平成26年度春期 情報処理安全確保支援士 午前Ⅰ 問21

システム監査人の責任範囲を押さえよう

システム監査人は、監査対象のシステムを実際に運用したり、改善を実行したりする担当者ではないよ。たとえるなら、レストランの衛生チェックをする検査員のような立場だね。検査員は厨房を見て問題点を指摘し、結果を報告するけれど、実際に掃除をしたり運用ルールを直したりするのはお店側の責任だよ。システム監査人も同じで、適切な監査手続を行い、その結果をもとに監査意見をまとめて表明することに責任を負うんだ。改善を実施する責任者と、監査人の責任を混同しないようにしよう。

この問題で問われていること

監査人は『チェックして意見を述べる人』であり、被監査部門や経営者は『運用や改善を実行する人』だよ。この役割分担をきちんと切り分けて理解できるかが問われているよ。

Responsibility of the System Auditor

the system auditor is responsible for conducting appropriate audit procedures and for the resulting audit opinion、 not for operating or directly improving the system

perform audit procedures appropriately\nform and express an audit opinion\nnot the owner of system operation\nnot the direct executor of improvements

確認ポイント

• 監査人は意見表明に責任を持つ。
• 運用責任者と混同しない。
• 改善実施責任は別主体だと整理する。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。監査結果を外部に公表するかどうかは、経営者など組織の責任者が判断することなんだ。監査人が勝手に外へ話すのは、病院の検査担当者が患者本人や責任者を通さず結果を外に言いふらすようなもので、役割を超えているよ。

選択肢イ

これは不正解だよ。監査対象システムを管理するのは、監査人ではなくそのシステムを運用している部門の役目なんだ。たとえるなら、先生がテストを採点するからといって、生徒のノート管理まで先生の責任にはならない、という感じだよ。

選択肢ウ

これは不正解だよ。監査で指摘された問題を直すのは、監査された側の仕事なんだ。監査人は『ここ、鍵が壊れていて危ないよ』と伝える人であって、実際に鍵を交換する修理担当ではないよ。

選択肢エ（正解）

これは正解だよ。監査人が責任を負うのは、自分が調べた結果にもとづいて監査報告書に書いた『監査意見』なんだ。たとえるなら、点検員が『この建物はここが危ないです』と報告書に書いたなら、その判断の根拠や内容には点検員自身が責任を持つ、ということだよ。