ではなく、監査人と監査対象の取引関係から第一者・第二者・第三者を区別する。