システム監査技術者 2019年午前2 問10

問題文

システム監査基準（平成30年）では、監査計画の策定に当たり、監査対象として考慮する項目を、情報システムの“ガバナンス”、“マネジメント”、“コントロール”に関するものに分けて例示している。情報システムの“マネジメント”に関するものを監査対象とする場合に、考慮する項目としているものはどれか。

🖊️ 解答を隠して解いてみる

ア：IT戦略と経営戦略の整合性がとられているか、新技術やイノベーションの経営戦略への組込みが行われているか。

イ：IT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて、組織全体として適切に管理されているか。（正解）

ウ：規程に従った承認手続が実施されているか、異常なアクセスを検出した際に適時な対処及び報告が行われているか。

エ：組織の業務プロセスなどにおいて、リスクに応じた統制が組み込まれているか。

🔒 解説は解答すると表示されます

システム監査基準（平成30年）では、監査対象として考慮する項目を、情報システムの「ガバナンス」「マネジメント」「コントロール」に分けて例示しています。

イは、IT投資管理や情報セキュリティ対策が、PDCAサイクルに基づいて組織全体で適切に管理されているかを問うものです。組織として計画・実施・評価・改善を行う内容であり、「マネジメント」に関する項目に該当します。

ア：IT戦略と経営戦略の整合性や、新技術を経営戦略に取り込むことを扱っています。組織のITに関する方向付けや意思決定に関する内容であり、「ガバナンス」に当たります。
イ：IT投資や情報セキュリティ対策を、PDCAサイクルに基づいて組織全体で管理する内容です。「マネジメント」に当たります。
ウ：承認手続や異常アクセス検出後の対応など、具体的な手続や運用上の対処を扱っています。「コントロール」に関する内容です。
エ：業務プロセスにリスクに応じた統制を組み込むことを扱っています。リスクに対応する具体的な統制の設計に関する内容であり、「コントロール」に当たります。

「管理」という言葉があれば、すべてマネジメントだと考える
個別の承認手続やアクセス対応などは、具体的な統制である「コントロール」に分類される場合があります。
ガバナンスとマネジメントを同じものと考える
ガバナンスは組織の方向付けや監督に関わり、マネジメントは方針に沿った計画・実行・評価・改善に関わります。
PDCAを個別業務の手順だけに結び付ける
この問題では、PDCAに基づき組織全体として管理しているかを問うため、マネジメントの観点です。

3つの区分は、次のように整理すると選択肢を見分けやすくなります。

Q. PDCAサイクルが出てきたら、必ずマネジメントですか？
A. 常にそうとは限りませんが、組織全体の活動を計画・実行・評価・改善する内容であれば、マネジメントの可能性が高いです。

Q. 承認手続やアクセス監視は、なぜマネジメントではないのですか？
A. 組織全体の管理方針そのものではなく、リスクを抑えるために実施する個別の手続や対策だからです。

関連キーワード: システム監査基準、ガバナンス、マネジメント、コントロール、PDCAサイクル

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！