基本情報技術者 2016年 春期 午前（科目A） 問60

システム監査の目的【午前解説】

正解の理由

解法ステップ

1. 問題文のキーワード「システム監査基準」「組織体がシステム監査を実施する目的」を確認する。
2. 「目的」が統制評価・改善・ガバナンスに関する表現かを探す。
3. 各選択肢を「統制評価（ガバナンス）」「技術的検査」「戦略立案」「生産性評価」のどれに分類できるかで絞り込む。
4. 統制評価・ガバナンスに合致する選択肢を選ぶ（本問ではウ）。

選択肢別の誤答解説

• ア: 自社の強み・弱み、機会・脅威（SWOT）を整理して新たな経営戦略を設定することは経営企画や戦略立案の目的であり、システム監査基準の目的とは異なります。
• イ: 社内ネットワークの脆弱性をテストして環境を整備するのは脆弱性診断・ペネトレーションテスト等のセキュリティ技術的評価であり、監査の「統制評価」という広い目的とは別物です。
• ウ: 情報システムに関するリスクに対するコントロールの整備・運用状況を評価し改善することでITガバナンス実現に寄与する、まさにシステム監査基準の目的を正確に表しています。
• エ: ソフトウェア開発の生産性を客観評価して組織能力を向上させるのはプロセス改善や能力成熟度（例：CMMI等）の目的であり、システム監査の直接的目的ではありません。

よくある誤解

• 「監査＝脆弱性診断」と混同する: 技術的な脆弱性検査は重要ですが、システム監査は統制の有効性評価が中心で、単なる攻撃可能性の検出とは目的が異なります。
• 「経営戦略の立案や生産性向上も監査の目的」と考える: 戦略策定や生産性向上は別の評価・改善活動（経営戦略立案、品質プロセス改善）であり、システム監査の主目的とは異なります。
• 「監査は常に外部の専門家が行う」と思い込む: 内部監査と外部監査があり、組織体が実施する場合は内部監査の位置づけで統制評価を行うことがあります。

補足コラム

• 組織の情報システムに関わるリスクを管理するための統制が適切に設計・運用されているかを評価する。
• 評価結果に基づき改善提言を行い、経営層や関係部門の意思決定に資する。
  また、監査活動はISO/IEC 27001等の情報セキュリティ管理体系や、COBITのようなITガバナンスフレームワークとも関連しますが、技術的チェック（脆弱性診断）とは手法と目的が異なります。

FAQ