システム監査とは？

システム監査の意味

組織の情報システムが安全性・信頼性・効率性などの観点から適切に管理・運用されているかを、独立した立場の監査人が第三者的に検証・評価し、改善を促す活動。

システム監査の具体例

情報システム部門とは独立した監査人が、アクセス権限の管理状況やバックアップ体制が適切かを検証し、問題があれば改善を勧告する。

システム監査は試験でどう引っ掛けられる？

目的は不正の摘発や担当者の処罰ではなく、統制の適切性を評価して改善を促すこと。また監査人自身が改善策を設計・実装してしまうと独立性を失う。評価する立場と実施する立場の切り分けが問われる。

システム監査と関連する用語

• システム監査人
• システム監査基準

システム監査が出た過去問

• アクセス制御を監査するシステム監査人が採った行動のうち，適切なものはどれか。

  正解：データに関するアクセス制御の管理状況の確認

  要点：監査人は独立の立場で確認・評価し運用には関与しない

  システム監査人は、被監査部門から独立した立場で、統制が適切に整備・運用されているかを評価する役割を担う。したがって管理状況を確認するのは適切だが、管理表を作成したり方針を制定したり運用そのものを行うのは、被監査側の業務に踏み込むことになり独立性を損なう。

  出典：平成28年度 春期 基本情報技術者試験 午前 問59（IPA）

• “システム監査基準”における，組織体がシステム監査を実施する目的はどれか。

  正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。

  要点：システム監査はコントロールを評価しITガバナンスに寄与する

  システム監査基準では、情報システムに関わるリスクに対するコントロールが適切に整備・運用されているかを評価し、改善へつなげることを目的としている。その結果として、組織のITガバナンスの実現に寄与することが位置付けられている。経営戦略の策定や技術力の向上そのものは監査の目的ではない。

  出典：平成28年度 春期 基本情報技術者試験 午前 問60（IPA）

• システム監査人が実施するヒアリングに関する記述のうち、最も適切なものはどれか。

  正解：ヒアリングで被監査部門から得た情報を裏付けるための文書や記録を入手するよう努める。

  要点：ヒアリング内容は文書・記録で裏付ける。監査人は指示をしない

  システム監査人はヒアリングで得た説明をそのまま鵜呑みにせず、証拠となる文書や記録を入手して裏付けを取る必要がある。監査意見は客観的な監査証拠に基づいて述べるものだからである。監査人は独立した立場で評価・助言を行うので、その場で改善を指示するといった実施側への関与は避けなければならない。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問59（IPA）

• システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的として，最も適切なものはどれか。

  正解：監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するため

  要点：報告書原案の意見交換は事実誤認の確認が目的

  監査報告書の原案について被監査部門と意見交換する目的は、記載した指摘事項や改善勧告の前提となる事実に誤りや誤解がないかを確かめることです。事実誤認のある報告は説得力を失い、改善にもつながりません。監査人の独立性を保つ必要があるため、被監査部門の承認を得たり、意見交換で調査に代えたりすることは適切ではありません。

  出典：平成29年度 春期 基本情報技術者試験 午前 問58（IPA）

• システム監査の実施体制に関する記述のうち，適切なものはどれか。

  正解：監査依頼者が監査報告に基づく改善指示を行えるように，システム監査人は監査結果を監査依頼者に報告する。

  要点：監査人は依頼者に報告し、独立性を保つことが原則

  システム監査人は、監査依頼者（通常は経営者など）から依頼を受けて監査を実施し、その結果を依頼者に報告します。依頼者はこの報告に基づいて被監査部門へ改善を指示します。監査人には独立性と客観性が求められるため、被監査部門のメンバで監査チームを組むことや、判断を他の専門家任せにすることは認められません。

  出典：平成29年度 春期 基本情報技術者試験 午前 問60（IPA）