システム監査技術者 2025年午前2 問03

問題文

システム監査基準（令和5年）におけるリスク・アプローチに関する記述として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：監査対象に対するリスクとは、組織体に対して重要な影響を与えるリスクを発見できない等、監査の目的が達成できない可能性を合理的に低い水準にまで抑えられないリスクをいう。

イ：監査の効率性よりも網羅性に重点を置くことによって、リスクに応じた監査を実施する方法である。

ウ：保証を目的としたシステム監査計画策定における監査対象先の選定や監査の優先度は、残存リスクの評価に基づき決定されるので、固有リスクや統制リスクについての考慮は不要である。

エ：リスクの大きさは、脅威と脆弱性が決定要因となるリスク発生可能性とリスクが発生した場合に組織体が受ける影響度の組合せで評価される。（正解）

🔒 解説は解答すると表示されます

リスク・アプローチとは、組織体やシステムに関するリスクを評価し、リスクの大きさに応じて監査の対象や優先度を決める考え方です。

リスクの大きさは、リスクが発生する可能性と、発生した場合に組織体が受ける影響度を組み合わせて評価します。発生可能性は、脅威や脆弱性などを踏まえて判断します。この考え方を説明しているのはエです。

ア：監査の目的を達成できない可能性を低く抑えられないリスクについて述べています。これは監査人側の監査リスクに関する説明であり、監査対象となる組織体のリスクの説明とは異なります。
イ：リスクに応じた監査は、網羅性を効率性より重視する方法ではありません。リスクの高い領域に監査の重点を置き、効率的に監査を行う考え方です。
ウ：残存リスクだけでなく、統制による低減前の固有リスクや、統制が適切に機能しない場合の統制リスクも考慮します。「固有リスクや統制リスクについての考慮は不要」とする点が誤りです。
エ：リスク発生可能性と、発生した場合の影響度を組み合わせてリスクの大きさを評価する説明です。発生可能性の判断要素として脅威と脆弱性を挙げており、適切です。

監査対象のリスクと監査リスクを混同する：監査対象のリスクは組織体やシステムに生じるリスクです。監査リスクは、監査人が重要な問題を見逃すなど、監査の目的を達成できないリスクです。
リスク・アプローチは網羅的な監査だと思う：リスクの大小に応じて監査の重点を変えるため、すべてを一律に調べる方法ではありません。
残存リスクだけを見ればよいと思う：残存リスクの評価は重要ですが、リスクを理解するために固有リスクや統制リスクも考慮します。

リスク・アプローチでは、限られた監査時間や人員を、組織体への影響が大きい領域やリスク発生可能性が高い領域に重点配分します。したがって、「リスク評価」と「監査計画」は結び付いています。リスクが高いと評価された領域ほど、監査の優先度や実施内容が大きくなります。

Q. 脅威と脆弱性は、リスク評価でどのように関係しますか？
A. 脅威は損害を引き起こす要因、脆弱性は脅威につけ込まれる弱点です。これらを踏まえて、リスクが発生する可能性を評価します。

Q. 残存リスクとは何ですか？
A. リスクへの対策や統制を実施した後にも残るリスクです。対策後のリスクを把握する際に用います。

関連キーワード: リスク評価、監査リスク、固有リスク、統制リスク、残存リスク、脅威、脆弱性

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！