ITパスポート 2019年 春期 問55

システム監査で「適切な対策の実施を指導するプロセス」はどれか【ITパスポート 解説】

正解の理由

• システム監査：情報システムやその運用が適切かを独立した立場で評価する活動。
• フォローアップ（follow-up）：監査後に管理者が改善策を実行したか確認し、必要なら指導する活動。

解法ステップ

1. 問題文のキーワードを探す：「適切な対策の実施を指導する」。
2. 各プロセスの役割を思い出す。
   • 監査計画の立案：何をどう監査するか計画する段階。
   • 監査証拠の入手と評価：事実を裏付ける証拠を集め評価する段階。
   • 監査手続の実施：実際に監査の手順を行って証拠を集める段階。
   • フォローアップ：監査で出た指摘に対する改善の実行を確認・指導する段階。
3. 「対策の実施を指導する」は「改善の実行確認」と一致するため、該当するのはフォローアップであると判断する。

選択肢別の誤答解説

• ア: 監査証拠の入手と評価
  これは監査の初期〜中間段階で、事実を裏付けるデータ（ログ、設定、書類など）を集めて判断材料にする作業です。対策の実施を指導する役割ではありません。
• イ: 監査手続の実施
  監査手続（audit procedures）は具体的な調査方法や検査を実行する段階です。ここでは「何が問題か」を見つける行為が中心で、見つけた後の改善指導は含みません。
• ウ: 監査報告書の作成
  監査結果や問題点、改善提案を文書にまとめる段階です。提案は記載しますが、実際に対策を実行させたり実行状況を確認したりするのは報告書作成の後に行うフォローアップの役割です。
• エ: フォローアップ
  監査で指摘した事項に対し、管理側が是正措置（corrective action）を取ったかを確認し、必要なら追加指導や助言を行います。問題文の内容と一致します。

よくある誤解

1. 「監査人が直接対策を実行する」と考える誤解
   監査人は改善を実行する立場ではありません。管理者（システム担当者や経営層）が実行するのを確認・指導するのが監査人の仕事です。
2. 「監査報告書を出せば仕事は終わり」と思う誤解
   報告書提出で指摘事項を伝えるのは重要ですが、改善が確実に行われるかは別問題です。フォローアップで実行確認を行わないと問題は放置されがちです。
3. 「監査手続＝フォローアップ」と混同する誤解
   監査手続は評価・検出のための作業で、フォローアップは検出後の対応確認です。目的と時期が違います。

補足コラム

• 是正処置（corrective action）とは
  監査で見つかった不具合やリスクに対して、その原因を取り除き再発を防ぐための対策です。例：アクセス権の見直し、バックアップ手順の改善、設定ミスの修正など。
• フォローアップの方法例
  • 管理者から改善計画（いつ、誰が、何をするか）を受領する。
  • 実施後の証拠（スクリーンショット、設定ファイル、運用ログ）を確認する。
  • 必要なら現場で再確認を行い、改善が不十分なら追加指示を出す。
• 監査の独立性について
  監査人は評価・助言の立場を保つため、実作業に介入しないことが望ましいです。介入すると利害関係が生じ、評価の公正性が損なわれます。

FAQ