令和4年度秋期 システム監査技術者 午後Ⅱ 問1

監査計画と監査リスクの関係整理

個別監査計画を検討するときは、何を重点的に確かめたいのかと、どのような制約が監査の進め方に影響するのかを切り分けて整理します。そのうえで、両者が監査結論の確からしさにどう関わるかという一つの観点に沿って考えを組み立てることが大切です。

この問題で問われていること

論述では、重点項目や制約をそれぞれ単独で説明するだけでなく、それらが監査で見落としや誤った判断を生む可能性とどう結び付き、その可能性をどのような手段で抑えるのかという対応関係を一貫させて示せているかを確認します。

視点

監査計画は、限られた資源の中で合理的な結論を得るための設計です。検討の際は、①監査対象の状況から何を重点とするのか、②計画の実行を妨げたり範囲を狭めたりする条件は何か、③それによって結論の確からしさがどこで損なわれうるか、④その影響をどう扱うか、という流れで整理します。各要素が前後でつながっているかを意識すると、論旨にぶれが生じにくくなります。

確認ポイント

• 自分が挙げた重点項目や制約が、それぞれ監査結論のどの部分の確からしさに影響するのかを説明できるか
• 述べた対応策が、先に挙げたリスクの原因と具体的に対応しており、一般論だけで終わっていないか
• 監査対象の状況から重点・制約・リスク・対応までの記述が、一つの筋道として矛盾なくつながっているか

解説

本問は、情報システムの個別監査計画で、システムの特徴やリスク評価結果などから重点項目・着眼点を設定し、それに対応する監査手続を作成する力を問う論述問題です。さらに、テレワーク環境や監査資源などの監査上の制約で本来必要な監査手続が実施できない場合に、生じる監査リスクを明確にし、代替手続などで低い水準に抑える計画を立てられるかも問われます。採点講評では、システム環境の変更や開発・運用の課題を監査上の制約として書く誤りと、設問ア〜ウの一貫性の不足が指摘されています。

問題の全体像

問題文は、企業が基幹システムや新規ビジネスを支える情報システムなど、多様なシステムを管理しているという状況から始まります。個別監査計画では、重点項目・着眼点を適切に設定し、監査時間や監査費用などの監査資源を見積もり、適切な監査手続を作成することが求められています。

重点項目・着眼点は、システムの特徴、リスク評価結果、経営層の期待、過去の監査結果などを踏まえて設定します。あわせて、テレワーク環境や監査資源などの監査上の制約を検討し、監査の結論を誤る監査リスクを明確にする必要があります。

出題趣旨では、本来必要と考えた監査手続が採用できない場合に、代替手続の選択・適用に加えて、監査リスクへの対応方法を適切に計画する知識・能力を問うとしています。

採点講評では、次のような答案が散見されたと指摘しています。

・監査上の制約を具体的に論述していない

・システム環境の変更や、開発・運用の課題を監査上の制約としている

・リスクに対応したサンプリング手法の採用を監査上の制約としている

そのため、設問ア〜ウを通じて、制約を監査を実施する側の制約として正しく捉え、一貫した論述にすることが重要です。

設問ア

設問アでは、次の3点を800字以内で述べます。

・携わった情報システムの概要

・そのシステムの特徴

・個別監査計画の概要

システムの特徴は、設問イの重点項目・着眼点の根拠になります。単なる機能の紹介ではなく、リスクにつながる特徴（業務上の重要性、利用者の範囲、外部との連携、扱う情報の性質など）を具体的に書いておくと、後の設問とつながります。

個別監査計画の概要には、監査目的、監査対象の範囲、監査期間や体制などを含めます。採点講評では、設問アで監査目的が明確に特定されていない論述があったと指摘されています。監査目的は明確に一文で示しましょう。

字数の目安は、システムの概要と特徴で400字前後、監査計画の概要で300〜400字程度です。

設問イ

設問イでは、次の二つを700字以上1、400字以内で述べます。

・重点項目・着眼点

・想定した監査上の制約

【重点項目・着眼点】

設問アで示したシステムの特徴やリスク評価結果（必要に応じて経営層の期待や過去の監査結果）から、なぜその重点項目・着眼点を設定したのかという理由を明示します。採点講評では、重点項目・着眼点が監査目的と一貫していない論述や、システムの特徴を反映していない論述が散見されたと指摘されています。特徴・リスク、監査目的、重点項目の対応関係を明確に書くことが評価のポイントです。

【監査上の制約】

問題文が例示する、テレワーク環境による現場訪問や資料の直接閲覧の制限、監査時間・監査費用などの監査資源の制約のように、監査を実施する側の制約を具体的に書きます。システム環境の変更や、開発・運用の課題、サンプリング手法の採用を制約として書くと、趣旨から外れると採点講評で指摘されています。

字数の目安は、重点項目・着眼点とその理由で800字前後、制約で400〜500字程度です。

設問ウ

設問ウでは、設問イの制約を踏まえて、次の三つを700字以上1、400字以内で述べます。

・実施できない監査手続

・それによって生じる監査リスク

・監査リスクに対応するために作成した監査手続

【実施できない監査手続と監査リスク】

まず、設問イの重点項目・着眼点を確かめるために本来必要と考えた監査手続（例：現場での資料の原本閲覧や、運用状況の観察）を示します。次に、それが制約によって実施できないことを示します。そのうえで、実施できないと何を確かめられず、監査の結論をどう誤るおそれがあるのかを、監査リスクとして関連付けます。

【代替の監査手続】

続いて、監査リスクを低い水準に抑えるために作成した監査手続を書きます。問題文の例のように、資料をPDFファイルで入手するだけで終わらせず、PDFファイルの真正性を原本と同程度に確保するのに必要な監査証拠を得る手続まで踏み込むことが求められます。どのような監査証拠を入手し、それによって何を確かめるのかを具体的に示すことが評価のポイントです。

出題趣旨では、代替手続の選択・適用に加えて、監査リスクへの対応方法を計画できるかを問うとしています。設問イの制約・重点項目と対応した内容にし、ア〜ウの一貫性を保ちましょう。

字数の目安は、実施できない手続と監査リスクで400〜500字程度、代替手続と入手する監査証拠で600〜800字程度です。

学習のポイント

監査上の制約は、監査を実施する側の制約（テレワーク環境や監査資源など）として捉えることが重要です。そのうえで、次の流れを一本の筋として書けるように練習しましょう。 ・システムの特徴・リスク評価 → 重点項目・着眼点 ・重点項目・着眼点 → 本来必要な監査手続 ・監査上の制約 → 実施できない監査手続 → 監査リスク ・監査リスク → 代替手続と入手する監査証拠