令和6年度秋期 データベーススペシャリスト 午前Ⅰ 問22

監査プロセスと役割の整理

システム監査は、計画から報告、その後の活動までを一連のプロセスとして捉えます。各段階で誰が何に責任を持つのかという観点から、基準の考え方と照らし合わせて整理すると判断しやすくなります。

この問題で問われていること

監査報告の後に行われる活動について、その活動の主体が誰で、監査人がどのような立場で関与するのかを検討してください。監査人に求められる独立性・客観性の考え方と矛盾しないかという一つの観点で確かめます。

視点

監査の枠組みでは、監査を実施して意見を述べる側と、監査対象の業務や情報システムに責任を負う側が区別されます。どの段階の活動であっても、行為の主体と責任の所在を分けて考えると、基準の趣旨に沿った位置付けを整理しやすくなります。

確認ポイント

• その活動を実行する主体は、監査人と監査対象側のどちらと考えるのが基準の趣旨に合うか
• 監査人の関与の仕方が、独立性・客観性の保持という原則と整合しているか
• その活動が監査プロセス全体のどの段階に属し、前後の段階とどうつながるか

正解

ウ

解説

システム監査基準（令和5年）におけるフォローアップとは、監査報告書に記載した改善提案の実施状況に関する情報をシステム監査人が収集し、改善状況をモニタリングすることです。したがって正答はウです。

理由

監査報告書で指摘事項や改善提案を示しても、改善が実際に行われなければ監査の効果は得られません。そのため、システム監査人は報告後も改善提案の実施状況に関する情報を集め、改善状況をモニタリングします。これがフォローアップです。改善計画の策定や改善の実施は監査対象先の責任で行われ、監査人はその状況を確認する立場にあります。

比較

アは監査対象先自身による改善計画の策定で、フォローアップの主体と内容が異なります。イは監査部門の責任者が監査自体の実施状況や指摘事項の妥当性を確認する活動で、監査の品質を確かめるためのものです。エは時間の関係で調査が終わらなかった監査項目への対応で、監査の実施段階の問題です。いずれも、改善提案の実施状況をモニタリングするフォローアップとは異なります。

選択肢ア

これは不正解だよ。指摘事項や改善提案を基に改善計画を策定し、改善を実施するのは、監査対象先が自らの責任で行う活動だよ。フォローアップは、その改善が実際に進んでいるかをシステム監査人が情報収集して確認する活動なので、監査対象先による改善計画の策定そのものをフォローアップとする説明は適切ではないよ。

選択肢イ

これは不正解だよ。監査部門の責任者が監査の実施状況や指摘事項の妥当性を確認するのは、監査業務そのものの品質を確かめる活動にあたると考えられるよ。確認の対象は監査の品質で、監査対象先の改善状況ではないから、改善提案の実施状況をモニタリングするフォローアップとは目的も対象も違うよ。

選択肢ウ（正解）

これは正解だよ。システム監査基準（令和5年）では、監査報告書に記載した改善提案について、システム監査人が実施状況に関する情報を収集し、改善状況をモニタリングすることをフォローアップとしているよ。改善を実施するのは監査対象先で、システム監査人はその進み具合を確認する立場にあるという役割分担も押さえておこう。

選択肢エ

これは不正解だよ。時間の関係で調査が終わらなかった監査項目は、監査計画の見直しや追加の監査手続などで対応すべきもので、監査の実施段階の問題だよ。フォローアップは監査報告書で示した改善提案の実施状況を確認する活動であり、終わらなかった調査項目を後から追跡調査して報告することではないよ。

学習のポイント

フォローアップでは、改善を実施する主体が監査対象先で、その状況を確認する主体がシステム監査人である点を区別しよう。