ITパスポート 2024年 問48

システム監査の判断尺度の選定方法【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文から「判断尺度」と「選定方法」が問われていることを確認する。
2. 「システム監査」の目的は何か（適合性・有効性・効率性など）を考える。
3. 監査テーマに応じて、どの基準が適切かを判断するかを問う選択肢を探す。
4. 「必ず～しなければならない」「～すべきでない」といった極端な断定がない選択肢を優先して検討する。
5. 上記に合致する選択肢がイであると判断する。

選択肢別の誤答解説

• ア: 「システム管理基準の全項目をそのまま使用しなければならない。」
  → 誤り。監査のテーマによっては全項目が不要で、むしろ関連する項目だけ使うのが合理的です。また、法令や契約要件など別の基準が優先される場合もあります。
• イ: 「システム監査のテーマに応じて、システム管理基準以外の基準を使用してもよい。」
  → 正しい。監査目的に合う基準を柔軟に選ぶことが重要です。
• ウ: 「システム監査のテーマによらず、システム管理基準以外の基準は使用すべきでない。」
  → 誤り。たとえば、個人情報保護がテーマなら法令（個人情報保護法）や業界基準を採用する必要があります。テーマ無視の硬直的な運用は不適切です。
• エ: 「アジャイル開発では、システム管理基準は使用すべきでない。」
  → 誤り。アジャイル開発（Agile development：短いサイクルで開発し改善していく手法）でも、品質管理やセキュリティ、運用に関する基準は必要です。方法論が違っても、管理基準の考え方は適用できます。

よくある誤解

1. 「監査は必ず1つの基準だけで行う」
   → 実務では複数の基準（法令・社内規程・国際規格）を組み合わせて判断することが多いです。
2. 「アジャイルなら監査や基準は不要」
   → アジャイルは開発の進め方の話です。品質やセキュリティの基準はプロジェクト形態に関わらず必要です。
3. 「判断尺度は変更してはいけない」
   → 監査計画段階でテーマに合った判断尺度を明確にし、変更が必要なら監査計画や関係者に説明・合意してから行います。

補足コラム

• 判断尺度の具体例：法令（例：個人情報保護法）、契約条件（SLA：Service Level Agreement、サービス提供条件）、国際規格（ISO/IEC 27001）、業界ガイドライン、社内ポリシーなど。監査では「何を根拠に評価するか」を明文化しておくことが重要です。
• 判断尺度が複数ある場合は優先順位（法令＞契約＞社内方針、など）を明確にして矛盾がないようにします。
• 監査の透明性確保のため、選んだ判断尺度とその理由は監査報告書に記載します。

FAQ