ITパスポート 2020年 秋期 問41

システム監査の目的に関する穴埋め問題【ITパスポート 解説】

正解の理由

• システム監査（システムかんさ）：情報システムに関する管理や運用が適切かを専門的に点検・評価する活動。
• コントロール：リスクを低く抑えるための仕組み（例：アクセス制限、バックアップ、手続きなど）。
• ITガバナンス：企業の目的に沿ってITを適切に管理・運用する仕組み。経営とITを一致させること。

解法ステップ

1. 文をよく読む：主語と動詞に注目する（誰が、何をするか）。
2. 「コントロールの整備・運用」は現場が行うことと理解する（作る・運用する側）。
3. 「寄与する」ために監査人は「整備・運用が適切かどうか」を判断する役割であることを思い出す（＝評価）。
4. 監査が有効であるためには監査人が独立で専門的である必要があると結び付ける。
5. 以上から、a＝「独立かつ専門的な立場」、b＝「評価」を選ぶ（選択肢エ）。

選択肢別の誤答解説

• ア：業務に精通した主管部門／構築
  誤り。主管部門（業務に精通した部署）はコントロールを構築・実行する側です。監査人が「構築」することは通常ありません。
• イ：業務に精通した主管部門／評価
  誤り。評価（監査）は正しい動詞ですが、「業務に精通した主管部門」を監査人とするのは誤りです。監査人は評価の客観性を保つために独立性が必要です。主管部門が自分の仕事を評価するのは第三者性が不足します。
• ウ：独立かつ専門的な立場／構築
  誤り。監査人が独立で専門的である点は正しいですが、監査人の主な役割は「構築」ではなく「評価（点検・監査）」です。
• エ：独立かつ専門的な立場／評価
  正解。監査人は独立性と専門性を持ち、整備・運用の適切性を「評価」することでITガバナンスに寄与します。

よくある誤解

1. 監査人がコントロールを作ると思ってしまう
   → 監査人は点検・評価が主な仕事です。実際に作る（設計・構築・運用する）のは主管部門やIT部門です。
2. 「内部監査＝独立ではない」と考える
   → 内部監査でも独立性が求められます。社内の一員でも、監査機能は業務執行部門からの独立性を確保して行うべきです。
3. 「評価」と「検査」を混同する
   → 評価は目的・基準に照らして適切かどうか判断する行為です。検査は具体的な事実確認や手続きのチェックに近い場合があります。監査は広い意味で評価的な活動です。

補足コラム

• 監査の独立性の確保方法
  組織では監査部門を経営層に報告する形にする、監査人が監査対象の業務に直接関与しない、外部の専門家を使うなどで独立性を保ちます。
• ITガバナンスを支える3つの要素（覚え方）
  1. 戦略との整合（ITが経営方針に合っているか）
  2. 価値の実現（IT投資が効果を出しているか）
  3. リスク管理とコンプライアンス（情報漏えいなどのリスクを管理しているか）
     監査はこれらをチェックして改善につなげます。

FAQ