平成30年度秋期 システムアーキテクト 午前Ⅰ 問22

可監査性を見極める一つの視点

可監査性を検討するときは、記録の有無だけで判断せず、後から第三者が経緯を追い、根拠を確かめられる状態につながる観点に絞って各記述を読み比べ、共通する視点を整理します。

この問題で問われていること

この問題では、情報システム上の出来事を後から検証するために、何がどの段階で残り、誰がどの根拠をたどれるかという一つの視点だけに注目して整理します。個々の表現より、検証のしやすさに関わる関係性を確認します。

視点

可監査性は、運用の結果を後から確かめるための追跡可能性として捉えます。個別の機能名や方式を覚えるより、記録・責任・時系列のつながりが検証にどう寄与するかを、問題の文脈に沿って丁寧に見ます。

確認ポイント

• 出来事の発生から確認まで、経緯を追える材料が連続しているか
• 記録と実際の処理や判断を結び付けて確かめられるか
• 後から確認する人が、根拠の所在と確認範囲を把握できるか

正解

ア

解説

情報システムの可監査性とは、コントロールが有効に機能しているかを監査できるよう、情報システムが設計・運用されている性質です。したがって正解はアです。

理由

可監査性は、情報システムに組み込まれたコントロールの有効性を、監査によって確認できる状態を指します。設問のアは、コントロールを監査できるように情報システムが設計・運用されていることを述べており、この定義に一致する。

比較

イはシステム監査人の能力、ウは監査証拠や監査報告書の品質、エは情報システム部門からの協力体制を説明している。いずれも監査を支える要素ではあるが、情報システムそのものの可監査性を説明するものではありません。

選択肢ア（正解）

これは正解だよ。コントロールの有効性を監査できるように、情報システムが設計・運用されていることは、システム上の活動や記録を後から確認できる状態を表している。これは情報システムの可監査性そのものの説明である。

選択肢イ

これは不正解だよ。システム監査人が監査目的に合致した有効な手続を行える能力をもっていることは、監査人の専門能力や職務遂行能力に関する説明である。情報システムが監査可能に設計・運用されている性質とは異なる。

選択肢ウ

これは不正解だよ。情報システムから得た監査証拠の十分性と、監査報告書の完成度が保たれていることは、監査証拠や報告書の品質に関する説明である。システム自体の可監査性を直接示す内容ではない。

選択肢エ

これは不正解だよ。情報システム部門の積極的な協力が得られることは、監査を円滑に進めるための組織的な協力体制を示している。協力の有無は、情報システムが監査可能に設計・運用されていることとは別の事項である。

学習のポイント

可監査性は監査人の能力ではなく、システム側の設計・運用の性質として捉える。