リスクアプローチによる監査とは？りすくあぷろーちによるかんさ
リスクアプローチによる監査とは、限られた監査資源をリスクの高い領域へ重点配分する監査の進め方。影響度と発生可能性、統制の弱さを評価したうえで、監査項目の選定や試査の件数を決める。システム監査基準でも監査計画はこの評価に基づいて策定するものとされ、範囲の決め方を説明する根拠になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
情報システムは対象が広く、すべてを同じ深さで確かめる時間も人員も無い。均等に見れば重要な領域まで浅くなり、監査意見の裏づけが弱くなる。どこが危ないかを先に評価して深さを配分する考え方は、監査を受ける側にとっても「なぜそこを見るのか」を説明できる形になるという利点がある。評価の前提が変われば計画も見直す、という考え方が組み込まれている点も特徴になる。
具体例
経済産業省のシステム監査基準に沿って年度計画を作り、個人データを扱う委託先は取扱量と手作業の多さからリスクを高く見てアクセス権棚卸し記録を全件突合する。変更のほとんど無い社内ポータルは分析的手続きにとどめる。
試験での引っ掛け
リスクが低いと評価した領域を見ないのではなく、手続きを軽くするだけである。逆に全領域を均等に見る方式は網羅的に見えて重要領域が浅くなる。評価を被監査部門の自己評価に委ねると独立性を欠き、評価根拠を調書に残さなければ範囲設定の妥当性を説明できない。
関連用語
出た過去問
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
システム監査基準(平成30年)に基づくシステム監査において,リスクに基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として,適切なものはどれか。
正解：情報システムリスクは常に一定ではないことから,情報システムリスクの特性の変化及び変化がもたらす影響に留意する。
要点：リスクアプローチはリスクの変動を踏まえ資源を重点配分する
リスクアプローチは、リスクの大きい領域に監査資源を重点配分する考え方である。情報システムリスクは技術や事業環境の変化とともに常に変動するため、その特性の変化と影響に留意して監査計画を見直す必要がある。よってエが適切。監査リスクは低減はできても完全な回避はできず、一律の資源配分はリスクアプローチの考え方に反する。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1. システム監査 ＞ (2) システム監査の目的と手順に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。