ITパスポート 2009年 春期 問44

システム監査人の役割はどれか。【ITパスポート 解説】

正解の理由

• 「独立」：監査対象の業務から一定の距離を置いて判断すること（必ずしも外部の人だけとは限らず、社内の独立した監査部門もあります）。
• 「検証・評価」：技術的な仕組みだけでなく、運用ルール、内部統制、法令遵守、安全性などを総合的に評価します。

解法ステップ

1. 問題文のキーワードを探す：「独立」「検証又は評価」「組織体」などを確認する。
2. 選択肢がそのキーワードに合うか照らし合わせる。
3. 「作る・運用する・戦略立てる」のどれかに当てはまる選択肢は監査とは役割が異なるため除外する。
4. 「第三者的に検証・評価する」と明確に書かれた選択肢を選ぶ。これが エ である。

選択肢別の誤答解説

• ア: 企業などが保有する情報システムの運用・監視・保守を請け負う。
  → これは運用を委託される「運用担当者」やアウトソーシング業者の説明です。監査人は運用する側ではなく評価する側です。
• イ: 企業において、経営理念に合わせて情報化戦略を立案・実行する。
  → これはCIO（Chief Information Officer：最高情報責任者。英語で情報戦略を統括する役職）の役割に近い説明です。監査人は戦略立案や実行の主体ではありません。
• ウ: 情報システムの構築・導入を一括して請け負う。
  → これはSIer（システムインテグレータ：情報システムを企画・設計・構築して導入する企業）の説明です。構築する側と監査する側は別です。
• エ: 組織体の情報システムを独立した専門的な立場で検証又は評価する。
  → 監査人の役割を正確に表しています。したがってこれが正解です。

よくある誤解

1. 監査人＝システム管理者・運用者と思う
   • 管理者はシステムを動かす人です。監査人は第三者的に評価する人です。役割が根本的に異なります。
2. 「独立」は必ず外部の人を指すと考える
   • 社内に独立した監査部門があり得ます。重要なのは「監査対象からの独立性（利害関係がないこと）」です。
3. 監査は単なるチェックリストの点検だと思う
   • 仕組みの適切性や内部統制、法令順守などの総合評価と改善提案まで含むことが多いです。

補足コラム

• 監査で見る具体項目の例
  • アクセス制御（誰が何にアクセスできるか）
  • 変更管理（システムの変更が適切に記録・承認されているか）
  • 災害対策・バックアップ（障害時に業務を継続できるか）
  • 内部統制・業務プロセスとの整合性（権限分掌など）
• 関連する資格や基準
  • CISA（Certified Information Systems Auditor：情報システム監査の国際資格）は監査の知識を示す代表的な資格です。
  • 各国や組織で「監査基準」や「監査手続き」が定められています。
• 監査の成果物は通常「監査報告書」です。問題点の指摘に加え、改善提案やリスク評価が含まれます。

FAQ