令和3年度春期 ITサービスマネージャ 午前Ⅱ 問14

監査の目的と成果の対応を考える

監査の類型を区別するときは、名称の印象で判断せず、その監査が何を達成するために行われ、結果がどのように活用されるのかという目的の観点から整理すると、各内容との対応関係を落ち着いて検討しやすくなります。

この問題で問われていること

問われているのは、監査の類型ごとの本質的な違いを理解しているかどうかです。個々の語句を暗記しているかよりも、監査を実施する目的とその結果が果たす役割を結び付けて考えられるかが検討の中心になります。

視点

監査は、実施すること自体よりも、依頼者や利害関係者のどのような必要に応えるかによって性格が変わります。類型を整理する際は目的を起点にします。そのうえで、監査の結果が関係者に何をもたらすのかを自分の言葉で説明できるか確かめると、理解が深まります。

確認ポイント

• その監査が誰のどのような必要に応えるために行われるのかを考えたか
• 監査の結果がどのように活用されるのかを、目的と結び付けて整理したか
• 名称の印象だけで判断せず、目的の観点から各内容を見直したか

正解

ウ

解説

保証型の監査は、実施した監査手続の範囲内で、情報セキュリティに関するマネジメントやコントロールの適切性について保証を与える。助言型は問題点の指摘や改善提言を行うもので、改善を命令するものではありません。

理由

保証型の監査では、監査手続を実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かについて保証する。監査によって将来のインシデントが発生しないことまで保証するものではありません。

比較

助言型の監査は、情報セキュリティ上の問題点を指摘し、改善を提言する監査です。改善内容を監査人が自由裁量で決めたり、対象組織に命令したりすることを意味しない。

選択肢ア

これは不正解だよ。助言型の監査では、情報セキュリティ上の問題点を指摘し、改善を提言することが目的である。監査人の自由裁量で基準を無関係に扱い、改善提言まで自由に行う監査と定義するのは適切ではない。

選択肢イ

これは不正解だよ。助言型の監査は、監査対象のマネジメントやコントロールの適切な運用に向けて、問題点の指摘や改善提言を行うものである。監査人が改善を命令する監査ではないため、記述が誤っている。

選択肢ウ（正解）

これは正解だよ。保証型の監査は、監査手続を実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査である。保証の範囲を手続実施の限度内としている点も適切である。

選択肢エ

これは不正解だよ。保証型の監査が保証するのは、監査対象の情報セキュリティに関するマネジメントやコントロールの適切性である。監査の結論として、将来インシデントが発生しないことまで保証するものではない。

学習のポイント

保証型と助言型は、目的・監査人の役割・結論の対象範囲で区別する。