令和7年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

「危なそうなところ（リスクの高い場所）」を狙い撃ちして検査する

リスク・アプローチは、すべての監査対象を一律に調べるのではなく、事前にリスクを評価して「ここが一番危なそう」という部分に力を入れて重点的に監査する手法だよ。また、会社の状況が変われば監査の計画も柔軟に見直すんだ。

この問題で問われていること

「全部を同じように調べる」「リスクをゼロにする」といった一律で完璧主義的な選択肢は誤り。リスクの大きさに応じてメリハリをつけて調査し、状況の変化に合わせて計画も変える、という現実的な姿勢を選ぼう。

リスク・アプローチによる監査計画

監査では、リスクの高い対象に重点を置き、環境や業務の変化によって前提が変われば計画も再検討する。監査リスクをゼロにする発想や、一律配分の発想とは相容れない。

リスク評価 -> 重点配分 -> 実施
環境変化あり -> 計画見直し

確認ポイント

• 全監査対象を均等に扱う説明は、リスクベースかどうかを疑う。
• “完全回避” のような極端な表現は監査の現実に合うかを考える。
• 組織内外の変化でリスクが動いたとき、計画も動くかに注目する。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。監査は、泥棒が絶対に入れない家を作るというより、限られた時間と人手で『入りやすそうな窓やドアを重点的に確認する』ものなんだ。見逃しの可能性をゼロにすることは現実的ではないので、『完全に回避する』が言い過ぎだよ。

選択肢イ

不正解だよ。リスク・アプローチは、全部の窓を同じ時間だけ見るのではなく、『裏口の鍵が壊れていそう』『人通りが少なくて狙われそう』な場所を重点的に見る考え方なんだ。だから、監査資源を均等に配るのではなく、リスクが高いところに多めに使うよ。

選択肢ウ

不正解だよ。監査対象に対するリスクは、ざっくり言うと『もともと危ないリスク』『チェックや対策が効かないリスク』『対策後も残るリスク』のように考えるんだ。選択肢は統制リスクと残存リスクの二つだけとしていて、固有リスクの考え方が抜けているので違うよ。

選択肢エ（正解）

正解だよ。たとえば店の周りに急に空き巣が増えたら、前に作った防犯チェック計画のままでは不十分かもしれないよね。システム監査でも、会社の内外の状況が変わってリスクが大きく変わったなら、監査計画を見直して、必要なら変更するのが適切だよ。