ITパスポート 2019年春期問44

問題文

情報システムに関わる業務a～cのうち、システム監査の対象となり得る業務だけを全て挙げたものはどれか。

a 情報システム戦略の立案 b 情報システムの企画・開発 c 情報システムの運用・保守

🖊️ 解答を隠して解いてみる

選択肢

ア：a

イ：a, b, c（正解）

ウ：b, c

エ：c

🔒 解説は解答すると表示されます

情報システムに関わる業務のうち、システム監査の対象となり得る業務はどれか【ITパスポート解説】

正解の理由

システム監査とは、情報システムに関する統制や運用が適切かどうかを独立した立場で点検・評価する活動です（システム監査：情報システムの安全性・有効性・効率性・法令遵守などを確認する監査）。その観点から、企画・開発・運用のいずれの段階でも監査の対象になります。つまり、情報システムの「戦略の立案（a）」「企画・開発（b）」「運用・保守（c）」のすべてが評価対象になり得ます。したがって選択肢イ（a, b, c）が正解です。

解法ステップ

問題文を読む：監査の「対象」とは何かを問うている。
「システム監査」の意味を確認：独立した立場で情報システム全体の妥当性や統制を評価すること。
各業務を監査の観点で照らし合わせる：
- 戦略や方針はガバナンスやリスク管理の観点で監査対象。
- 企画・開発は要件管理や品質管理、変更管理の観点で監査対象。
- 運用・保守は運用手順や障害対応、アクセス管理の観点で監査対象。
すべて当てはまることに気づいたら、a, b, c 全てを選ぶ。

選択肢別の誤答解説

ア: a（a のみ）
「戦略だけが監査対象」とするのは不十分です。監査は実際の開発や運用での統制不備も評価します。
ウ: b, c（開発と運用）
開発・運用は確かに重要ですが、戦略や方針（a）もガバナンスやリスク管理の観点で監査対象です。戦略段階の不備は後工程に大きく影響します。
エ: c（運用・保守のみ）
運用・保守は監査対象ですが、企画や開発段階での不備が運用に波及するため、上流の監査も重要です。よって c のみでは不十分です。

よくある誤解

誤解1：監査は「動いているか」を見るだけだと思う
→ 監査は単に動作確認するだけではなく、方針・設計・変更管理・アクセス制御・記録（ログ）や法令遵守など広範囲を評価します。
誤解2：監査は運用担当者がやれば良い（実務担当＝監査人でよい）と思う
→ 監査は独立性が重要です。通常は内部監査部門や外部の監査人が行い、評価の客観性を保ちます。

補足コラム

システム監査には「内部監査」と「外部監査」があります。内部監査は組織内の独立した部署が行い、改善提案まで実施することが多いです。外部監査は第三者（監査法人など）が行い、法令遵守や信頼性の確認が主な目的となります。どちらも、システムのライフサイクル（戦略→企画・開発→運用・保守）全体を対象にできます。ライフサイクルは英語で SDLC（Software Development Life Cycle：ソフトウェアの開発から廃止までの流れ）と呼ばれます。

覚え方のコツ：監査は「始め（戦略）も中（開発）も終わり（運用）」の全部をチェックする、つまり「上流も下流も監査対象」と覚えると良いです。

FAQ

Q1. システム監査はどのタイミングで行うのですか？
A1. 計画段階（方針や設計のレビュー）、開発中の中間レビュー、運用開始後の定期監査、重要変更後の監査など、複数タイミングで行います。

Q2. 監査の結果はどう使われますか？
A2. 問題点は是正（改善）計画につなげられ、ガバナンス強化やリスク低減、法令遵守の確認に役立ちます。

Q3. システム監査と品質保証（QA）の違いは？
A3. 品質保証は主に開発プロセスや成果物の品質を改善・保証する実務寄りの活動です。監査は独立した立場で評価し、適合性や統制の有無を判断します。目的や立場が異なります。

関連キーワード: システム監査、ITガバナンス、内部監査、SDLC、運用保守、企画開発、監査人、リスク管理

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

ITパスポートを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！