ITパスポート 2021年 問38

システム監査の手順に関して【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文が「監査の実施方法」を問うていると確認する。
2. 「監査に基づくもの」と「監査の手順」に当てはまる語を考える。
   • 実施基準や根拠 → 監査計画が自然。
   • 手順 → 監査の一般的な段階（予備調査→本調査→評価・結論）が該当。
3. 選択肢をそれぞれ当てはめて、不適切な語（開発テスト名や法令）を除く。
4. 一致するものを選ぶ（選択肢 イ）。

選択肢別の誤答解説

• ア（a: 監査計画、b: 結合テスト，システムテスト，運用テスト）
  aは正しいが、bが誤りです。結合テスト・システムテスト・運用テストはソフトウェア開発のテスト段階であり、監査の手順ではありません。監査は「調査→検証→評価」の流れを取ります。
• イ（a: 監査計画、b: 予備調査，本調査，評価・結論）
  監査計画（監査の目的・範囲・方法など）に基づき、予備調査（準備）→本調査（検証）→評価・結論（報告）の順で実施する、監査の標準的な流れを表しています。したがって正解です。選択肢では イ が適切です。
• ウ（a: 法令、b: 結合テスト，システムテスト，運用テスト）
  aが誤りです。「法令（法律や規則）」は監査で評価の対象になり得ますが、「監査は法令に基づき実施しなければならない」と言うのは文意に合いません。さらにbも開発テストであり監査の手順ではありません。
• エ（a: 法令、b: 予備調査，本調査，評価・結論）
  bは監査の手順として正しい流れですが、aが誤りです。監査は「監査計画」に基づいて実施することが求められます。法令は監査の評価基準の一つであって、監査実施の“基礎文書”として問われている a には当たりません。

よくある誤解

1. 監査＝テストだと思う誤解
   • テスト（結合テストなど）は開発側が品質を確認する活動です。監査は独立した立場で適切性を評価する活動で、目的と手法が異なります。
2. 「法令に基づく」と書かれていると正しいと思う誤解
   • 法令は評価対象や遵守すべき基準になりますが、監査の実施自体は監査計画に基づいて進めます。基準と実施手順を混同しないことが大切です。
3. 監査は単発のチェックで終わると思う誤解
   • 監査は準備（予備調査）→実査（本調査）→評価（結論）と段階を踏み、証拠に基づいて報告まで行います。一連の流れを理解してください。

補足コラム

• 情報システム監査基準：監査の進め方や監査人の役割などを定めた指針です。監査計画の立て方、監査証拠（監査で使う記録やデータ）の取り扱いなどが示されています。
• 監査証拠（audit evidence）：監査の結論を裏付ける客観的な資料や記録のこと。これがないと結論を出せません。
• 監査人（auditor）：監査を行う人。内部監査（社内の監査）と外部監査（第三者機関など）があります。

FAQ