平成27年度春期 プロジェクトマネージャ 午前Ⅰ 問22

監査目的と証拠の対応を確かめる

システム監査手続を検討するときは、手続そのものの一般的な妥当性よりも、問題が求める監査目的に対して、その手続で入手できる証拠が目的を裏付けるものになっているかという対応関係を一つの観点として確認しましょう。

この問題で問われていること

問われているのは個々の管理策の良し悪しではなく、監査人が何を確かめたいのかという目的と、実施する手続が示す事実との結び付きです。目的の文言に含まれる条件を読み取り、手続がその条件まで届いているかを意識してください。

視点

監査手続は、監査目的を達成するための証拠を得る手段です。同じ対象を扱う手続であっても、得られる証拠が裏付ける事柄の範囲は手続ごとに異なります。そのため、手続が有用かどうかを単独で判断するのではなく、確かめたい目的と照らし合わせて、証拠に過不足がないかを考えることが検討の基本になります。

確認ポイント

• 監査目的として何を確かめようとしているのかを、自分の言葉で言い直せるか
• 検討する手続で得られる証拠が、具体的にどのような事実を示すものかを整理できているか
• その事実が目的の条件を満たす根拠として十分か、別の目的に向いた証拠になっていないか

正解

イ

解説

日次バックアップが継続的に取得されているかを確かめるには、ジョブが日次で動くように設定されているかを設定内容で確認し、実際に毎日実行・正常終了しているかを実行結果ログで期間にわたって確認するのが適切です。正解はイです。

理由

「継続的に取得されているか」を確かめるには、過去の一定期間、各日に取得が行われた記録が必要です。ジョブの設定内容からは日次で自動実行される定義になっているかが分かり、実行結果ログからは各日の実行実績と正常終了かどうかが分かります。この二つを閲覧すれば、仕組みと実績の両面から継続性を確かめられます。

比較

再実施（ア）は現時点でジョブが動くかどうかしか分かりません。リカバリテスト（ウ）はデータから復元できるかを確かめる手続です。媒体・装置の観察（エ）で分かるのは、それらが存在し、どう保管されているかです。いずれも有用な手続ですが、「毎日続けて取得されてきたか」を直接裏付ける証拠にはなりません。

選択肢ア

これは不正解だよ。監査人がバックアップジョブを再実施しても、分かるのはその時点でジョブが動くかどうかだけなんだ。過去の各日に日次バックアップが続けて取得されてきたかは、再実施では証明できないよ。それに、本番環境で監査人がジョブを動かすと業務に影響するおそれもあるんだ。

選択肢イ（正解）

これは正解だよ。設定内容を閲覧すれば、日次で自動実行されるようにジョブが定義されているかを確認できるよ。さらに実行結果ログを閲覧すれば、過去の各日にジョブが実行されて正常終了したかを、期間を通して確かめられるんだ。設定と実績の両面から継続的な取得を検証できる手続だね。

選択肢ウ

これは不正解だよ。リカバリテストは、取得済みのバックアップデータから実際に復旧できるか（復元できるか、データが有効か）を確かめる手続なんだ。ある時点のデータの品質は確認できても、毎日欠かさず取得されてきたかという継続性の検証には直接つながらないよ。

選択肢エ

これは不正解だよ。媒体や装置を観察すれば、それらが存在していて、どう設置・保管されているかは確認できるよ。でも観察だけでは、日次バックアップのジョブが毎日実行され、データが継続的に取得されてきたという記録は得られないんだ。継続性の証拠としては足りないね。

学習のポイント

監査要点（継続性・復元可能性・存在など）と監査手続の対応関係を見分ける力