ITパスポート 2017年 秋期 問50

システム監査で被監査部門が実施するものはどれか【ITパスポート 解説】

正解の理由

• 監査部門：監査を実施する部署（点検・評価を担当）
• 被監査部門：監査の対象となる部署（システムを運用・管理している側）

解法ステップ

1. 各選択肢が「作業の性質（計画・調査・説明・受理など）」を示しているか確認する。
2. 「誰がその仕事を行うのが自然か」を考える。
   • 計画や本調査、報告書作成は専門的に監査を行う監査部門の仕事。
   • システムの運用内容を説明できるのは普段運用している被監査部門。
3. 当てはまるものを選ぶ。上記から、被監査部門が行うのは ア。

選択肢別の誤答解説

• ア：監査対象システムに関する運用ルールなどの説明
  • 正解。被監査部門は日常的にそのシステムを扱っており、運用ルール、手順書、ログの見方などを最もよく知っているため、監査時に説明・資料提供を行います。
• イ：システム監査計画に基づく本調査
  • 誤り。本調査（実地調査や証拠収集、インタビューなど）は監査部門が実施します。被監査部門は協力（資料提出や説明）しますが、調査そのものの実行責任は監査側です。
• ウ：システム監査計画の作成
  • 誤り。監査計画の作成は監査部門の業務です。被監査部門は計画に関する調整やスケジュール調整で関わることはありますが、計画作成を主導するのは監査側です。
• エ：システム監査報告書の受理
  • 誤り（注意が必要）。被監査部門は監査報告書を受け取って内容を確認し、必要な是正措置を行います。しかし「報告書の作成・正式な取りまとめ・発行」は監査部門の役割であり、「受理」という語が“公式に処理する”という意味合いで問われている場合は監査部門や上位管理者の責務に近いことが多く、選択肢としては不適切です。試験では「被監査部門が能動的に行う説明・資料提供」を選ぶのが正しい判断です。

よくある誤解

1. 「監査は監査部門だけが行う」
   • 誤り。監査部門は点検・評価を行いますが、被監査部門は説明や資料提供、是正対応などで重要な役割を果たします。監査は一方的な検査ではなく協力が前提です。
2. 「報告書を受け取る＝被監査部門の仕事だからエが正しい」
   • 受け取るだけなら被監査部門も関与しますが、「受理（公式な取りまとめや発行）」の責任は監査部門や上位管理にあるケースが多く、設問の意図は「能動的に実施するもの」を問うため当てはまりません。
3. 「説明は監査部門もできる」
   • 監査部門は監査の目的や手順を説明しますが、運用ルールの具体的な内容や日常の処理手順は被監査部門が最も詳しいため、説明役は被監査部門が主です。

補足コラム

• 予備調査：監査の目的や範囲を確認する段階（監査部門主体）
• 監査計画の作成：調査項目・日程・担当などを決める（監査部門）
• 本調査：現場での証拠収集、ヒアリング（監査部門が実施、被監査部門が協力）
• 報告書作成と提出：監査の結果をまとめる（監査部門）
• 是正措置：被監査部門が報告を受けて改善を行う
• フォローアップ：是正が適切か確認する（監査部門または管理側）

• 運用ルール・手順書、業務フロー図
• ログやアクセス記録などの証跡（証拠となるデータ）
• 役割分担表や担当者リスト
• 過去のインシデント報告や是正履歴

FAQ