平成28年度春期 情報処理安全確保支援士 午前Ⅰ 問22

午前I 問22：予備調査は“監査の下見”だよ

システム監査人が予備調査でやることは、いきなり本格的にチェックすることではなく、まず監査対象をよく知ることだよ。たとえば旅行前に地図や交通手段を調べるように、業務の流れ、システムの概要、内部統制の状況、どんなリスクがありそうかを確認して、監査計画に反映するんだ。前回の改善状況を追いかけたり、最終的な監査意見を出したりするのは、この段階の中心ではないよ。

この問題で問われていること

予備調査は、監査計画を作る前に必要な情報を集めて、監査対象を理解するための準備段階だと整理できるかがポイントだよ。

What Happens in the Preliminary Audit Stage

the preliminary audit stage is for understanding the target's overview、 controls、 and risks before defining the detailed audit plan

collect basic information\nunderstand controls\nidentify key risks\nfeed findings into audit planning

確認ポイント

• 予備調査は情報収集段階です。
• 統制状況とリスク把握が中心です。
• 改善フォローと混同しない。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。手順書や実施記録、監査証拠を見て指摘事項をまとめるのは、集めた証拠をもとに監査結果を整理する作業だよ。たとえば、レシートや点検記録を見て「ここが問題ですね」とまとめる感じ。アンケートで人の認識を集める方法とは別物だよ。

選択肢イ（正解）

これは正解だよ。管理者や担当者にアンケートでリスクの認識を聞くのは、みんなが「どこを危ないと思っているか」を集める方法だよ。たとえば、家族全員に「玄関、窓、裏口のどこが泥棒に狙われそう？」と聞いて、防犯上の心配ポイントを洗い出す感じだね。

選択肢ウ

これは不正解だよ。現場を実際に見て改善提案ができそうか確かめるのは、現地確認や実現可能性の確認に近いよ。たとえば、窓に補助鍵を付けられるか実際に見に行くようなもの。リスクについて管理者や担当者がどう感じているかを集める手段ではないんだ。

選択肢エ

これは不正解だよ。担当者にヒアリングして実態を詳しく調べるのは、監査人が直接情報を集めるための基本的な監査手続だよ。たとえば、家の防犯チェックで住人に「鍵はいつ閉めていますか？」と聞くようなもの。リスクの認識を広く集めるアンケート調査とは目的が違うんだ。