システム監査と他の監査の違いを検証対象から見分ける
ITパスポート試験 令和8年度 問47 ／ システム監査 › システム監査
過去問にチャレンジ
監査を会計監査，業務監査，情報セキュリティ監査，システム監査に分けたとき，システム監査に関する記述として，最も適切なものはどれか。
- ア
業務で使用している情報の漏えいに関するリスクマネジメントが効果的に実施されていることの検証
- イ
財務諸表の作成に至る業務全般に関して，不正や誤りがなく処理されていることの検証
- ウ
情報システムに係るリスクに対して，組織において適切に対応していることの検証
- エ
情報システムの利用を含めた組織内の諸業務が組織の方針に従って，合理的かつ効率的に運用されていることの検証
会話形式の解説
講師今回は4種類の監査の区別がテーマです。選択肢はそれぞれ、どれか1つの監査を説明しています。何を対象に検証しているかを表すキーワードに注目すると整理しやすいです。
受験者監査の名前が似ていて迷います。「情報システム」という言葉が入っている選択肢が二つあるので、どちらがシステム監査なのか決めきれません。
講師では、見分けやすいものから外していきましょう。財務諸表の作成に至る業務に不正や誤りがないかを検証する、という選択肢はどの監査に当たると思いますか。
受験者財務諸表はお金の話なので、会計監査だと思います。
講師そのとおりです。会計監査の目的は財務諸表が信頼できるかを確かめることで、範囲は会計に絞られています。ただ、問われているのはシステム監査なので、この選択肢は誤りです。
受験者情報の漏えいに関するリスクマネジメントを検証する選択肢は、セキュリティの話に見えます。システム監査もセキュリティを扱うのではないですか。
講師よい疑問です。情報漏えいへの対策を検証するのは情報セキュリティ監査です。情報資産を守る取組み、つまり機密性・完全性・可用性の確保が適切かを主に確かめます。システム監査はセキュリティに限らず、情報システムの開発・運用・管理体制まで含む、より広い範囲を対象にします。
受験者では、情報システムの利用を含めた組織内の諸業務が、方針に従って合理的かつ効率的に運用されているかを検証する選択肢はどうでしょうか。「情報システム」と書いてあるので、これがシステム監査かと思いました。
講師そこが引っかけになりやすいところです。検証の中心は「組織内の諸業務」で、会計以外の業務全般が有効で効率的かを見ています。これは業務監査の説明なので誤りです。
受験者そうすると、情報システムに係るリスクに組織が適切に対応しているかを検証する選択肢が、システム監査ということですね。
講師はい、それが正解です。システム監査は、情報システムに係るリスクへの組織の対応を、独立した立場から客観的に点検・評価する活動です。
受験者財務諸表なら会計監査、情報漏えいなら情報セキュリティ監査、業務全般なら業務監査、情報システムのリスク対応ならシステム監査、と整理できました。
講師よく整理できています。補足すると、単語だけで判断せず、何を検証しているかの中心を見ることが大切です。また、システム監査は情報システム全体のリスクを対象にするので、情報セキュリティ監査より範囲が広いという関係も押さえておきましょう。
まとめ
監査は検証対象によって区別できます。会計監査は財務諸表の信頼性、業務監査は会計以外の業務が方針に沿って合理的・効率的に運用されているか、情報セキュリティ監査は情報漏えいなどへの対策として情報資産の保護が適切かを検証します。システム監査は、情報システムに係るリスクに組織が適切に対応しているかを、独立した立場から点検・評価する活動です。「情報システム」という語句が入っていても、検証の中心が業務全般であれば業務監査なので、キーワードだけで判断しないことが大切です。
解答・解説
正解はウです
この問題のテーマ
会計監査・業務監査・情報セキュリティ監査・システム監査の4種類について、それぞれが何を対象にして何を検証するかを区別できるかを問う問題です。
解き方の考え方
4つの選択肢は、それぞれ4種類の監査のどれか1つを説明しています。そこで「何を対象に検証しているか」を表すキーワードに注目し、選択肢を監査の種類に当てはめていきます。「財務諸表」なら会計監査、「情報の漏えい」なら情報セキュリティ監査、「組織内の諸業務」なら業務監査と見当がつきます。残った「情報システムに係るリスク」への対応を検証する記述がシステム監査です。
選択肢ごとの解説
- ×ア 業務で使用している情報の漏えいに関するリスクマネジメントが効果的に実施されていることの検証情報漏えいに関するリスクマネジメントを検証するという説明は、情報セキュリティ監査に当たります。情報セキュリティ監査では、情報資産を守る取組み、つまり機密性・完全性・可用性の確保が適切に行われているかを主に確かめます。
- ×イ 財務諸表の作成に至る業務全般に関して，不正や誤りがなく処理されていることの検証財務諸表を作るまでの業務に不正や誤りがないかを検証するという説明は、会計監査に当たります。会計監査の目的は財務諸表が信頼できるかを確かめることで、検証の範囲は会計に絞られています。
- ○ウ 情報システムに係るリスクに対して，組織において適切に対応していることの検証情報システムに係るリスクに組織が適切に対応しているかを検証するという説明は、システム監査そのものです。システム監査は独立した立場から客観的に点検・評価する活動です。対象はセキュリティに限らず、情報システムの開発・運用・管理体制まで含みます。
- ×エ 情報システムの利用を含めた組織内の諸業務が組織の方針に従って，合理的かつ効率的に運用されていることの検証組織内の諸業務が方針に従い、合理的かつ効率的に運用されているかを検証するという説明は、業務監査に当たります。「情報システムの利用を含めた」という語句が入っていますが、検証の中心は会計以外の業務全般の有効性と効率性です。
補足
エのように「情報システム」という語句が入っていても、検証の対象が業務全般であれば業務監査です。単語だけで判断せず、何を検証しているかの中心を見極めることが大切です。また、システム監査の対象はセキュリティに限らず情報システム全体のリスクに及ぶため、情報セキュリティ監査よりも範囲が広いという関係も押さえておきましょう。
POINT
- システム監査は、情報システムに係るリスクに組織が適切に対応しているかを、独立した立場から検証・評価する活動です。
- 会計監査は財務諸表の信頼性を検証し、対象は会計に限られます。
- 業務監査は、会計以外の業務が組織の方針に沿って合理的・効率的に運用されているかを検証します。
- 情報セキュリティ監査は、情報漏えいなどへの対策として、情報資産の保護が適切に行われているかを検証します。