高度情報処理技術者試験・情報処理安全確保支援士試験 令和4年度 春期 午前I 問22

【正解】ア

監査証拠は、管理用ドキュメントとして体裁が整ったものだけに限定されません。アジャイル開発では、プロダクトバックログ、スプリントバックログ、ソースコードの変更履歴、テスト結果、レビュー記録、会議の記録なども、信頼性や関連性を評価した上で監査証拠として利用できます。また、観察、質問、再実施によって得た情報も監査証拠になり得ます。したがって、「体裁が整っているものだけ」と限定するアが適切でない記述です。

イは適切です。第三者の保証報告書について、対象範囲、作成者の独立性、信頼性などを評価し、依拠できると判断した場合には、重複する現地調査を省略できます。

ウは適切です。予備調査では、監査対象の業務、システム、管理状況などを把握し、その結果を本調査の範囲や監査手続の決定に役立てます。

エは適切です。一つの証拠だけでは判断を誤る可能性があるため、通常は、文書閲覧、質問、観察、照合、再実施など複数の監査手続を組み合わせます。

【ポイント】 監査証拠には、文書だけでなく、電子記録、観察結果、質問への回答なども含まれます。 証拠は、監査目的との関連性、十分性、信頼性を踏まえて評価します。 「特定の形式だけが証拠になる」という限定的な表現には注意が必要です。