ITパスポート 2024年 問55

システム監査の目的に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文から「システム監査の目的」を探す。キーワードは「監査」「評価」「リスク」「組織の目標」など。
2. 各選択肢が述べている活動を短く要約する。
   • 要件定義・分析か？ → 開発関連
   • 施設や環境の企画・管理か？ → 運用／管理関連
   • リスク対応の評価か？ → 監査らしい記述
   • プロジェクト活動の遂行か？ → プロジェクトマネジメント関連
3. 「監査」の定義（独立した立場で評価する）に合う選択肢を選ぶ。
4. 不適切な選択肢は、目的や対象が監査と異なる点で除外する。

選択肢別の誤答解説

• ア: 開発すべきシステムの具体的な用途を分析し、システム要件を明らかにすること
  • これは要件定義（requirements definition：何を作るかを決める工程）や業務分析の説明です。監査の目的ではありません。
• イ: 情報システムが設置されている施設とその環境を総合的に企画、管理、活用すること
  • これはITの環境設計や施設管理、ITサービスの運用改善に近い説明です。監査は「評価」する活動であり、「企画・活用」する活動ではありません。
• ウ: 情報システムに係るリスクに適切に対応しているかどうかを評価することによって、組織体の目標達成に寄与すること
  • 監査はリスク対応や内部統制が適切に機能しているかを評価し、その結果をもとに組織の信頼性向上や目標達成を支援します。これが正解です。
• エ: 知識、スキル、ツール及び技法をプロジェクト活動に適用することによって、プロジェクトの要求事項を満足させること
  • これはプロジェクトマネジメント（Project Management：プロジェクトを計画・実行・管理する活動）の定義です。監査の目的とは異なります。

よくある誤解

1. 「監査＝不正を探すことだけ」
   • 監査は不正発見だけでなく、リスク管理や業務の改善点を見つけ、組織目標達成の支援をすることも目的です。
2. 「監査は技術的なチェックだけ」
   • 技術面（セキュリティ設定など）だけでなく、手続きや運用ルール、責任分担などの仕組み全体を評価します。
3. 「プロジェクトの管理も監査の範囲」
   • プロジェクトの管理（プロジェクトマネジメント）は別分野。監査はそのプロジェクトが適切にリスク管理されているかを評価する立場です。

補足コラム

• 内部監査（internal audit）：組織内部の監査部門が行い、継続的な改善につなげる。
• 外部監査（external audit）：第三者が客観的に評価し、利害関係者に報告する。
  また、監査の評価基準としては「法律や規程の遵守」「業務の有効性」「情報の機密性・整合性・可用性（いわゆるCIA：Confidentiality, Integrity, Availability）」などが用いられます。フレームワークとしてはCOBIT（ガバナンスと管理の枠組み）やISO/IEC 27001（情報セキュリティ管理の国際規格）などが参考になります。

FAQ