指摘事項とは？

指摘事項の意味

監査で発見された問題点のうち、重要性の観点から報告すべきと判断した事項。事実、判断の根拠となる基準、リスク（影響）を明示して記載する。

指摘事項の具体例

「退職者のアカウントが3件残存していた」という事実に、社内規程の該当条項と不正アクセスのリスクを添えて記載する。

指摘事項は試験でどう引っ掛けられる？

報告書に記載する前に、意見交換会などで被監査部門と事実確認を行うのが原則。事実誤認のまま報告すると報告書全体の信頼を損なう。

指摘事項と関連する用語

• 改善勧告
• 意見交換会
• 重要性（監査上の重要性）

指摘事項が出た過去問

• システム監査における監査証拠の説明のうち,適切なものはどれか。

  正解：監査人が収集又は作成する資料であり,監査報告書に記載する監査意見や指摘事項は,その資料によって裏付けられていなければならない。

  要点：監査証拠は監査意見と指摘事項を裏付ける収集・作成した資料

  監査証拠は、監査意見や指摘事項の裏付けとなる事実の集まりであり、被監査部門から入手した資料に限らず監査人自身が作成した記録も含まれる。監査報告書に記載する結論は、十分かつ適切な監査証拠に支えられていなければならない。監査証拠は監査調書として一定期間保存され、報告後すぐに処分するものではない。

  出典：平成29年度 春期 システム監査技術者試験 am2 問2（IPA）

• 内部監査として実施したシステム監査で,問題点を検出後,改善勧告を行うまでの間に監査人が考慮すべき事項として,適切なものはどれか。

  正解：監査人からの一方的な改善策の提案は実行不可能なものとなるおそれがあるので,改善勧告の前に,改善策について被監査部門との間で協議する場をもつ。

  要点：改善勧告は実行可能性を確かめるため事前に被監査部門と協議する

  改善勧告は実行されて初めて意味を持つため、現場の実情を踏まえた実現可能な内容にする必要がある。そのため勧告を確定する前に被監査部門と協議し、改善策の妥当性や実行可能性をすり合わせることが望ましい。これは監査人の独立性を損なうものではなく、事実誤認の防止にもつながる。指摘事項は重要度に応じて優先度を付けるのが通例である。

  出典：平成30年度 春期 システム監査技術者試験 am2 問4（IPA）

• 提案依頼書（RFP）によるベンダ選定手続に関するシステム監査で判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

  正解：RFP発行後、問合せをしてきたITベンダだけに対して追加資料を提供していた。

  要点：RFP調達では全ベンダへ同一情報を提供する公平性が必須

  RFPによる調達では、応札する全ベンダに同一の情報を同一のタイミングで提供する公平性が要求される。問い合わせてきたベンダだけに追加資料を渡すと情報格差が生じ、選定の公正性が損なわれるため、指摘事項として報告すべきである。あるべき業務モデルの添付、希望ベンダを集めた説明会、予算範囲の明示は、いずれも全社に等しく開示される限り不適切とはいえない。

  出典：令和2年度 10月 システム監査技術者試験 am2 問8（IPA）

• データベースの直接修正に関して、監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、特…

  正解：更新ログを加工して、アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。

  要点：直接修正はログ改ざんによる証跡隠蔽が最も重大な統制上の不備

  特権IDによるデータ直接修正は、アプリケーションの統制を迂回する高リスク作業であり、申請・承認と作業記録の保全によって事後追跡できることが統制の要である。更新ログを加工して通常処理を装うと、直接修正の事実そのものが隠蔽され、証跡の完全性が失われる。これは統制の無効化に当たるため指摘事項となる。

  出典：令和2年度 10月 システム監査技術者試験 am2 問9（IPA）

• プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきもの…

  正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

  要点：個人情報管理台帳は定期的および変更の都度の見直しが必要

  個人情報管理台帳は、保有する個人情報の現況を正確に反映していなければ、リスク分析にも安全管理措置の検討にも使えない。新規取得のときだけ見直す運用では、利用目的の変更、保管場所や委託先の変更、保管期限到来による廃棄などが反映されず、台帳が実態と乖離する。少なくとも定期的な見直しと、変更が生じた都度の更新が必要であり、指摘事項に当たる。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問6（IPA）