ITパスポート 2014年 春期 問31

システム監査の対象に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 「システム監査」が何を評価するかを思い出す。
   • 情報システムの安全性・信頼性・運用体制などを評価する活動です。
2. 各選択肢がその定義と合致するかを検討する。
   • 監査は「情報システム」に関するものか、あるいは範囲外なのかを判断する。
3. 「情報システムを利用していない業務」は対象外である点に該当する選択肢を選ぶ。
   • これに合致するのが エ です。

選択肢別の誤答解説

• ア: 一般の民間企業の情報システムは対象としない。
  -> 誤り。システム監査は公的機関だけでなく、民間企業の情報システムも対象になります。民間企業でも会計や顧客データを扱うなら監査対象です。
• イ: インターネットを使っていない情報システムは対象としない。
  -> 誤り。インターネットを使うかどうかは無関係です。オンライン（クラウド）・オフライン（社内ネットワークで完結）にかかわらず、情報システムであれば監査対象になります。
• ウ: 会計以外の業務については対象としない。
  -> 誤り。会計系システムは重要ですが、システム監査は人事、販売、製造など会計以外の情報システムも対象です。業務分野で範囲を限定しません。
• エ: 情報システムを利用していない業務は対象としない。
  -> 正しい。監査は「情報システムを使っている業務」やその運用を評価する活動なので、情報システムを一切使わない手作業のみの業務は通常、システム監査の対象外です。

よくある誤解

• 「監査＝会計だけを見る」と考える誤解
  → 会計は重要な対象ですが、システム監査は業務全体の情報システム（人事、販売、製造など）を評価します。
• 「ネットに接続していないと監査対象外」と思う誤解
  → オンライン・オフラインは関係ありません。ポイントは「情報システムを使用しているかどうか」です。
• 「システム監査と内部監査は同じ」と混同する誤解
  → 重なる部分はありますが、内部監査は業務全体の運営・管理をチェックする組織内の活動です。一方でシステム監査は情報システムに特化した評価で、外部の専門家が行うこともあります。

補足コラム

• システム監査の目的は「業務が正しく、かつ安全に行われるよう支えること」です。具体的には、機密性（情報が漏れないこと）、完全性（情報が改ざんされないこと）、可用性（必要なときに使えること）などを確認します。これを理解すると、なぜ「情報システムを使わない業務は対象外」なのかが腑に落ちます。
• 近年は業務の多くが情報システムで支えられているため、間接的に多くの業務がシステム監査の影響を受けます。たとえば、紙ベースの手続きを電子化すれば、その業務は監査対象になります。

FAQ