令和6年度秋期 システム監査技術者 午前Ⅱ 問4

監査の検証観点を整理する

監査で何を確かめるかを考えるときは、対象・根拠・確認方法の関係を切り分け、どの観点に注目した説明なのかを問題文の表現と照らして整理しましょう。用語の印象だけで決めず、目的との対応も確認します。

この問題で問われていること

この問題では、各記述が示す検証の目的や対象、証拠との結び付きを読み取り、似て見える説明でも、どの確認軸を中心に述べているかを一つに絞って見極めることに集中しましょう。

視点

監査上の区分を考える際は、何を対象とし、何を根拠に、どの目的で確かめる説明なのかを整理し、表現の中心となる確認軸に注目します。

確認ポイント

• 記述の中心が、対象・根拠・目的のどこに置かれているかを確認する
• 確認しようとしている内容と、用いられる証拠の関係を整理する
• 用語の印象ではなく、説明全体の目的と焦点が一致しているかを見る

正解

イ

解説

システム監査基準におけるマネジメントの視点は、ITに関する活動を組織全体として計画・実行・評価・改善する管理の仕組みを検証する。したがって、PDCAサイクルに基づくIT投資管理や情報セキュリティ対策を扱うイが該当する。

理由

イは、IT投資管理や情報セキュリティ対策を、PDCAサイクルに基づいて組織体全体で管理できているかを問うている。これは活動の計画、実行、評価、改善というマネジメントの検証に当たる。

比較

アは経営戦略との整合や技術活用という方向付け、ウは承認や異常アクセス対応という個別統制、エは業務プロセスに組み込まれたリスク対応統制を扱う。これらはマネジメントとは異なる視点の記述です。

選択肢ア

これは不正解だよ。IT戦略と経営戦略の整合性や、新技術を経営戦略の推進に活用できているかは、組織のITについて方向性を定め、経営と結び付ける観点である。継続的な活動管理を問うマネジメントの視点ではなく、ガバナンスの視点に該当する。

選択肢イ（正解）

これは正解だよ。IT投資管理や情報セキュリティ対策を、PDCAサイクルに基づいて組織体全体で適切に管理できているかを確認している。計画、実施、評価、改善を通じて組織の活動を運営する内容なので、マネジメントの視点に該当する。

選択肢ウ

これは不正解だよ。規程に従った承認手続や、異常なアクセスを検出した際の対処及び報告は、定められた手順が実際の業務で守られているかを確認する内容である。個別の業務処理やセキュリティに対するコントロールの視点に該当する。

選択肢エ

これは不正解だよ。業務プロセスにリスクに応じた統制を組み込み、その統制が機能しているかを確認する内容である。これは現場のプロセスに設けた統制の有効性を検証するものであり、組織全体の活動を改善管理するマネジメントの視点とは異なる。

学習のポイント

ガバナンス、マネジメント、コントロールの役割を、対象と責任範囲で区別する。