令和5年度春期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：リスクに合わせて監査の力配分を変えよう

リスクに基づく監査計画では、情報システムのリスクはずっと同じではなく、状況によって変わるものだと考えるよ。たとえば、雨が強くなりそうな場所に傘や人手を多めに用意するように、リスクの性質がどう変わるか、その変化が監査にどんな影響を与えるかを見ながら、監査の時間や人員などの資源配分を決めるんだ。

この問題で問われていること

大事なのは、全部の領域に同じだけ監査資源を配ることでも、リスクを完全になくそうとすることでもないよ。変化するリスクを見極めて、重点的に見るべきところへ監査資源を振り分ける計画を立てることが本質だよ。

リスクアプローチ

リスクの大きさや性質が変われば、監査の重点や深さも見直す必要がある。

リスクは変化する\n-> 影響評価\n-> 監査計画へ反映

確認ポイント

• 監査リスクの完全回避は現実的でない。
• 全監査対象への一律資源配分はリスクアプローチに反する。
• リスク特性の変化と影響への留意を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。監査リスクを完全にゼロにする監査計画は現実的ではないんだ。どれだけ丁寧に確認しても、見落としの可能性を完全になくすことはできないよ。たとえば家中を点検しても、小さな合鍵の隠し場所を100%見つけられるとは限らないよね。だから監査では、リスクを許容できる低い水準に抑える計画を立てるのが現実的なんだ。

選択肢イ

これは間違いだよ。リスクの大小に関係なく全員に同じだけ監査資源を配るのは、リスクアプローチと逆なんだ。たとえば、現金を扱う窓口と、ほとんど重要情報を持たない掲示板を同じ時間だけ調べるのは効率が悪いよね。危ないところ、影響が大きいところに多めに時間や人を使うのがリスクアプローチだよ。

選択肢ウ

これは間違いだよ。情報システムリスクを二つに大別する話は、リスクアプローチで監査計画を立てるときの中心ポイントではないんだ。大事なのは『どこがどれくらい危ないか』を見て、監査の力を配分すること。泥棒対策でいうと、玄関と窓の分類を覚えるだけでは足りなくて、実際に壊れやすい窓や人目につかない入口を重点的に見る必要がある、という感じだよ。

選択肢エ（正解）

これは正解だよ。リスクアプローチでは、危なそうな場所を重点的に見るのが基本なんだ。たとえば家の防犯でも、昨日まで安全だった窓が壊れたら、そこを重点的に確認するよね。情報システムのリスクも、環境や使い方の変化で大きくなったり性質が変わったりするから、その変化と影響に注意して監査計画を立てるのが適切だよ。