ITサービスマネージャ 2019年午前2 問16

問題文

システム監査基準（平成30年）に基づくシステム監査において、リスクの評価に基づく監査計画の策定（リスクアプローチ）で考慮すべき事項として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：監査対象の不備を見逃して監査の結論を誤る監査リスクを完全に回避する監査計画を策定する。

イ：情報システムリスクの大小にかかわらず、監査対象に対して一律に監査資源を配分する。

ウ：情報システムリスクは、情報システムに係るリスクと、情報の管理に係るリスクの二つに大別されることに留意する。

エ：情報システムリスクは常に一定ではないことから、情報システムリスクの特性の変化及び変化がもたらす影響に留意する。（正解）

🔒 解説は解答すると表示されます

リスクアプローチでは、情報システムに関するリスクの大きさや影響を評価し、その評価に応じて監査の範囲や監査資源を決めます。

情報システムや業務の状況は変化するため、情報システムリスクも常に一定とは限りません。リスクの特性が変化すれば、その影響も変わる可能性があります。そのため、リスクの変化と、それによって監査計画に生じる影響を考慮するエが適切です。

ア：監査リスクを完全に回避することは現実的ではありません。監査では、監査手続を適切に実施し、監査リスクを許容できる水準に抑えることを目指します。
イ：リスクの大小にかかわらず一律に監査資源を配分するのは、リスクアプローチに反します。リスクが高い領域に重点的に資源を配分する必要があります。
ウ：リスクを二つに大別すること自体を述べていますが、監査計画で重要なのは、個々のリスクの状況や変化、その影響を評価することです。固定的な分類だけでは、具体的なリスクの変化を捉えられません。
エ：情報システムリスクが変化することと、その変化による影響を考慮する内容です。リスクに応じて監査計画を策定する考え方に合致します。

監査リスクをゼロにできると思い込む
監査手続には限界があるため、監査リスクを完全になくすことはできません。重要なのは、適切な手続によって許容可能な水準に抑えることです。
すべての監査対象を同じ深さで調べると思い込む
リスクアプローチでは、リスクの大小や影響に応じて監査の重点を変えます。
一度評価したリスクは変わらないと思い込む
システムの変更や業務環境の変化により、リスクの内容や大きさは変わることがあります。

リスクアプローチでは、監査計画を一度作成して終わりにするのではなく、状況の変化に応じて見直すことが大切です。例えば、システムの大規模な更新や新しい外部サービスの導入があれば、従来は小さかったリスクが大きくなる可能性があります。その場合、監査対象や手続、監査資源の配分を再検討します。

Q. リスクアプローチでは、リスクの高い領域だけを監査すればよいのですか？
A. 必ずしもそうではありません。限られた監査資源をリスクに応じて重点配分する考え方です。監査の目的や範囲に応じて、必要な領域を監査します。

Q. リスクが変化した場合、監査計画は変更できますか？
A. はい。リスクの特性や影響に変化があれば、その変化を踏まえて監査計画を見直します。

関連キーワード: リスクアプローチ、システム監査、監査計画、監査リスク、監査資源配分

\ せっかくなら /

ITサービスマネージャを
クイズ形式で学習しませんか？

すぐに利用可能！