情報処理安全確保支援士試験 令和7年度 秋期 午前II 問25

【正解】エ

リスク評価に基づく監査計画は、策定時の状況に固定されるものではありません。法令、事業、組織、技術、脅威などの組織体内外の環境が変化すれば、監査対象のリスクの大きさや優先順位も変わります。その変化が相当程度である場合は監査計画を見直し、監査範囲、実施時期、要員や時間などの監査資源、監査方法を必要に応じて変更します。したがって、エが適切です。

アの監査リスクを完全に回避するは誤りです。限られた時間や人員の中で、全ての不備を必ず発見することはできません。正しくは、重要なリスクを発見できず監査目的を達成できないという監査実施に係るリスクを、合理的に低い水準まで抑えるように計画します。 イの各監査対象へ均等に資源を配分するは誤りです。リスク・アプローチとは、リスクの影響や発生可能性を評価し、重要な領域へ人員、時間、予算などを重点的に配分して、監査の有効性と効率性を高める考え方です。 ウの統制リスクと残存リスクの二つに大別するは誤りです。監査対象に対するリスクは、コントロールがないと仮定した固有リスク、コントロールが機能せず防止・発見・是正できない統制リスク、コントロール後にも残る残存リスクの三つに分けられます。

【ポイント】 システム監査に係るリスクは、監査対象に対するリスクと監査実施に係るリスクに分けて捉えます。 リスク・アプローチは、全体を評価した上で高リスク領域に重点を置く方法です。 大きな環境変化があれば、策定済みの監査計画も適時に見直します。