ITパスポート試験 令和2年度 公開問題 問41

【正解】エ

システム監査の目的は、情報システムに関するリスクへの対策であるコントロールが、適切に整備され、実際に有効に運用されているかを客観的に確かめることです。そのため、監査を行うシステム監査人には、監査対象の業務を担当する部門から影響を受けない「独立かつ専門的な立場」が求められます。また、監査人の役割はコントロールを自ら構築することではなく、証拠を収集してその有効性を「評価」し、必要に応じて改善を助言することです。したがって、aとbの組合せはエです。

アの「業務に精通した主管部門が構築」は誤りです。主管部門がコントロールを構築すること自体は業務運営上あり得ますが、自らの取組を監査すると客観性が損なわれるため、システム監査人の立場を表していません。

イの「業務に精通した主管部門が評価」は誤りです。評価という行為は正しいものの、監査人は監査対象から独立していなければなりません。主管部門による確認は、自己点検や内部統制の日常的な確認に当たります。

ウの「独立かつ専門的な立場が構築」は誤りです。立場は適切ですが、監査人がコントロールの構築まで担当すると、自ら作った仕組みを自ら評価することになり、独立性が損なわれます。

【ポイント】 システム監査の中心は、独立した立場から行う客観的な評価です。 コントロールの整備・運用は経営者や主管部門、監査はシステム監査人という役割分担を押さえましょう。