情報処理安全確保支援士 2025年 秋期 午前2 問25

要点まとめ

• 結論：監査計画はリスク評価に基づき、組織の内外環境が変化したときには再評価して必要な変更を行うべきです。
• 根拠：リスク・アプローチでは監査資源をリスクの大小に応じて配分し、環境変化があれば計画の見直しを行うことが基準で求められます。
• 差がつくポイント：監査リスクは完全に回避できず、均等配分やリスク分類の過度な単純化は実務上誤りである点を理解すること。

正解の理由

よくある誤解（2〜3 行）

解法ステップ（番号付きリスト）

1. 問題文のキーワード（リスク評価、監査計画、環境変化）を確認する。
2. 「リスク・アプローチ」の基本を思い出す（リスクに応じた資源配分・継続的評価）。
3. 各選択肢が基準の原則に合致するかを照合する（完全回避／均等配分／リスク分類の妥当性）。
4. 合致するのは「環境変化時の見直しを検討・必要なら変更する」旨の選択肢であることを確認する。
5. 正解を選び、他選択肢の論理的誤りを確認して理解を深める。

選択肢別の誤答解説

• ア: 監査リスクを完全に回避するという発想は誤りです。監査は合理的な保証を提供するもので、リスクを低減させるがゼロにすることは現実的でありません。
• イ: リスク・アプローチではリスクの大小に応じて監査資源を重点配分します。均等配分は非効率であり、基準に反します。
• ウ: 監査対象に対するリスクを「統制リスクと残存リスクの二つに大別する」という表現は単純化しすぎです。一般に内在リスクや検出リスクなど複数の観点があり、状況により分類は異なります。
• エ: 組織体内外の環境変化によってリスクが相当程度変化した場合には、監査計画の見直しを検討し、必要に応じて変更する。 — これはリスク評価に基づく監査計画の基本的な考え方に合致し、正解です。

補足コラム（関連知識など）

• リスクの分類例：内在リスク（inherent risk）、統制リスク（control risk）、検出リスク（detection risk）、残存リスク（residual risk）。監査ではこれらを踏まえ、どのリスクを低減・評価するかを明確にします。
• 監査計画の見直しが必要となる代表的事象：重大なシステム変更、重要なセキュリティインシデント、法規制の改正、組織再編・合併など。これらはリスクプロファイルを大きく変えます。
• 実務上は、定期的なモニタリングと臨時のリスク再評価の両方を設定しておくことが望ましいです。

FAQ（Q:/A: を 2〜3 組）