令和3年度秋期 システム監査技術者 午前Ⅰ 問22

監査技法は行為と証拠の対応で見分ける

システム監査の技法は名称が似ていて混同しやすい分野です。名称の印象で判断せず、その技法を使うとき監査人が実際に何をして、結果としてどのような監査証拠が手に入るのかという一つの観点に絞って、問われている内容と照らし合わせてみましょう。

この問題で問われていること

この問題で意識したいのは、各監査技法について「監査人が行う具体的な作業」と「その作業から得られる証拠の性質」を対にして捉えることです。名前や使われる場面の雰囲気だけで結び付けず、作業の中身まで具体的に想像できるかを確かめましょう。

視点

監査技法は、監査人が監査証拠を入手するための手段です。技法どうしを区別するときは、名称の語感や覚えた一言説明に頼るより、「監査人がどんな作業を行い、その作業から何が得られるか」という対応関係で整理すると混同を減らせます。問われている内容を読むときも、この対応関係が自分の理解と合っているかを一つずつ確かめる姿勢が大切です。

確認ポイント

• その技法を使う場面で、監査人自身が具体的にどのような作業をしているかを、頭の中で手順として思い描けるか
• その作業の結果として得られる監査証拠が、どのような性質のものになるかを説明できるか
• 技法の名称の印象だけで判断せず、作業の中身と得られる証拠の対応が問われている内容と食い違っていないかを確かめたか

正解

イ

解説

データの生成から入力・処理・出力・活用までのプロセスと、そこに組み込まれたコントロールを、監査人が書面上または実際に追跡する技法はウォークスルー法です。正解はイです。

理由

ウォークスルー法は、データの生成から入力・処理・出力・活用に至る一連のプロセスと、その途中に組み込まれたコントロールを、システム監査人が書面上または実際にたどって確かめる技法です。問題文の「書面上で又は実際に追跡する」という説明と一致するため、正解はイです。

比較

インタビュー法は、関係者に質問して回答を得る技法です。監査モジュール法は、監査用のプログラムを対象システムに組み込み、稼働中にデータを収集する技法です。ペネトレーションテスト法は、攻撃者の立場でシステムへの侵入を試み、セキュリティ対策の有効性を確かめる技法です。どれもプロセスとコントロールを追跡する技法ではありません。

選択肢ア

これは不正解だよ。インタビュー法は、監査対象部門の担当者や責任者に監査人が直接質問して、その回答から業務の実態や統制の状況をつかむ技法だよ。関係者の説明を聞いて証拠を得る方法なので、データの生成から活用までのプロセスとコントロールを書面上や実際に追跡する技法とはいえず、設問の説明には当てはまらないよ。

選択肢イ（正解）

これは正解だよ。ウォークスルー法は、データの生成から入力・処理・出力・活用に至るプロセスと、その中に組み込まれたコントロールを、システム監査人が書面上で、または実際の業務の流れに沿って追跡し、統制がきちんと整備されているかを確かめる技法だよ。設問文の説明とそのまま一致しているね。

選択肢ウ

これは不正解だよ。監査モジュール法は、監査人が指定した監査用のプログラム（モジュール）を監査対象システムに組み込み、システムが動いている間に条件に合うデータを抽出・記録して監査証拠を集める技法だよ。プログラムでデータを収集する方法であって、監査人がプロセスを書面上や実際に追跡する技法ではないよ。

選択肢エ

これは不正解だよ。ペネトレーションテスト法は、外部の攻撃者の立場からシステムへの侵入を実際に試みて、アクセス制御などのセキュリティ対策が有効かを確かめる技法だよ。侵入できるかどうかを検証するのが目的なので、データの生成から活用までのプロセスとコントロールを追跡する技法ではないよ。

学習のポイント

インタビュー法、ウォークスルー法、監査モジュール法、ペネトレーションテスト法を、証拠を得る手段の違いで区別できるようにしましょう。