情報セキュリティマネジメント 2019年 春期 午前（科目A） 問39

指摘事項の記載基準【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の主旨を把握する：監査報告書に何を記載すべきかを問う問題であると理解する。
2. 各選択肢のキーワード確認：「監査証拠」「承認」「事実誤認の確認」「全て記載」などを拾う。
3. 監査の基本原則と照らす：監査は証拠に基づいて独立に判断すること、事実確認を行うことが重要だとする原則を思い出す。
4. 各選択肢を当てはめる：証拠無視、承認の要求、事実確認の有無、重要性無視のどれが原則に反するかで選ぶ。
5. 事実確認を行うことを含む選択肢（ウ）を正解とする。

選択肢別の誤答解説

• ア: 「監査証拠による裏付けの有無にかかわらず…」
  → 誤り。監査は証拠（記録、ログ、面談記録など）に基づいて結論を出す必要があります。証拠がないまま指摘すると根拠が不明で不当な報告になります。
• イ: 「監査対象部門の責任者が承認した事項のみ記載」
  → 誤り。監査人の判断を監査対象の承認に依存させるのは独立性を損ないます。監査対象への「確認（事実の確認）」や「意見聴取」は必要ですが、承認を記載条件にするのは間違いです。
• ウ: 「調査結果に事実誤認がないことを監査対象部門に確認した上で、監査人が指摘事項とする必要があると判断した事項を記載」
  → 正しい。監査証拠に基づく判断を行い、記載前に監査対象と事実関係をすり合わせる（確認する）手順を明確にしているため、監査の公正性と正確性を保てます。
  （以後、本文中で正解選択肢に言及する際は ウ と表記します）
• エ: 「不備の内容や重要性は考慮せず、全てを漏れなく記載」
  → 誤り。重要性（マテリアリティ）を考慮せずにすべてを列挙すると、報告書がノイズだらけになり、経営側や担当部門が本当に対応すべき重要項目を見失います。重要性と影響度で整理するのが実務です。

よくある誤解

1. 「監査対象の同意があればそれだけで記載できる」
   → 同意（承認）と事実確認は別です。監査対象の意見を記載欄や意見として反映できますが、監査人の判断は独立であるべきです。
2. 「軽微な事象も全部書かないと監査として不十分」
   → すべて列挙することが目的ではありません。重要度に応じて要点を絞り、是正を促すべき事項に絞るのが実務的です。
3. 「口頭で確認すれば十分」
   → 口頭確認だけでは後で争いになる可能性があります。事実確認は記録（メール、確認書、面談記録）で残す習慣をつけましょう。

補足コラム

• 監査で問題を見つけたら、まず監査証拠を整理する。
• 監査対象に事実関係を提示して「ここに誤りや補足がありますか？」と確認（書面で）。
• 監査人が最終判断を行い、監査報告書に指摘事項（と管理側の回答）を記載する。

FAQ