ITパスポート 2014年春期問50

問題文

システム監査に必要なプロセスのうち、システム監査人が実施するものはどれか。

🖊️ 解答を隠して解いてみる

ア：監査対象である業務などに関する運用ルールの整備

イ：監査対象に関する予備調査（正解）

ウ：監査対象の脆弱性の改善

エ：システム監査報告書の受理

🔒 解説は解答すると表示されます

システム監査人とは、システム監査（情報システムの適切さや安全性を評価する監査）を行う人のことです。監査人の主な役割は、監査の計画と準備、実査（評価の実施）、報告といった「監査そのもの」に関わる業務です。

選択肢の中で監査人が実施するものはイの「監査対象に関する予備調査」です。予備調査とは、監査の範囲（どこを調べるか）を決めたり、必要な資料を集めたり、リスクの見積りを行ったりする、監査準備のための調査作業です。これは監査人が監査を適切に行うために必ず行う作業なので、監査人の実施業務に当たります。

一方で他の選択肢は、監査人の役割ではありません。運用ルールの整備や脆弱性の改善は組織側（担当部門や運用者）が行う実施・改善業務ですし、監査報告書の受理は経営層や監査委員会などの受け手が行う行為です。

問題文で「システム監査人が実施するもの」と役割を確認する。
- 監査人 = 監査を行う者（評価・検証・報告が仕事）。
各選択肢を「監査人の仕事か、それとも組織側の仕事か」で分類する。
- 監査の準備や調査 → 監査人。
- ルール作成・改善・受理などの実行や意思決定 → 組織側。
該当するものを選ぶ。予備調査は監査人が行う準備業務なので、イを選ぶ。

ア: 監査対象である業務などに関する運用ルールの整備
- 「運用ルールの整備」は業務を実行する側（運用部門や管理者）が行います。監査人はルールが適切かを評価しますが、ルール自体を作るのは職務範囲外です。
イ: 監査対象に関する予備調査
- 正答。予備調査は監査の範囲決定、資料収集、関係者への聞き取りなどを含み、監査人が計画立案のために行います。
ウ: 監査対象の脆弱性の改善
- 「脆弱性（ぜいじゃくせい）」はシステムの弱点やセキュリティ上の穴のことです。改善（修正実装）は運用・開発担当が行う業務で、監査人は改善が必要かどうか指摘しますが、直接修正することはありません。
エ: システム監査報告書の受理
- 監査報告書の受理は、監査報告を受け取る経営層や監査委員会、被監査部門などの責任者が行う行為です。監査人は報告書を作成・提出しますが、それを受理するのは受け手側です。

監査人が改善作業も行うと考える
- 誤解です。監査人は評価・指摘までが担当で、実際の改善は組織の担当者が行います。監査人が自ら手を動かすと独立性が損なわれます。
監査報告書の「受理＝承認」と思う
- 受理は受け取る行為です。承認や是正の決定は経営陣や責任部署の判断であり、別のプロセスです。
「準備」は雑な作業だと思う
- 予備調査は監査の成否を左右します。範囲設定や関係者把握が不十分だと、重要な事象を見逃す原因になります。

監査プロセスの一般的な流れ（シンプルに）

ポイントは「監査人は評価者」であり、「実務の実行者ではない」ことです。第三者的な立場を保つために、監査人は独立性と客観性が求められます。

Q: 監査人は改善案を提案してはいけないですか？
A: 提案はできます。改善すべき点やその優先度、参考となる方針を示すのは監査人の役目です。ただし、実際の実装や運用変更は組織側が行います。

Q: 予備調査と実査の違いは何ですか？
A: 予備調査は「何を・どのように」監査するかを決める準備段階です。実査は実際に現場を調べ、証拠を集めて評価する作業です。

Q: 内部監査と外部監査で監査人の役割は違いますか？
A: 基本的な役割（評価・報告）は同じですが、内部監査は組織内部の人が行う場合があり、外部監査は独立した第三者が行います。いずれも監査人は直接の改善実行者ではありません。

関連キーワード: システム監査人、予備調査、監査計画、監査報告書、脆弱性対応、監査プロセス、内部監査、独立性

\ せっかくなら /

ITパスポートを
クイズ形式で学習しませんか？

すぐに利用可能！