平成29年度春期 情報処理安全確保支援士 午前Ⅰ 問22

午前I 問22：監査報告書は“見つけたこと”だけでなく“次にどう直すか”も示すよ

監査報告書は、単に「こんな問題がありました」と事実を並べるだけのものではないよ。健康診断で結果だけ渡されるより、「この数値が高いから食生活を見直そう」と言われた方が役に立つよね。同じように、監査報告書ではリスクを下げるために、どんな改善を進めるべきかという方向性も示すんだ。

この問題で問われていること

監査で行う手続や、監査人が意見を述べることと、改善勧告の役割をきちんと区別できるかがポイントだよ。つまり、「調べて判断すること」と「リスクを減らすための改善の方向を示すこと」は役割が違う、と押さえよう。

Audit Recommendation

audit recommendations describe concrete corrective or improvement actions needed to address identified issues

state issue\nstate recommended improvement

確認ポイント

• 問題点の再記述だけでは足りない。
• 改善の方向を具体的に示す。
• 勧告内容を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。改善勧告では、改善の必要性だけでなく、現実的に実行できるかも考える必要があるんだ。たとえば「全部の入口に24時間警備員を100人置こう」と言われても、費用や運用的に無理なら役に立ちにくいよね。実行可能な改善案として示すことが大切だよ。

選択肢イ

これは不正解だよ。監査報告書の改善勧告は、ただの思いつきメモじゃなくて、ちゃんと証拠に支えられた内容を書く必要があるんだ。たとえば防犯チェックで「たぶん裏口の鍵が危ない気がする」と証拠なしに書くのは困るよね。監査でも、確認した記録や事実に基づいて書こう。

選択肢ウ

これは不正解だよ。改善勧告は、監査人が専門的に判断して書くもので、被監査部門の責任者が承認したものだけに限定しないんだ。たとえば泥棒対策の点検で、店長が「それは書かないで」と言ったら危ない窓の指摘を消す、というのはおかしいよね。必要な指摘はきちんと報告するよ。

選択肢エ（正解）

これは正解だよ。監査人は、見つけた問題について被監査部門に事実誤認がないか確認した上で、改善が必要だと判断したことを書くんだ。たとえば店の窓口で「鍵が開けっぱなしでしたよね？」と相手に事実確認してから、「施錠手順を見直しましょう」と提案する感じだよ。勝手な決めつけを避けるのが大事なんだ。