平成30年度秋期 情報処理安全確保支援士 午前Ⅰ 問21

午前I 問21：監査サンプリングで“どこまでのズレなら許すか”を決める話だよ

監査で一部だけを抜き出して確認するときは、最初に「このくらいの統制逸脱までなら許容範囲だよ」という基準を決めておくよ。たとえば、箱いっぱいの部品を全部調べられないから一部をチェックする場合に、「不良品が何個までならOKか」を先に決めるイメージだね。この許容できる逸脱の割合は、必要なサンプル数を決める材料になるよ。

この問題で問われていること

ポイントは、監査サンプリングで使う“許容逸脱率”の役割を理解できるかだよ。単にランダムに選ぶ統計的サンプリングの話なのか、調べる対象全体である母集団の話なのかと混同せず、「どこまで統制のズレを許すかを事前に決める基準」だと見分けよう。

Tolerable Deviation Rate

tolerable deviation rate is the maximum acceptable rate of control deviations used in sample sizing

acceptable deviation\nused for sample size

確認ポイント

• 固有リスク×統制リスクの説明ではありません。
• 例外取引全件抽出は統計的サンプリングの定義ではありません。
• 母集団は必要な全データ全体です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正しい説明だよ。許容逸脱率は、「このくらいまでのルール違反なら内部統制はまだ使える」と監査人が考える上限の割合なんだ。たとえば、窓口で本人確認を必ずするルールがあるとして、100件中何件まで確認漏れを許せるか、という目安だね。この目安が厳しいほど、監査人はもっと多くのサンプルを調べる必要があるよ。

選択肢イ

これは間違いだよ。サンプリングリスクは、全部を調べずに一部だけ見たせいで、結論を間違えるかもしれないリスクのことなんだ。たとえば、箱いっぱいのみかんのうち数個だけ見て「全部きれい」と判断したけど、実は下の方に傷んだみかんがあった、みたいな話だね。固有リスクと統制リスクを掛け合わせたものではないよ。

選択肢ウ

これは間違いだよ。統計的サンプリングは、くじ引きのように確率の考え方を使ってサンプルを選び、結果を数字で評価する方法なんだ。特定の怪しい取引を全部拾い上げる方法ではないよ。たとえるなら、全校生徒から公平に何人か選んで調査するのが統計的サンプリングで、「遅刻した人だけ全員集める」のとは別物だよ。

選択肢エ

これは間違いだよ。母集団は、結論を出したい対象となるデータ全体のことなんだ。リスクが高いデータだけを集めたものではないよ。たとえば、店のレシート管理が正しいか確認したいなら、母集団は基本的に確認対象となるレシート全体だよ。その中の怪しそうなレシートだけを母集団とは呼ばないんだ。