情報処理安全確保支援士試験 2023年 春期 午前2 問25

解説

各選択肢の解説

• ア: 監査リスクを完全に回避する監査計画を策定する。
  監査リスク（監査によって重要な不備を見逃すリスク）を「完全に」ゼロにすることは現実的に不可能です。監査資源は限られているため、リスクをゼロにすることを目指すより、合理的にリスクを低減し、重要度に応じた監査を行うことが求められます。
• イ: 全ての監査対象に対して一律に監査資源を配分する。
  リスクベース監査の考え方に反します。情報システムのリスクの大小に応じて重点的に監査資源を配分しなければ、効率的かつ効果的な監査ができません。
• ウ: 情報システムリスクは、「情報システムに係るリスク」と「情報の管理に係るリスク」の二つに大別されることに留意する。
  これはリスクの分類の一例に過ぎず、リスクアプローチの本質的なポイントではありません。監査計画で必要なことは、リスクの動的な特性や変化に対応することです。
• エ: 情報システムリスクは常に一定ではないことから、リスクの特性の変化及び変化がもたらす影響に留意する。
  これがリスクアプローチの要点です。情報システム環境は技術の進展や業務環境の変化により常に変動するため、その変化に伴ってリスク評価も見直す必要があります。変化を把握し、監査計画に反映させることで、より適切な監査が可能になります。

まとめ