情報セキュリティマネジメント 2019年 春期 午前（科目A） 問37

外観上の独立性【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワード「外観上の独立性」の意味を確認する：外部から見て独立しているように見えること。
2. 「独立性」を高める手段は何かを考える：組織上の配置（誰に報告するか、所属はどこか）が直接関係する。
3. 各選択肢を当てはめて比較する：
   • 教育・研修・資格公表は能力や透明性につながるが、独立性の外観を担保する決定的手段ではない。
   • 所属部署の変更は、直接的に利害関係や指揮命令系統を切り離すため外観的独立性に直結する。
4. よって、所属を内部監査部門とする エ を選ぶ。

選択肢別の誤答解説

• ア: システム監査人にITに関する継続的学習を義務付ける。
  → これは監査人の能力向上には有効です。しかし「外観上の独立性」すなわち第三者から見た独立性を担保する措置ではありません。能力と独立性は別の次元です。
• イ: システム監査人に必要な知識や経験を定めて公表する。
  → 資格や要件の公表は透明性を高め、信頼性の確保に寄与しますが、配置や指揮系統といった外観的独立性の問題は解決しません。
• ウ: システム監査人の監査技法研修制度を設ける。
  → 研修制度も技能向上の施策であり、独立性（外観）の担保には直結しません。監査の質は上がりますが、利害関係の見え方は変わりません。
• エ: システム監査人の所属部署を内部監査部門とする。
  → 監査対象と別部署に所属させることで、指示系統や人事評価での利害関係を避けられ、外部から見ても独立していると判断されやすくなります。したがって外観上の独立性を担保する最も直接的な措置です。

よくある誤解

• 「教育や資格があれば独立と言える」
  → 能力と独立性は別です。外観的独立性は組織配置や報告ルートで判断されます。
• 「内部監査部門にすればそれだけで十分」
  → 所属するだけでなく、監査部門が経営者や監査委員会に直接報告できる体制になっていることも重要です。単に名前だけの独立は不十分です。

補足コラム

• 報告ライン：監査結果を経営トップや監査委員会（経営監督を行う組織）に直接報告できること。
• 任務の範囲：監査人が運用や開発業務に関与しないこと。
• 人事の独立：監査人の評価・異動に監査対象部門が関与しない仕組み。
  小規模組織で専任の内部監査部門を置けない場合は、外部の第三者監査（委託）や監査委員会への直接報告ルートを確保するなどの代替策が実務では取られます。

FAQ