ITパスポート 2012年 春期 問37

システム監査の報告先の選択【ITパスポート 解説】

正解の理由

• 監査は「誰が依頼したか（発注者）」に対して結果を報告するのが基本です。発注者は監査の範囲や目的を定め、報告を受けて対策を決める立場にあります。
• 報告は機密情報を含むため、最初に受け取るのは監査の依頼者であるべきで、適切な取り扱い（社内での共有範囲や外部公開の有無）を依頼者が判断します。

解法ステップ

1. 問題文から役割を整理する
   • A氏：X社の社長であり、監査の依頼者（発注者）
   • M氏：監査人（監査を実施する人）
   • 被監査部門：監査の対象となった部門
2. 「監査報告書の提出先」の一般原則を思い出す
   • 監査の依頼者（発注者）が主な報告受領者。
   • 報告書は機密に関わるため、勝手に第三者に渡すべきではない。
3. 選択肢と照合して最も符合するものを選ぶ
   • 依頼者であるA氏に提出するのが妥当 → ウ を選択。

選択肢別の誤答解説

• ア: X社の監督官庁
  • 監督官庁（規制や監督を行う行政機関）は法令で提出が義務付けられている場合のみ提出先になります。問題文にはそのような指示や法令上の要請がないため、不適切です。
• イ: X社の被監査部門の部門長
  • 被監査部門（監査で評価される部署）は調査対象であり、監査結果の内容や評価を確認する相手ではありますが、正式な報告書の最終受領者は通常「依頼者」です。被監査部門長は内容の説明や是正対応のために報告は共有され得ますが、提出先として最も適切とは言えません。
• エ: 被監査部門と利害関係のない第三者
  • 利害関係のない第三者に無断で報告書を渡すのは守秘義務（監査人が保持する秘密を守る義務）に反します。第三者が報告を受けるのは、依頼者の同意や法的要請がある場合に限定されます。

よくある誤解

1. 「監査報告書は被監査部門に渡すべき」と考える誤解
   • 被監査部門は調査対象なので説明や改善指示は受けますが、正式受領者は依頼者（発注者）です。報告書の管理や外部提出の可否は依頼者が決めます。
2. 「監督官庁に提出するのが普通だ」と思う誤解
   • 規制がある分野（金融・医療など）では官庁提出が必要な場合がありますが、問題文にその条件が示されていない場合は当てはまりません。

補足コラム

• 監査の種類
  • 内部監査（内部で行う監査）：企業内部の人や部門が自社の業務やシステムを点検します。
  • 外部監査（外部の第三者が行う監査）：独立性が高い外部の専門家が行い、信用性を高めます。
  • システム監査は、情報システムの信頼性・安全性・運用状況などを評価する監査です。
• 守秘義務（しゅひぎむ）について
  • 監査人は監査で知った情報を勝手に公開してはいけません。依頼者の判断で関係者に共有したり、法的要請に従って開示したりします。

FAQ