平成29年度秋期 情報処理安全確保支援士 午前Ⅰ 問21

監査人は“手を動かす人”ではなく“アドバイスする人”だよ

フォローアップで「改善が予定より遅れている」と分かったとき、システム監査人が自分で作業を指示したり、改善チームの一員として動いたりしてはいけないよ。たとえるなら、審判が試合中に選手としてプレーしてしまうようなもの。監査人は独立した立場を保ちながら、「遅れを取り戻すには、こんな進め方を検討するとよいですよ」と責任者に助言する役割なんだ。

この問題で問われていること

フォローアップ時のシステム監査人は、改善を実行する責任者ではなく、独立した立場から責任者へ助言する人だと整理できるかがポイントだよ。

Auditor's Role in Follow-Up Delays

when follow-up shows that corrective action is delayed、 the auditor should advise the responsible department on ways to recover the schedule without taking over the execution

do not command execution directly\ndo not join the corrective work itself\nadvise the responsible department\nmaintain auditor independence

確認ポイント

• 監査人は助言する立場です。
• 改善活動を自ら実行しない。
• 独立性を保ってフォローアップする。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。監査人は問題点を伝えたり助言したりはできるけど、「この対策を実施しなさい」と命令する立場ではないんだ。たとえるなら、家の防犯チェックをした人が「この窓の鍵は弱いですよ」と言うのはOKだけど、家主に工事内容を命令するのは行き過ぎ、ということだよ。

選択肢イ

これは不正解だよ。システム監査人は、遅れている改善を見つけたら見守って助言する立場で、実際の改善作業に参加する人ではないんだ。たとえるなら、健康診断の先生が「運動した方がいいですよ」と言うのはOKだけど、本人の代わりに毎日ランニングするのは役割が違う、という感じだよ。

選択肢ウ（正解）

これは正解だよ。システム監査人は、改善が遅れていると分かったら、被監査部門の責任者に「こういう進め方を考えるとよさそうです」と助言するのが適切なんだ。たとえるなら、防犯アドバイザーが家主に「合鍵の管理を見直そう」「窓の鍵を強化しよう」とアドバイスする立場で、実際に鍵を替えるか決めて動くのは家主、ということだよ。

選択肢エ

これは不正解だよ。人を増やすかどうかを決めるのは監査人ではなく、被監査部門や人事など組織側の仕事なんだ。たとえるなら、レストランの衛生チェックをする人が「人手を増やせ」と人事に要求するのではなく、「改善が遅れているので対応を検討してください」と伝える立場、という感じだよ。