情報処理安全確保支援士試験 令和5年度 春期 午前II 問25

【正解】エ

リスクアプローチは、監査対象のリスクを評価し、リスクの高い領域へ監査人員や時間などの限られた監査資源を重点的に配分する考え方です。情報システムを取り巻く脅威、技術、業務、組織及び法令などは変化するため、情報システムリスクも一定ではありません。監査計画の策定時には、リスクの特性がどのように変化したか、その変化が組織や社会へどのような影響を及ぼすかに留意する必要があるので、エが適切です。

アの説明は誤りです。監査手続を適切に実施しても、重要な不備を見逃して誤った結論を出す監査リスクを完全にゼロにはできません。リスクを合理的に低い水準まで抑えるように監査計画を策定します。

イの説明は誤りです。全ての監査対象へ一律に資源を配分する方法は、リスクアプローチの考え方と反対です。発生可能性や影響度が高い領域を優先し、監査の有効性と効率性を高めます。

ウの説明は誤りです。情報システムリスクを記述された二つだけに大別することは、リスクに基づく監査計画で考慮すべき事項を示したものではありません。監査では、監査目的や組織の状況を踏まえ、多様なリスクの発生可能性、影響度及び変化を評価します。

【ポイント】 リスクアプローチでは、「何が起こり得るか」「どの程度起こりやすいか」「影響はどの程度か」を評価します。 一度行った評価を固定せず、環境やシステムの変化に応じて監査計画を見直すことが重要です。