ITパスポート 2018年 春期 問42

システム監査の実施後に、評価結果を受けて被監査部門がまとめるものとして、適切なものはどれか。【ITパスポート 解説】

正解の理由

• 監査は現状の問題点やリスクを洗い出します（監査人が行う作業）。
• 被監査部門は、その指摘に基づいて「何を、いつまでに、誰がやるか」を決めます。
• その決定をまとめるのが改善計画書です。改善計画書には原因分析、対策内容、担当者、期限、進捗管理などが含まれます。

• システム監査：システムの運用や管理が適切かを第三者的に点検すること。
• 被監査部門：監査を受ける側の部署や担当。

解法ステップ

1. 問題文で「誰が」「いつ」「何をまとめるか」を確認する。
   • 今回は「被監査部門」「実施後」「評価結果を受けてまとめる」。
2. 各選択肢が誰の作業かを考える。
   • 監査人が作るものか、被監査部門が作るものか。
3. 「評価結果を受けて被監査部門がまとめる」→ 行動計画（改善計画書）を作る、に合致する選択肢を選ぶ。
4. 他の選択肢がなぜ該当しないかを確認して誤りを排除する。

選択肢別の誤答解説

• ア 改善計画書
  被監査部門が作成する文書です。監査で指摘された問題に対する是正・改善策を具体的に示します。したがって設問の条件に合致します。
• イ 監査証拠
  監査証拠（audit evidence：監査の根拠となる記録や資料）は、監査人が監査中に収集するものです。被監査部門が評価結果を受けて「まとめる」ものではありません。証拠は既に存在するデータやログ、記録などです。
• ウ サービスレベル合意書（SLA：Service Level Agreement）
  サービスの提供者と利用者が合意するサービスの品質・稼働率などを定めた契約書です。監査実施後に「被監査部門がまとめる」ことを前提とした文書ではありません。場合によっては監査の結果を受けて後で見直すことはありますが、まずは行動計画（改善計画書）です。
• エ システム監査報告書
  システム監査報告書は監査人（監査部門）が監査結果をまとめて作成する文書です。被監査部門が作る文書ではないため、設問の「被監査部門がまとめるもの」とは一致しません。

よくある誤解

1. 「監査報告書を被監査部門が作る」と勘違いする
   • 実際は監査報告書は監査人が作成します。被監査部門は報告を受けて改善計画を作ります。
2. 監査証拠＝改善計画と思う
   • 監査証拠は問題を示す材料であり、改善計画はその材料を元に対策を決める文書です。役割が違います。
3. SLAをすぐ変更するべきだと考える
   • 監査でSLAの問題が見つかることはありますが、SLAは契約的な合意です。まずは内部の改善計画で対応方針を決め、必要なら関係者と協議してSLAを見直します。

補足コラム

• 指摘事項（監査で指摘された内容）
• 現状の影響（業務への影響やリスク）
• 原因分析（なぜ起きたか）
• 対策（具体的な改善内容）
• 担当者（誰が実施するか）
• 期限（いつまでに完了するか）
• 進捗・完了報告（フォローアップ方法）

• 期限は具体的に。曖昧だと進まない。
• 対策は実行可能な粒度に分ける。大きすぎると管理できない。
• 重大度の高いものから優先順位を付ける。
• 対策完了後は証拠（ログや設定変更記録など）を残し、監査人へ提示できるようにする。

• 指摘：バックアップの世代管理が不十分
• 対策：週次バックアップの自動化設定と保存世代を3世代に設定、担当：システム担当A、期限：翌月末

FAQ