ITパスポート試験 令和6年度 公開問題 問48

【正解】イ

システム監査では、監査対象が適切に管理されているかを評価するために、判断尺度となる基準を設定します。システム管理基準は代表的な判断尺度ですが、監査の目的やテーマによって確認すべき事項は異なります。そのため、情報セキュリティに関する規格、法令、業界の指針、社内規程、契約など、システム管理基準以外の適切な基準を使用することもできます。監査テーマに応じて判断尺度を選定できるとするイが正解です。

アの説明は誤りです。システム管理基準の全項目を、どの監査でも機械的に使用する必要はありません。監査目的、対象範囲、リスクなどを踏まえ、必要な項目を選定して具体的な監査手続に落とし込みます。

ウの説明は誤りです。システム管理基準だけに限定すると、個別の法令や契約、特定分野の規格など、監査テーマに必要な要件を評価できない場合があります。判断尺度は監査テーマに適したものを用います。

エの説明は誤りです。アジャイル開発であっても、システム管理基準を使用できます。開発手法に応じて評価項目や確認方法を調整する必要はありますが、アジャイル開発だから使用してはいけないという決まりはありません。

【ポイント】 システム監査人は、客観的な判断尺度に基づいて証拠を収集し、評価します。 判断尺度には、法令、規格、社内規程、契約、ガイドラインなども利用できます。 監査の目的と対象範囲に適合する基準を選ぶことが重要です。