令和6年度春期 ITストラテジスト 午前Ⅰ 問21

システム監査の関連用語

問題文に登場する「マネジメント」と「コントロール」の用例と、関連する基準の読み分けを準備しましょう。

この問題で問われていること

令和5年版の「システム監査基準」と「システム管理基準」を参照するとき、二つの用語をどの記述と照合できるでしょうか。

システム監査の関連用語

令和5年版の「システム監査基準」と「システム管理基準」を参照するとき、二つの用語をどの記述と照合できるでしょうか。

確認ポイント

• システムの開発・運用・保守に関して、「マネジメント」が使われる記述にはどのようなものがあるでしょうか。
• アクセス管理や変更管理の事例では、「コントロール」という用語がどのように使われているでしょうか。
• 監査を実施する際の手順と、情報システムを管理する際の確認事項は、それぞれどちらの基準で調べられるでしょうか。目次を比較できますか。

正解

ア

解説

添付の公式解答の問21は「ア」。システム監査では，情報システムのガバナンス，マネジメント，コントロールを総合的に点検・評価する。組織として方向性を定めて監督する仕組み，その方向性に沿って計画・実行・管理する活動，リスクに対応する統制という関係で理解すると整理しやすい。

添付の公式解答の問21は「ア」。システム監査では，情報システムのガバナンス，マネジメント，コントロールを総合的に点検・評価する。組織として方向性を定めて監督する仕組み，その方向性に沿って計画・実行・管理する活動，リスクに対応する統制という関係で理解すると整理しやすい。

選択肢ア（正解）

正しい。情報システムのガバナンス，マネジメント，コントロールが，システム監査における総合的な点検・評価の対象となる。ガバナンスは，組織の目的に沿って情報システムの方向性を定め，その取組を監督する仕組みに関わる。

選択肢イ

誤り。法令や規則などの遵守を意味する。監査で確認する重要な観点ではあるが，設問が求める，マネジメント，コントロールと並ぶ対象ではない。

選択肢ウ

誤り。サイバー攻撃などに対して，重要な機能を維持し，影響から回復する能力を意味する。監査で評価し得る能力だが，設問が求める三つの対象の一つではない。

選択肢エ

誤り。運用状況や統制の有効性などを継続的に監視・評価する活動を意味する。マネジメントやコントロールに関わる活動であり，設問が求める，これらと並ぶ対象ではない。

学習のポイント

令和5年版の「システム監査基準」と「システム管理基準」を参照するとき、二つの用語をどの記述と照合できるでしょうか。