ITパスポート 2016年 秋期 問54

システム監査基準に関する説明【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で「行動規範」を強調している点に注目する。これは監査人自身の振る舞いや監査の実行方法に関わるものを指す。
2. 各選択肢を「行動規範（監査人の態度・業務の進め方）」に当てはめてみる。
3. 選択肢を1つずつ照らし合わせて、該当する内容かどうかで絞る。
   • ア：監査業務の品質確保や有効・効率的な実施 → 行動規範に合致
   • イ：リスクを低減するコントロールの整備・運用 → システムの設計・運用側の基準（行動規範ではない）
   • ウ：判断の尺度としての利用 → 部分的に関連するが、範囲が狭い
   • エ：情報セキュリティマネジメント体制の構築 → ISMS（情報セキュリティ管理）に関するもの
4. 最終的に ア を選ぶ。

選択肢別の誤答解説

• ア（正解）
  • 監査人の行動や監査の進め方、品質管理に関する基準を示す。監査計画、証拠収集、報告、監査人の倫理や独立性などが含まれるため適切。
• イ（誤り）
  • 「情報システムの企画・開発・運用・保守というライフサイクルでリスクを低減するコントロールを整備・運用する基準」は、システム設計や運用側の統制（internal controls：内部統制）やセキュリティ対策に関する説明です。監査基準そのものの主目的ではありません。
• ウ（誤り）
  • 「管理の適切性を判断するときの尺度として用いるための基準」は、監査で使う「評価基準（criteria）」の考え方に近い部分はありますが、システム監査基準はそれに加えて監査の手続きや監査人の行動規範全体を定めるものです。ウは範囲が狭く、行動規範を正確に表していません。
• エ（誤り）
  • 「組織が情報セキュリティマネジメント体制を構築し、コントロールを整備・運用するための基準」は、ISMS（Information Security Management System：情報セキュリティマネジメントシステム）やISO/IEC 27001 のようなセキュリティ管理基準の説明です。監査基準とは目的が異なります。

よくある誤解

1. 「監査基準＝セキュリティ対策の手引き」
   • 誤りです。監査基準は監査のやり方や監査人の倫理を定めます。実際の技術的対策や運用手順は別のガイドライン（例：ISMSや運用マニュアル）で扱われます。
2. 「監査人はただミスを探す人」
   • 監査は問題点を見つけるだけでなく、業務やシステムが適切に機能しているかを評価し、改善点を提案する役割もあります。品質保証や信頼性の向上が目的です。
3. 「監査基準は現場の細かいチェックリストである」
   • 監査基準は原則や手続きの枠組みを示します。具体的なチェックリストは組織や監査の目的に応じて作成されます。

補足コラム

• 監査で重視される三つの原則：独立性（independence）、客観性（objectivity）、専門性（competence）。これは覚えやすく、監査人の行動規範の核心です。
• 「監査基準」と「内部統制」は補完関係にあります。内部統制は組織が自ら業務を正しく行うための仕組みで、監査基準はその仕組みが適切に機能しているかを評価するための指針と言えます。
• 初学者向けの学習法：監査の目的（証拠を集め評価すること）、監査手順（計画→実施→報告→フォローアップ）、監査人の倫理をポイントとして押さえると理解しやすいです。

FAQ