平成24年度秋期 情報処理安全確保支援士 午前Ⅰ 問22

午前I 問22：監査人は“点検する人”であって“直す担当”ではないよ

システム監査人は、レストランでいうと料理を作るシェフではなく、衛生状態や手順をチェックする検査員のような立場だよ。被監査部門の仕事を代わりにやったり、改善策を実際に実行したりする責任はないんだ。監査人の役割は、決められた監査手続をきちんと行い、その結果をもとに「問題があるか」「適切に管理されているか」といった監査意見をまとめて表明することだよ。だから、監査人の責任と、経営者や被監査部門が負う責任を混同しないようにしよう。

この問題で問われていること

監査人は何をチェックし、どこまで責任を持つのかを整理しよう。特に、業務の実行や改善の実施は被監査部門・経営者側の責任であり、監査人は監査手続の実施と監査意見の表明に責任を持つ、という役割分担を押さえるのがポイントだよ。

Responsibility of the System Auditor

the system auditor is responsible for conducting appropriate audit procedures and for forming and expressing an audit opinion、 not for running the operation being audited

perform audit procedures appropriately\nform and express an audit opinion\nnot the executor of business operations\nnot the direct owner of corrective action

確認ポイント

• 監査人は監査手続と意見表明に責任を持つ。
• 業務運営や改善実施の責任者とは別です。
• 責任主体を切り分けて考える。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。監査結果を外に公表するかどうかは、会社のルールや経営者側の判断に関わる話で、監査人が勝手にやる責任ではないんだ。たとえるなら、健康診断をした先生が、本人の許可なく結果を町内に貼り出すようなものだよ。

選択肢イ

不正解だよ。監査人はシステムをチェックする人であって、システムを日々管理する人ではないんだ。たとえるなら、消防点検の人は消火器の置き場所や期限を確認するけれど、毎日ビルを管理する管理人さんではない、という感じだよ。

選択肢ウ

不正解だよ。監査報告会で指摘された問題点を直すのは、基本的に監査を受けた側の責任なんだ。監査人は『ここが危ないよ』と知らせる役で、実際に窓の鍵を直すのは家の持ち主、というイメージで覚えよう。

選択肢エ（正解）

正解だよ。システム監査人の大事な責任は、調べた結果をもとに『このシステムや管理は適切か』という監査意見を監査報告書にまとめることなんだ。たとえるなら、家の防犯チェックをした専門家が『この鍵や窓の管理は大丈夫か』を報告書で判断して伝える、という役割だよ。