平成23年度特別 データベーススペシャリスト 午前Ⅰ 問22

システム監査の目的を整理する視点

監査の目的を考えるときは、対象・期待される効果・確認する範囲の関係を整理し、作業手順や担当者の役割と混同せず、「何のために行うのか」という観点に注目しましょう。

この問題で問われていること

選択肢を読む際は、監査によって確かめたい状態と、その結果を誰がどのように活用する想定かに焦点を絞り、実施方法や個別の確認項目そのものを目的として扱っていないかを見比べてください。

視点

目的は、対象、期待する効果、利用者の関係で整理すると、手段や作業項目と区別して読みやすくなります。選択肢の文が示す役割の粒度をそろえ、全体の意図に着目しましょう。

確認ポイント

• 目的を表す記述と、実施手段・手順を表す記述を区別する
• 確認対象と、監査結果が役立つ場面のつながりを読む
• 記述が示す役割の粒度をそろえて比較する

正解

ウ

解説

システム監査は、情報システムに関わるリスクへのコントロールが適切に整備・運用されているかを評価し、その改善を通じてITガバナンスに役立てる活動です。

理由

システム監査では、情報システムにまつわるリスクに対するコントロールの整備状況と運用状況を評価する。評価結果を改善に結び付けることで、組織のITガバナンス実現に寄与する。

比較

脆弱性テスト、SWOT分析、ソフトウェア開発の生産性向上は、それぞれ特定の目的を持つ個別活動です。システム監査の目的は、これらの作業そのものではなく、情報システムに関する統制を評価し改善することにある。

選択肢ア

これは不正解だよ。外部専門企業による脆弱性テストは、ネットワークの安全性を調べる具体的な評価手法・活動である。システム監査全体の目的は、社内ネットワークだけに限定されず、情報システムに関するリスクへのコントロールを評価し、改善へつなげることにある。

選択肢イ

これは不正解だよ。強み・弱みや機会・脅威を整理して経営戦略や事業分野を定めるのは、SWOT分析などの経営戦略策定に当たる。システム監査の目的は経営環境を分析して新事業を決めることではなく、情報システムに関するリスクへの対応状況を評価し、改善に役立てることである。

選択肢ウ（正解）

これは正解だよ。システム監査は、情報システムにまつわるリスクに対するコントロールが適切に整備され、実際に運用されているかを評価する。その結果を改善に結び付けることで、組織のITガバナンスの実現に寄与するため、設問の目的に合致する。

選択肢エ

これは不正解だよ。ソフトウェア開発の生産性を測定し、開発組織の能力向上を目指すのは、開発プロセスや組織能力の改善に関する活動である。システム監査の目的は生産性レベルを高めることに限定されず、情報システムのリスクとコントロールを評価し、統制の改善に役立てることにある。

学習のポイント

監査の目的と、個別のテスト・戦略策定・開発改善の目的を区別する。