監査計画とは？

監査計画の意味

システム監査を実施するにあたり、監査の目的、対象範囲、実施時期、監査手続きなどをあらかじめ定める計画。中長期的な監査計画と、個別の監査ごとの計画がある。

監査計画の具体例

「今年度は主要な基幹システムのアクセス管理を重点的に監査する」という方針のもと、対象システムと実施時期を定めた計画を作成する。

監査計画は試験でどう引っ掛けられる？

一度決めたら変えないものではなく、状況の変化に応じて見直す。またリスクの大きい領域へ重点的に資源を配分するのが原則で、全対象を一律・網羅的に調べる計画が正解ではない点に注意。

監査計画と関連する用語

• 予備調査
• 本調査

監査計画が出た過去問

• 社内のISMS活動の一環として、サーバのセキュリティについて監査を行うことになった。最初に実施することとして、適切なものはどれか。

  正解：監査の計画書を作成する。

  要点：監査はまず計画書の作成から始める

  監査は、目的・範囲・対象・手続・日程・体制をあらかじめ定めた計画に基づいて進める。何をどの基準で確かめるかを決めずに現場の調査を始めると、確認漏れや評価のばらつきが生じるため、まず監査計画書の作成から着手する。

  出典：平成26年度 秋期 ITパスポート試験 問83（IPA）

• システム監査に必要なプロセスのうち、システム監査人が実施するものはどれか。

  正解：監査対象に関する予備調査

  要点：監査人は予備調査を行う側、改善は被監査部門の役割

  システム監査人の役割は、独立した立場から監査計画を立て、予備調査で対象の実態を把握し、本調査で証拠を集めて評価し、報告書をまとめて依頼者に提出することである。運用ルールの整備や指摘事項の改善は被監査部門が行う業務であり、報告書を受け取るのは監査を依頼した経営者側である。

  出典：平成26年度 春期 ITパスポート試験 問50（IPA）

• システム監査では、監査部門だけではなく被監査部門にも相応の役割がある。被監査部門が実施するものはどれか。

  正解：監査対象システムに関する運用ルールなどの説明

  要点：被監査部門は説明と資料提示で監査に協力する立場

  監査計画の作成や本調査の実施、報告書の作成は、独立した立場である監査人・監査部門の役割である。被監査部門は監査を受ける側として、対象システムの運用ルールや手続を説明し、必要な資料や証拠を提示して監査に協力する立場にある。

  出典：平成29年度 秋期 ITパスポート試験 問50（IPA）

• システム監査の業務は、監査計画の立案、監査証拠の入手と評価、監査手続の実施、監査報告書の作成、フォローアップのプロセスに分けられる。これらのうち、適切な対策の実…

  正解：フォローアップ

  要点：フォローアップで改善提案の実施状況を確認・指導する

  システム監査の一連の流れの最後にあるフォローアップは、報告書で示した改善提案が実際に実施されているかを確認し、必要に応じて助言や指導を行うプロセスである。指摘して終わりでは改善につながらないため、実施状況を追跡することに意味がある。ただし監査人は独立性を保つ立場なので、改善作業そのものを代行するわけではない。

  出典：令和1年度 春期 ITパスポート試験 問55（IPA）

• システム監査の手順に関して、次の記述中の[a]、[b]に入れる字句の適切な組合せはどれか。 システム監査は、[a]に基づき[b]の手順によって実施しなければなら…

  正解：a: 監査計画　b: 予備調査、本調査、評価・結論

  要点：システム監査は監査計画に基づき予備調査→本調査→評価の順

  システム監査は、監査人が策定した監査計画に基づいて実施し、予備調査で対象の概要と実態を把握し、本調査で証拠を収集して事実を確認し、その結果を評価して結論を導く流れをとる。結合テストなどの区分は開発工程のテストであり、監査の手順ではない。

  出典：令和3年度 秋期 ITパスポート試験 問38（IPA）