システム監査人の外観上の独立性を担保する措置はどれか
情報セキュリティマネジメント試験 平成31年度春期 午前 問37 ／ システム監査 › システム監査
過去問にチャレンジ
経営者が社内のシステム監査人の外観上の独立性を担保するために講じる措置として、最も適切なものはどれか。
- ア
システム監査人にITに関する継続的学習を義務付ける。
- イ
システム監査人に必要な知識や経験を定めて公表する。
- ウ
システム監査人の監査技法研修制度を設ける。
- エ
システム監査人の所属部署を内部監査部門とする。
会話形式の解説
講師この問題は、社内のシステム監査人の「外観上の独立性」を担保する措置を選ぶ問題です。各選択肢の措置が、監査人の「立場」に関わるものか、「能力」に関わるものか。ここに注目して見ていきましょう。
受験者そもそも「外観上の独立性」の意味があいまいです。監査人が公平に判断することとは違うのですか。
講師そこから確認しましょう。外観上の独立性とは、監査人が監査対象から独立した立場にあることが、外部から見ても分かる状態のことです。客観的で公正に判断するという心の持ち方のほうは、精神上の独立性と呼ばれ、別のものとして扱います。
受験者外から見て分かる立場の話なのですね。そうすると、ITの継続的な学習を義務付ける措置は、監査人の力を上げるための措置なので違う気がします。
講師そのとおりです。継続的な学習は専門能力を維持・向上させる措置です。どれだけ能力が高くても、監査対象の部署に所属していれば、外から見て独立しているとは言えません。
受験者必要な知識や経験を定めて公表する措置は少し迷いました。「公表する」とあるので、外部から見えるという点で外観上の独立性に関係しそうに思えたのです。
講師引っかかりやすいところです。公表されるのは、監査人に求める能力の要件です。要件がはっきりして透明性は高まりますが、誰がどの組織の立場で監査するかという話ではありません。外から見えることと、独立した立場にあることは別の問題です。
受験者監査技法の研修制度を設ける措置も、監査の技術を高めるものなので、継続的な学習と同じく能力の話ですね。
講師はい。研修では監査対象から独立した立場は作れません。残るのは、所属部署を内部監査部門にする措置です。こうすると監査人は組織のうえで監査対象の部署から切り離されます。監査対象の部署から指示を受けたり、そこで人事評価を受けたりといった利害関係を避けられるので、外部からも独立した立場だと分かります。
受験者整理すると、学習・知識要件・研修の三つは能力の措置で、所属部署だけが立場の措置ということですね。外観上の独立性を問われたら、組織上どこに属しているかを見ればよいと理解しました。
講師その理解で大丈夫です。能力を高める選択肢を独立性の措置と取り違えるのが典型的な引っかけなので、問われているのが能力か独立性かを最初に見分けてください。実務では、内部監査部門に所属させるだけでなく、経営者へ直接報告できる経路を設けることや、人事を監査対象から独立させることも、独立性を保つうえで大切です。
講師なお、根拠となるのは経済産業省のシステム監査基準です。平成30年版以降に改訂版が公表されている場合もあるので、学習の際は経済産業省が公表している最新版も確認しておくと安心です。
まとめ
社内のシステム監査人の外観上の独立性とは、監査人が監査対象から独立した立場にあることが外部から見ても分かる状態のことです。これを担保する措置は、監査人の所属部署を内部監査部門にし、組織のうえで監査対象の部署から切り離すことです。ITの継続的学習の義務付け、知識や経験の要件の公表、監査技法の研修制度は、いずれも専門能力に関わる措置で、独立性を担保するものではありません。独立性には外観上のものと精神上のもの（客観的で公正な判断）があり、能力の話とも区別して覚えておくことが大切です。
解答・解説
正解はエです
この問題のテーマ
社内のシステム監査人について、「外観上の独立性」を担保するのにふさわしい措置を問う問題です。独立性を確保する措置と、能力を高める措置を区別できるかがポイントです。
解き方の考え方
最初に「外観上の独立性」の意味を確認します。監査対象から独立した立場にあることが、外部から見ても分かる状態のことです。次に、各選択肢が監査人の「立場」に関わる措置なのか、「能力」に関わる措置なのかを分けます。学習・知識要件・研修はどれも能力に関わる措置なので外せます。残るのは、所属部署という立場に関わる措置だけです。
選択肢ごとの解説
- ×ア システム監査人にITに関する継続的学習を義務付ける。ITの継続的学習を義務付けるのは、監査人の専門能力を維持・向上させるための措置です。能力が高くても、監査対象の部署に所属していれば独立しているようには見えません。独立性を直接担保する措置ではありません。
- ×イ システム監査人に必要な知識や経験を定めて公表する。必要な知識や経験を定めて公表するのは、監査人に求める能力の要件をはっきりさせ、透明性を高める措置です。誰がどの組織の立場で監査するかという、外観上の独立性とは別の話です。
- ×ウ システム監査人の監査技法研修制度を設ける。監査技法の研修制度を設けるのは、監査を行う技術を高めるための措置です。アと同じく専門能力に関するもので、監査対象から独立した立場は作れません。
- ○エ システム監査人の所属部署を内部監査部門とする。監査人の所属を内部監査部門にする措置です。こうすると、監査対象の部署から組織のうえで切り離されます。そのため、監査対象の部署から指示や人事評価を受けるといった利害関係を避けられます。したがって、外部から見ても独立した立場だと分かり、外観上の独立性の担保になります。
補足
「能力」と「独立性」は別の観点です。能力を高める措置を、独立性の措置と取り違えないようにしましょう。実際の運用では、内部監査部門に所属させるだけでなく、経営者へ直接報告できる経路を設けることや、人事を監査対象から独立させることも、独立性を保つうえで大切です。
※システム監査基準は、参考資料に挙げた平成30年版のあと改訂されています。監査人の独立性を求める考え方は引き継がれていますが、構成や表現は変わっているため、学習の際は経済産業省が公表している最新版を確認してください。
POINT
- 外観上の独立性とは、監査人が監査対象から独立した立場にあることが外部から見ても分かる状態のことです。
- 社内の監査人の外観上の独立性は、所属部署を監査対象から切り離すことで担保します。
- 学習の義務付け、知識要件の公表、研修制度は、どれも専門能力の措置で、独立性の措置ではありません。
- 独立性には外観上のものと精神上のもの（客観的で公正な判断）があり、区別して覚えておきます。