システム監査人の適切な行為は？独立性と監査目的
基本情報技術者試験 令和8年度 問15 ／ システム監査 › システム監査
過去問にチャレンジ
内部監査部門が，情報システム部門に対するシステム監査を経営者から指示されたとき，システム監査人の行為として，適切なものはどれか。
- ア
監査報告書に記載した改善提案に対して改善計画を策定した上で，実行する。
- イ
基幹システムを開発し，保守を行っている外部事業者に，当該システム監査を委託する。
- ウ
経営者がどのようなニーズを有しているかを十分に把握した上で，システム監査の目的と対象範囲を決定する。
- エ
情報システム部門の在籍者を監査メンバとして選定する。
会話形式の解説
講師この問題は、経営者からシステム監査を指示されたときに、システム監査人がどう動くべきかを問うものです。注目点は2つあります。依頼者のニーズを踏まえて監査を計画すること、そして監査対象から独立した立場を保つことです。
受験者私は最初、改善計画を作って実行まで進める選択肢がよさそうだと思いました。問題を見つけたなら、直すところまでやるほうが親切ではないでしょうか。
講師そこが引っかけです。監査人の役割は、評価して報告し、改善提案をするところまでです。改善計画を作って実行するのは、監査を受ける側、つまり被監査部門の責任です。
受験者監査人が自分で改善すると、何か問題があるのですか。
講師自分で行った改善の結果を、あとで自分で評価することになります。これでは独立性、つまり監査対象と利害関係のない立場が損なわれてしまいます。
受験者なるほど。では、外部の事業者に監査を委託する選択肢はどうですか。外部なら客観的に見られそうです。
講師監査を外部に委託すること自体はできます。ただ、この選択肢の委託先は、その基幹システムを開発して保守している事業者です。自分たちの仕事を自分たちで監査する、自己監査になってしまいます。
受験者外部かどうかではなく、監査対象と利害関係がないかどうかが大事なのですね。情報システム部門の在籍者をメンバにする選択肢も、同じ理由で不適切ですか。
講師そのとおりです。自分の部門を監査することになるので、独立性を確保できません。利害関係があるので、判断が左右されるおそれもあります。
受験者残るのは、経営者のニーズを把握してから監査の目的と対象範囲を決める選択肢です。依頼者の求めを反映するのは自然に思えます。
講師はい、それが適切な行為です。ニーズを反映すれば、限られた監査の人手や時間を、経営上重要なリスクに振り向けられます。
受験者まとめると、監査人は独立した立場で評価し、改善は提案までにとどめる。そして監査の目的と範囲は経営者のニーズを踏まえて決める、ということですね。
講師よく整理できています。補足すると、監査人は改善を自分では実行しませんが、改善提案がその後どう実施されているかを確かめるフォローアップは行います。「改善に関わる」という言葉だけで判断しないでください。独立性の問題では、所属部門や利害関係のせいで、監査人が自分の仕事を評価する構図になっていないかを確かめると判断しやすくなります。
まとめ
経営者からシステム監査を指示されたとき、システム監査人は経営者のニーズを十分に把握し、それをもとに監査の目的と対象範囲を決めます。監査人は監査対象から独立した立場でなければなりません。そのため、対象システムを開発・保守している事業者や被監査部門の在籍者が監査を担うのは、自己監査になるので不適切です。監査人の役割は評価・報告・改善提案までで、改善計画の策定と実行は被監査部門の責任です。ただし、改善提案がどう実施されているかを確認するフォローアップは監査人が行います。
解答・解説
正解はウです
この問題のテーマ
経営者からシステム監査の指示を受けたときに、システム監査人がどう行動すべきかを問う問題です。「監査ニーズを踏まえて計画を立てること」と「監査対象からの独立性を保つこと」の2点が論点です。
解き方の考え方
まず、システム監査人の役割は監査対象を評価し、報告と改善提案を行うところまでだと押さえます。次に、各選択肢を「監査人が監査対象から独立した立場にあるか」という観点で確かめます。監査人自身が改善を実行する案や、監査対象の関係者が監査を担う案は、この観点で除外できます。残った選択肢が、依頼者である経営者のニーズを監査計画に反映しているかを確認すれば、正解にたどり着けます。
選択肢ごとの解説
- ×ア 監査報告書に記載した改善提案に対して改善計画を策定した上で，実行する。改善計画を策定して自ら実行するという内容は、監査人の役割を超えています。改善計画の策定と実行は被監査部門の責任で、監査人が担うのは改善提案までです。監査人が自分で改善を行うと、その結果を自分で評価することにもなり、独立性が損なわれます。
- ×イ 基幹システムを開発し，保守を行っている外部事業者に，当該システム監査を委託する。基幹システムを開発・保守している外部事業者に監査を任せると、その事業者は自分たちの仕事を監査することになります。これは自己監査であり、独立性と客観性を確保できません。監査を外部に委託すること自体は可能ですが、委託先は監査対象と利害関係のない第三者でなければなりません。
- ○ウ 経営者がどのようなニーズを有しているかを十分に把握した上で，システム監査の目的と対象範囲を決定する。監査の依頼者である経営者のニーズを十分に把握し、それをもとに監査の目的と対象範囲を決めるのは適切な行為です。ニーズを反映すれば、限られた監査資源を経営上重要なリスクに振り向けることができます。
- ×エ 情報システム部門の在籍者を監査メンバとして選定する。監査対象である情報システム部門の在籍者を監査メンバにすると、自部門を監査することになり、独立性を確保できません。被監査部門の担当者は利害関係があるため、判断が左右されるおそれもあります。
補足
監査人は改善を自ら実行しませんが、改善提案がその後どう実施されているかを確認するフォローアップは行います。「改善に関わる」という点だけを見てアの選択肢と混同しないよう注意してください。独立性の問題では、所属部門や利害関係によって監査人が自分の仕事を評価する構図になっていないかを確かめると、判断しやすくなります。
POINT
- システム監査では、依頼者である経営者のニーズを把握したうえで、監査の目的と対象範囲を決めます。
- システム監査人は、監査対象から独立した立場で監査を行わなければなりません。
- 監査対象のシステムを開発・保守している者や、被監査部門に在籍している者が監査を担うと、自己監査になり不適切です。
- 監査人の役割は評価・報告・改善提案までで、改善計画の策定と実行は被監査部門の責任です。