平成24年度春期 情報処理安全確保支援士 午前Ⅱ 問25

監査人は相談に乗ってもいいけど、実行役になってはいけないよ

監査人は、会社の状況や現場の事情を見ながら、『この改善案ならちゃんと実行できそうだね』という形にするために、経営者や監査される部門と内容を話し合っても大丈夫だよ。ただし、監査人が自分で改善を進めたり、現場の代わりに決めたりすると、審判がプレイヤーになるようなもの。監査の独立性が崩れてしまうから、そこは避けよう。

この問題で問われていること

監査人としての独立した立場を守りつつ、現場で本当に役立つ改善勧告にするには、どこまで関わってよいかを理解できるかがポイントだよ。

Practical Audit Recommendation

audit recommendations should be made practical through discussion with the auditee while preserving the auditor's independence

discuss for practicality\npreserve auditor independence\ndo not take over implementation

確認ポイント

• 独立性を崩さない。
• 実行可能な勧告へ具体化する。
• 実施責任までは持たない。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。監査で見つけた不備は、被監査部門と事実確認する必要があるんだ。たとえば『裏口の鍵が壊れている』と思っても、実は別の管理手順があるかもしれないよね。秘匿したままだと誤解や事実誤認のまま報告してしまうおそれがあるよ。

選択肢イ（正解）

これは正解だよ。監査人だけで改善策を決めると、現場では使えない提案になることがあるんだ。たとえば店の防犯で、店員の動線を知らない人が『入口を全部ふさごう』と言っても営業できないよね。だから改善勧告の前に、被監査部門と話し合って、実行できて効果もある改善策にするのが適切だよ。

選択肢ウ

これは間違いだよ。監査人は経営者の代わりに最終判断をするわけではないけど、改善にかかる費用や効果を考えずに何でも勧告するのはよくないんだ。たとえば100円の物を守るために100万円の金庫を買えと言うのは現実的じゃないよね。リスクとコストのバランスを考えた改善勧告にすることが大切だよ。

選択肢エ

これは間違いだよ。改善勧告には優先度付けが必要なんだ。家の防犯で例えると、全部の窓や鍵を同じ緊急度で直そうとすると、まず開けっぱなしの玄関を直すべきなのに後回しになるかもしれないよね。監査人は、中立性を保ちつつ、リスクの大きさや影響を見て『どれから直すべきか』を整理するのが大事だよ。