情報セキュリティマネジメント 2018年 春期 午前（科目A） 問40

被監査部門の適切対応【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 設問が問う「被監査部門の適切な行為」は「協力・提供」か「改ざん・自己監査」かを区別する問題と判別する。
2. 各選択肢のキーワードに注目する：
   • 「過去に遡って作成」→ 作成日時改ざんの可能性（不適切）
   • 「監査に先立って送付」→ 協力・情報提供（適切）
   • 「自らチェックリストを作成」→ 自己監査化（不適切）
   • 「自ら監査テーマを設定」→ 監査独立性の侵害（不適切）
3. 監査の基本原則（独立性、証拠の真正性、協力）と照らし合わせ、最も妥当な選択肢を選ぶ。

選択肢別の誤答解説

• ア: 監査部門から提出を要求された証憑の中で存在しないものがあれば、過去に遡って作成する。
  → 不適切。存在しない証憑を後から作る行為は証拠の改ざんです。監査ではオリジナルの記録や変更履歴が重要であり、改ざんは法的・社内規程上問題になります。欠落があれば「存在しない旨」を説明し、代替資料や事実経緯を提供するのが正しい対応です。
• イ: 監査部門から要求されたアンケート調査に回答し、監査の実施に先立って監査部門に送付する。
  → 適切。監査部門が事前に情報を集めるためのアンケートに誠実に回答し提出することは、監査の円滑化と効率化につながります。回答は正確かつ裏付け可能な内容にすることが重要です。
• ウ: システム監査で調査すべき監査項目を自ら整理してチェックリストを作成し、それに基づく監査の実施を依頼する。
  → 不適切。被監査部門が自ら監査項目を決めると、監査の独立性と客観性が失われる恐れがあります。被監査部門からの提案や不具合の指摘は歓迎されますが、監査計画の最終決定は監査部門側が行うべきです。
• エ: 被監査部門の情報システムが抱えている問題を基にして、自ら監査テーマを設定する。
  → 基本的に不適切。問題点を報告して監査の検討材料とすることは可能ですが、監査テーマの設定は監査部門の職責です。被監査部門が一方的に設定するのは監査の独立性を損ねます。

よくある誤解

• 「監査に協力する＝監査部門の指示に全部従うこと」ではない。
  → 協力は必要ですが、不明点や不当な要求があれば監査部門と確認する権利があります。正しい手続きを踏むことが大切です。
• 「事前に資料を揃えておけば何でも良い」わけではない。
  → 資料は改ざんなく、元の証憑やログなど裏付けできる形で提出する必要があります。後から作成した資料は信頼されません。

補足コラム

• 監査の連絡があったら、まず窓口（監査担当者または総務）の設定。
• アンケートや要求資料は期限を確認し、提出前に上長または内部管理者が目を通す。
• 欠けている記録がある場合は、改ざんせず「記録が残っていない」理由（保存期間切れ、システム移行時の消失など）と代替資料を説明書で添付する。
• 監査後の指摘は、改善計画（いつ、誰が、何をするか）としてまとめると好印象です。

FAQ