システム監査の判断尺度はどう選ぶのかを会話で解説
ITパスポート試験 令和6年度 問48 ／ システム監査 › システム監査
過去問にチャレンジ
システム監査で用いる判断尺度の選定方法に関する記述として，最も適切なものはどれか。
- ア
システム監査ではシステム管理基準の全項目をそのまま使用しなければならない。
- イ
システム監査のテーマに応じて，システム管理基準以外の基準を使用してもよい。
- ウ
システム監査のテーマによらず，システム管理基準以外の基準は使用すべきでない。
- エ
アジャイル開発では，システム管理基準は使用すべきでない。
会話形式の解説
講師今回は、システム監査で使う「判断尺度」の選び方がテーマです。判断尺度とは、監査対象が適切かどうかや、その度合いを判断するための客観的な拠り所のことです。システム管理基準と、それ以外の基準との関係に注目してください。
受験者システム管理基準という決まった基準があるなら、それだけを使うのが正しいように思えます。ほかの基準を混ぜると、監査の判断がぶれてしまいそうです。
講師原則としてシステム管理基準を判断尺度にする、という点は合っています。ただ、判断尺度は監査の目的や対象範囲、テーマに合うものを選ぶのが基本です。そのため、ほかのガイドラインや法令、規格、契約、社内規程なども判断尺度になりえます。
受験者ほかの基準も使えるのですね。どんな場面で使うのですか。
講師たとえば情報セキュリティ監査なら、情報セキュリティ管理基準などを判断尺度にできます。テーマに合った基準を選ぶほうが、的確に評価できるわけです。
受験者そうすると、テーマにかかわらずシステム管理基準以外は使うべきでない、という説明は合わないことになりますね。では、システム管理基準を使う場合は、全項目をそのまま使う必要があるのでしょうか。
講師全項目を使う必要はありません。監査の目的や範囲に合わせて、必要な部分や項目群だけを選んで使えます。なので、全項目をそのまま使わなければならない、という説明も誤りです。
受験者アジャイル開発の選択肢も気になります。短い期間で作って直すことを繰り返す進め方なので、従来型の基準は合わないから使うべきでない、という意味かと思いました。
講師そこが紛らわしいところです。アジャイル開発の監査でも、システム管理基準を判断尺度として使えます。ただ、アジャイル開発では詳細な文書が作られにくいので、評価項目を調整するなどの配慮が必要になります。基準を使わないのではなく、調整して使うという考え方です。
受験者整理すると、判断尺度は監査のテーマに応じて選べて、システム管理基準以外の基準を使ってもよい、という選択肢が正解ですね。ほかの三つは、全項目の使用を義務づけたり、使える基準を禁じたりしている点が誤りだと理解しました。
講師そのとおりです。判断尺度は目的に応じて選ぶものなので、一律に義務づけたり禁じたりする記述は、この考え方と合いません。理由まで押さえておけば、表現が変わった問題にも対応できます。
講師最後にまとめます。原則はシステム管理基準、ただしテーマに合わせてほかの基準や社内規程も使える、項目は必要なものを選べる、アジャイル開発でも調整して使える。この四点を覚えておきましょう。
まとめ
システム監査の判断尺度とは、監査対象が適切かどうかを判断するための客観的な拠り所です。原則としてシステム管理基準を使いますが、監査の目的・対象範囲・テーマに合わせて、情報セキュリティ管理基準などほかの基準や法令、規格、契約、社内規程を使うこともできます。システム管理基準は全項目を使う必要はなく、必要な項目だけを選んで使えます。アジャイル開発の監査でもシステム管理基準は使えますが、文書が作られにくい特徴をふまえて評価項目を調整します。したがって、テーマに応じてほかの基準を使ってよいとする記述が正解です。
解答・解説
正解はイです
この問題のテーマ
システム監査で、監査対象がよいか悪いかを判断する拠り所（判断尺度）をどう選ぶかを問う問題です。システム管理基準と、それ以外の基準との使い分けがポイントになります。
解き方の考え方
判断尺度は、原則としてシステム管理基準を使います。ただし、監査の目的・対象範囲・テーマに合うものを選ぶのが基本で、ほかの基準や組織独自の規程を使うことも、基準の一部の項目だけを選んで使うことも認められています。そのため、「全項目をそのまま使う」「他の基準は使わない」「使うべきでない」と言い切る選択肢は誤りと考えられます。柔軟に選べるとしている選択肢を選びます。
選択肢ごとの解説
- ×ア システム監査ではシステム管理基準の全項目をそのまま使用しなければならない。システム管理基準の全項目をそのまま使わなければならない、という説明は誤りです。基準は全項目を使う必要はありません。監査の目的や範囲に合わせて、必要な部分や項目群だけを選んで使えます。
- ○イ システム監査のテーマに応じて，システム管理基準以外の基準を使用してもよい。監査のテーマに応じてシステム管理基準以外の基準を使ってよい、という説明は正しいです。判断尺度はテーマに合うものを選ぶのが基本です。たとえば情報セキュリティ監査では、情報セキュリティ管理基準などを判断尺度にできます。
- ×ウ システム監査のテーマによらず，システム管理基準以外の基準は使用すべきでない。テーマにかかわらず他の基準を使うべきでない、という説明は誤りです。他のガイドラインや法令、規格、契約、社内規程なども判断尺度になりえます。目的に応じて基準を選べます。
- ×エ アジャイル開発では，システム管理基準は使用すべきでない。アジャイル開発ではシステム管理基準を使うべきでない、という説明は誤りです。アジャイル開発の監査でも、システム管理基準を判断尺度として使えます。ただし、アジャイル開発は詳細な文書が作られにくいため、評価項目を調整するなどの配慮が必要です。
補足
「〜しなければならない」「〜すべきでない」と言い切る選択肢は、監査の柔軟な運用と合わないことが多く、誤りの候補になりやすいです。また、アジャイル開発のように進め方が違う場合も、基準を捨てるのではなく調整して使う、という考え方を押さえておきましょう。
POINT
- 判断尺度とは、監査対象が適切かどうかや、その度合いを判断するための客観的な拠り所です。
- システム監査では、原則としてシステム管理基準を判断尺度にします。
- 監査の目的・対象範囲・テーマに合わせて、他のガイドラインや法令、規格、契約、社内規程も判断尺度にできます。
- 基準の全項目を使う必要はなく、必要な項目だけを選んで使えます。