ITパスポート 2017年 春期 問46

システム監査に当たるものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 「監査」の基本条件を確認する：独立性（評価者が運用から分離）、客観的な評価、証拠に基づく判断。
2. 各選択肢が上の条件を満たすか考える。
3. 「運用側が行う日常点検・自己点検」は独立性がないため監査とは言えない。利用者の満足度評価も監査の目的（適切性・統制の評価）と異なる。
4. 独立した部署が評価するものが監査に該当するため、エを選ぶ。

選択肢別の誤答解説

• ア: 監査対象の情報システムの運用管理者が行う、日常点検
  • 「運用管理者」とは日々のシステム稼働や保守を担当する人（システムが動くように管理する人）です。日常点検は運用業務の一部であり、評価の独立性がありません。よって監査ではありません。
• イ: 監査対象の情報システムの運用担当者が行う、自己点検
  • 「自己点検」は自分たちで行うチェックです。自己点検は問題発見に役立ちますが、客観的な評価や外部に説明する監査証拠としての信用性は低いです。監査は独立した者による評価が必要です。
• ウ: 監査対象の情報システムの利用者が行う、満足度評価
  • 利用者の満足度評価はサービスの使いやすさや満足度を測る調査です。監査は統制やリスク管理、法令順守などの適否を検証する活動であり、目的が異なります。よって監査とは言えません。
• エ: 内部監査の担当部署が行う、監査対象の情報システムの評価
  • 「内部監査の担当部署」は運用部署から独立した評価組織です。証拠を集め、統制や手続きの適切さを評価します。独立性・客観性・証拠に基づく評価という監査の要件を満たすため、システム監査に当たります。

よくある誤解

• 誤解1: 「業務のチェック＝監査」
  • 日常の運用チェックや自己点検は重要ですが、監査はそれらを踏まえて独立した立場で証拠を検証し評価する活動です。目的と立場が違います。
• 誤解2: 「利用者の声（満足度）が監査の代わりになる」
  • 利用者の意見は改善に役立ちますが、監査は統制の有効性や法令順守などを検証することが目的です。満足度はその一側面にすぎません。
• 誤解3: 「内部監査は運用部門と同じ扱いだから独立ではない」
  • 内部監査は同じ会社内にありますが、組織上や職務上の独立性（監査対象から独立していること）を確保して実施されます。これは監査の要件です。

補足コラム

• システム監査が見る代表的な項目
  • アクセス制御（誰がどのデータにアクセスできるか）、データのバックアップ、障害対策（復旧計画）、変更管理（ソフトや設定をどう記録・承認しているか）、ログ管理、法令・規程の遵守などです。
• 内部監査と外部監査の違い
  • 内部監査は組織内部の独立部署が行う評価です。外部監査は外部の第三者（会計監査人や情報システム監査人など）が行い、より高い客観性が期待されます。どちらも証拠に基づく評価が基本です。
• 覚え方（ミニ暗記法）
  • 監査の3つのキーワード「独立（Independent）、評価（Evaluate）、証拠（Evidence）」を思い出すと選択肢の判定が楽になります。

FAQ