ITパスポート 2016年 春期 問39

システム監査人の役割に関する記述【ITパスポート 解説】

正解の理由

• システム監査人（systems auditor：情報システムの運用・管理や統制が適切かを検証する人）
• 統制（コントロール）：リスクを低くするための仕組みやルール
• 被監査部門：監査の対象となる部署や組織

解法ステップ

1. 問題文から「システム監査人」の役割を確認する。「監査（audit）」は評価・検証して報告する活動だと頭に入れる。
2. 各選択肢が「監査（外部・内部からの検証）」を示すか、「業務や体制を作る（経営・運用の役割）」を示すかを区別する。
3. 監査の要点である「独立性（被監査部門からの独立）」と「検証して報告する」要素がある選択肢を選ぶ。
4. 当てはまらない選択肢は「実務で実行する（作る・導入する）」など監査以外の役割を表していないか確認する。

選択肢別の誤答解説

• ア: 業務フローやリスクコントロールマトリクス（RCAではなく、risk control matrix：リスクと対策を対応づけた表）を作成し、統制を導入する、とあります。これは業務や統制を「設計・導入する」業務であり、監査人ではなく業務担当者や内部統制担当者の役割です。よって誤りです。
• イ: 企画・開発・運用など各局面にモニタリングや自己点検を「導入する」役割を述べています。これも監査人が「導入する」業務ではなく、運用側（管理者や責任者）が行うべき活動です。監査はそれらが適切に実施されているかを「検証」します。
• ウ: 情報システムのリスクが適切かつ効果的にコントロールされているかを、被監査部門から独立した立場で検証し、依頼者に報告する。これは監査人の典型的な定義です。したがって正しい記述です。
• エ: 方針や目標を定め体制を整える、というのは経営層やシステム運用の責任者の仕事です。監査人は方針を「作る」側ではなく、作られた方針や体制が適切かどうかを評価する側です。

よくある誤解

1. 「監査人が統制（コントロール）を導入する」
   誤解しやすい点です。監査人は統制を作る人ではなく、作られた統制が機能しているかを第三者の視点で検証します。導入は業務側の仕事です。
2. 「監査＝罰を与える人」
   監査は評価と助言が主目的です。問題が見つかれば是正を促す報告をしますが、罰を決めるのは経営判断や規程に基づく処分です。
3. 「監査は形式的なチェックだけ」
   監査は書類の確認だけでなく、現場観察や面接、テストなどで実際に機能しているかを深掘りします。

補足コラム

• 内部監査：組織内部の監査機能で、組織の業務改善やリスク管理の強化が目的です。監査人は組織に雇用されている場合が多く、独立性の確保が求められます。
• 外部監査：組織外部の独立した第三者（例：公認会計士など）が行う監査で、利害関係者（投資家や取引先）向けの信頼性確保が目的です。
  どちらも「独立性」と「客観的な検証」が重要です。IT分野では、情報システム監査基準や国際的にはISACAの基準などが参考になります。

FAQ