高度情報処理技術者試験・情報処理安全確保支援士試験 令和2年度 秋期 午前I 問22

【正解】ア

アは適切ではありません。監査証拠として利用できるかどうかは、管理用ドキュメントとして体裁が整っているかだけで決まるものではありません。アジャイル開発では、プロダクトバックログ、ユーザーストーリー、ソースコードの変更履歴、テスト結果、会議記録などが電子的かつ逐次的に作成されます。監査目的との関連性や証拠としての信頼性が確保されていれば、これらも監査証拠として利用できます。

イは適切です。第三者の保証報告書について、その対象範囲、作成者の能力と独立性、内容などを評価し、監査目的に照らして依拠できると監査人が判断した場合は、委託先への現地調査を省略できます。

ウは適切です。予備調査は、本調査に先立って監査対象の業務、情報システム、管理状況などを把握し、監査の重点や具体的な手続を決めるために実施します。その結果を踏まえて、十分かつ適切な証拠を集める本調査を行います。

エは適切です。一つの監査目的についても、資料の閲覧、担当者への質問、現場の観察、処理の再実施など、複数の監査手続を組み合わせることで、監査証拠の信頼性を高めます。

【ポイント】 監査証拠の「十分性」は証拠の量を、「適切性」は関連性や信頼性といった質を表します。 証拠は文書だけに限定されず、記録、観察結果、質問への回答、再実施の結果なども対象になります。