ITパスポート 2016年 春期 問39

システム監査人の職務【ITパスポート解説】

正解の理由

• RCM（risk control matrix：リスクコントロールマトリクス） — 業務上のリスクと、それに対する管理策（統制）を一覧化した表。発見や評価のための資料として使われます。

解法ステップ

1. 問題文の主語を確認する：「システム監査人の役割」。
2. 各選択肢で使われている動詞に注目する：
   • 「導入する」「定める」「体制を整える」→ これは管理・運用（経営側）の仕事。
   • 「検証する」「独立した立場で」→ 監査の仕事。
3. 「独立」「検証」「報告」といった語を含む選択肢を正答候補とする。したがって ウ を選ぶ。

選択肢別の誤答解説

• ア:
  • 内容：業務フローや業務記述書、リスクコントロールマトリクス（RCM）を作成し、リスクを評価して統制を導入する。
  • なぜ誤りか：これらは業務担当者や管理側（内部統制担当）が行う業務改善や統制構築の活動です。監査人は評価や検証はするが、統制を「導入する」立場ではありません。
• イ:
  • 内容：企画・開発・運用・保守などに沿ってモニタリングや自己点検の仕組みを導入し、安定運用を図る。
  • なぜ誤りか：モニタリングや自己点検の「仕組みを導入」するのは現場や管理側の仕事です。監査人は導入後にその仕組みが機能しているかをチェックします。
• エ:
  • 内容：方針や目標を定め体制を整える。
  • なぜ誤りか：方針決定や組織体制の整備は経営・管理の役割です。監査人はその体制が適切かどうかを評価しますが、自ら方針を定めて実行する立場ではありません。

よくある誤解

1. 監査人が直接システムを修正・改善すると思い込む
   • 実際は監査人は改善案を提示できますが、実行は管理側の仕事です。監査は「評価と報告」が役割です。
2. 内部監査とシステム監査を混同する
   • 内部監査（組織内部の監査）は業務全般を見ることが多く、システム監査は情報システムに特化します。どちらも「独立性」が重要ですが、対象範囲が異なります。
3. 独立性は単に部署が違えばOKと思う
   • 真の独立性は報告ラインや権限の分離なども含みます。監査が経営陣の影響下にあると評価の信頼性が下がります。

補足コラム

• 監査の流れ（簡単）
  1. 監査計画の作成（範囲・目的を決める）
  2. 証拠収集（ログや設定、手順書の確認、ヒアリング）
  3. 分析・評価（統制の有効性を判断）
  4. 報告（指摘事項と改善提案をまとめる）
  5. フォローアップ（改善状況の確認）
• 監査でよく使う資料：業務フロー、業務記述書、RCM（risk control matrix）など。RCMは「どのリスクにどの統制があるか」を明確にするため、監査で重要な照合資料になります。
• 監査人の独立性を保つ仕組み例：監査委員会への報告、経営からの独立した人事評価、外部監査との連携など。

FAQ