基本情報技術者 2012年 春期 午前（科目A） 問60

監査証拠と監査資料【午前解説】

正解の理由

解法ステップ

1. 監査証拠の定義（事実を裏付ける資料で客観性・信頼性が重要）を確認する。
2. 各選択肢が「事実を直接示すか」「監査人の作業・結論か」を分類する。
3. 被監査部門が作成・保管した記録（一次資料）は証拠性が高く、監査人作成文書は補助資料と判断する。
4. 電子的記録の場合は原本性・改ざん防止・保存状況で信頼性評価を行う。

選択肢別の誤答解説

• ア: システム監査チームが監査意見を取りまとめるためのミーティングの議事録
  • 誤り。監査チーム内部の議事録は作業記録（監査調書／ワーキングペーパー）であり、被監査部門の事実を直接示す一次証拠ではない。監査手続の証跡としては有用だが、監査証拠そのものとは区別する。
• イ: システム監査チームが監査報告書に記載した指摘事項
  • 誤り。監査報告書は監査人の結論や意見であり、指摘事項は結論や要約であって裏付け資料ではない。報告書作成の根拠となる証拠が別途必要である。
• ウ: システム監査チームが作成した個別監査計画書
  • 誤り。監査計画書は監査手続や範囲を示す計画文書であり、事実を立証する証拠ではない。計画書自体は業務の有無や実施状況を示さない。
• エ: システム監査チームが被監査部門から入手したシステム運用記録
  • 正解。被監査部門が日常的に作成・保管している運用記録は、対象事象の発生や操作状況を示す一次的かつ客観的な証拠である。

よくある誤解

• 「監査報告書に書かれた指摘＝監査証拠」と誤解しやすいが、報告書は監査人の結論であり裏付けとなる証拠そのものではない。
• 「監査チームの議事録や計画書は証拠になる」と考えがちだが、それらは監査の作業資料であり、被監査部門の事実を示す一次証拠とは区別する必要がある。
• 電子的な運用記録は容易に改ざんできると思い込むが、タイムスタンプやハッシュ、アクセスログ等で原本性を検討すれば信頼性を確保可能である。

補足コラム

• 監査証拠の評価は「十分性（量）」と「適切性（質）」の双方を考慮することが重要です。十分な量があっても信頼性が低ければ結論は弱くなります。
• 電子記録（ログ、データベース、スナップショット等）の証拠性を高める手法：タイムスタンプ、ハッシュ値の保存、アクセス制御の記録、バックアップの整合性確認。チェーン・オブ・カストディ（証跡管理）を明確にすることも有効です。
• 監査人作成文書（議事録、監査調書、計画書）は監査プロセスの透明性や証拠の整理には不可欠ですが、被監査部門の事実確認は別途入手した運用記録等で裏付ける必要があります。

FAQ