システム監査技術者試験 令和6年度 秋期 午前II 問4

【正解】イ

マネジメントの視点では、ガバナンスによって示された方針や目標を実現するために、組織が計画を立て、実施し、状況を点検して改善しているかを検証します。IT投資管理や情報セキュリティ対策が、組織全体でPlan、Do、Check、ActのPDCAサイクルに基づいて継続的に管理されているかというイの内容は、資源やリスクを適切に管理するマネジメントの視点に該当します。

アは誤りです。これは「ガバナンスの視点」に関する説明です。経営戦略とIT戦略の整合、新技術の活用方針などは、組織の方向付けや価値創出を経営層が監督する事項です。

ウは誤りです。これは「コントロールの視点」に関する説明です。承認手続や異常アクセス発生時の対処・報告は、個々のリスクを抑えるために業務の中に設けられた具体的な統制活動です。

エは誤りです。これも「コントロールの視点」に関する説明です。業務プロセスにリスク対応の統制が組み込まれ、設計どおりに機能しているかを検証する内容だからです。

【ポイント】 ・ガバナンスは、経営による方向付け、評価及び監督の視点です。 ・マネジメントは、方針に従って計画、実行、評価及び改善を行う視点です。 ・コントロールは、承認、照合、アクセス制御などの具体的な統制が機能しているかという視点です。