指摘事項とは？

指摘事項の意味

監査で発見された問題点のうち、重要性の観点から報告すべきと判断した事項。事実、判断の根拠となる基準、リスク（影響）を明示して記載する。

指摘事項の具体例

「退職者のアカウントが3件残存していた」という事実に、社内規程の該当条項と不正アクセスのリスクを添えて記載する。

指摘事項は試験でどう引っ掛けられる？

報告書に記載する前に、意見交換会などで被監査部門と事実確認を行うのが原則。事実誤認のまま報告すると報告書全体の信頼を損なう。

指摘事項と関連する用語

• 改善勧告
• 意見交換会
• 重要性（監査上の重要性）

指摘事項が出た過去問

• システム運用業務のオペレーション管理に関する監査で判明した状況のうち、指摘事項として監査報告書に記載すべきものはどれか。

  正解：オペレータが、日次の運用計画を決定し、自ら承認している。

  要点：実施者が自ら承認する状態は職務分掌違反として指摘対象

  内部統制では、実行する担当者と、その内容を承認・確認する者を分ける職務分掌が求められる。オペレータが自分で運用計画を決めて自ら承認する状態は、誤りや不正を牽制する仕組みが働かないため、指摘事項として報告すべきである。他の3つはいずれも記録と確認が適切に行われている望ましい状態である。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問58（IPA）

• システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的として，最も適切なものはどれか。

  正解：監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するため

  要点：報告書原案の意見交換は事実誤認の確認が目的

  監査報告書の原案について被監査部門と意見交換する目的は、記載した指摘事項や改善勧告の前提となる事実に誤りや誤解がないかを確かめることです。事実誤認のある報告は説得力を失い、改善にもつながりません。監査人の独立性を保つ必要があるため、被監査部門の承認を得たり、意見交換で調査に代えたりすることは適切ではありません。

  出典：平成29年度 春期 基本情報技術者試験 午前 問58（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• 外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が…

  正解：委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。

  要点：機密媒体の外部搬送には施錠・封印など物理的保護が必要

  機密情報を含む媒体を外部に持ち出す際は、内容の秘匿と改ざん・すり替えの防止のため、施錠できる搬送容器や封印など物理的な保護策が必要である。段ボール箱に入れただけでは中身を容易に取り出せてしまうため、安全性が確保されておらず指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問59（IPA）

• A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況について、"情報セキュリティ管理基準（平成28…

  正解：バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。

  要点：バックアップは同時被災を避けるため遠隔地に保管する

  バックアップは、災害などで元のシステムが被害を受けても失われない場所に保管する必要がある。稼働中のサーバの近くに置いていては、火災や水害、地震で本体と媒体が同時に失われ、事業継続の目的を果たせない。したがってこの状況は指摘事項に当たる。手順書の整備、復旧試験の定期実施、契約を伴う外部保管はいずれも望ましい実施状況である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問60（IPA）