システム監査報告書の指摘事項の決め方と確認の手順
情報セキュリティマネジメント試験 平成31年度春期 午前 問39 ／ システム監査 › システム監査
過去問にチャレンジ
システム監査報告書に記載する指摘事項に関する説明のうち，適切なものはどれか。
- ア
監査証拠による裏付けの有無にかかわらず，監査人が指摘事項とする必要があると判断した事項を記載する。
- イ
監査人が指摘事項とする必要があると判断した事項のうち，監査対象部門の責任者が承認した事項を記載する。
- ウ
調査結果に事実誤認がないことを監査対象部門に確認した上で，監査人が指摘事項とする必要があると判断した事項を記載する。
- エ
不備の内容や重要性は考慮せず，全てを漏れなく指摘事項として記載する。
会話形式の解説
講師今回は、システム監査報告書に載せる指摘事項をどう選ぶかという問題です。見るポイントは4つあります。監査証拠の裏付けがあるか、監査対象部門と事実を確かめているか、誰が最終的に判断するか、不備の重要性を考えているか、です。
受験者監査人の判断だけで決めてよいという選択肢と、対象部門の責任者の承認が要るという選択肢で迷いました。対象部門の了解なしに書くのは強引な気がします。
講師迷いやすいところです。まず、指摘事項を決めるのは監査人です。監査は独立した立場から評価する仕組みなので、対象部門の承認を記載の条件にすると、都合の悪い指摘が外されるおそれがあります。それでは独立性が保てません。
受験者では、対象部門とは何もやりとりしないのですか。
講師やりとりはします。調査結果に事実誤認、つまり事実の取り違えがないかを対象部門に確かめる手続が必要です。意見交換会や監査講評会などを通じて行われることが一般的です。ただし、それは事実を確かめるためのもので、載せるかどうかの決定権を渡すことではありません。
受験者事実の確認はするけれど、承認はもらわない、ということですね。そうすると、事実誤認がないことを確認した上で監査人が判断するという選択肢が当てはまりそうです。
講師そのとおりです。事実を確かめる手順と、監査人が最終判断するという独立性の両方がそろっていて、ほかの選択肢のような誤りもありません。これが正解です。
受験者監査人の判断だけで決めてよいという選択肢は、監査人が決めるという点では合っていますよね。どこがいけないのでしょうか。
講師「監査証拠による裏付けの有無にかかわらず」という部分です。監査証拠とは、監査人が判断の根拠として集めた資料や記録のことです。報告書の記述には、監査証拠に基づく合理的な根拠が必要です。根拠のない指摘は、読み手が妥当かどうかを確かめられず、信頼されません。
受験者不備を全部漏れなく書くという選択肢は、丁寧で良さそうにも見えました。
講師漏れなく、と聞くと良く見えますね。ただ、指摘事項は不備の内容と重要性を評価して選びます。すべてを並べると、本当に対応が必要な事項が埋もれてしまいます。
受験者整理すると、監査証拠に基づいていること、対象部門に事実を確認すること、最終判断は監査人がすること、重要性で選ぶこと、の4つですね。
講師よく整理できています。よくある引っかけは、「確認」と「承認」を入れ替えるものです。対象部門と事実関係をすり合わせるのは正しい手続ですが、承認まで求めると独立性が損なわれます。この違いを覚えておくと、似た問題にも対応できます。
まとめ
システム監査報告書の指摘事項は、監査証拠に基づく合理的な根拠を持ち、調査結果に事実誤認がないことを監査対象部門に確認したうえで、監査人が判断して記載します。対象部門の承認を記載の条件にすると、都合の悪い指摘が外されるおそれがあり、監査の独立性が損なわれます。監査証拠の裏付けがない指摘は信頼されず、重要性を考えずにすべてを並べると重要な事項が埋もれます。対象部門への「確認」と「承認」の違いが、この問題の重要なポイントです。
解答・解説
正解はウです
この問題のテーマ
システム監査報告書に、どの指摘を載せるかの正しい選び方を答える問題です。監査証拠の裏付け、対象部門への事実確認、監査人による最終判断、不備の重要性の4点で見ていきます。
解き方の考え方
まず、指摘事項を決めるのは誰かを確かめます。決めるのは監査人で、監査対象部門ではありません。次に、その判断に必要な条件を各選択肢と照らします。条件は3つで、監査証拠の裏付けがあること、事実誤認（事実の取り違え）がないか対象部門に確認していること、不備の重要性を見て選んでいることです。したがって、3つすべてを満たすウを選びます。
選択肢ごとの解説
- ×ア 監査証拠による裏付けの有無にかかわらず，監査人が指摘事項とする必要があると判断した事項を記載する。監査証拠の裏付けがなくても監査人の判断だけで記載してよい、という説明は誤りです。報告書の記述は、監査証拠に基づく合理的な根拠がなければなりません。根拠のない指摘は、読み手が妥当かどうかを確かめられず、報告として信頼されません。
- ×イ 監査人が指摘事項とする必要があると判断した事項のうち，監査対象部門の責任者が承認した事項を記載する。対象部門の責任者が承認した事項だけを記載する、という説明は誤りです。承認を条件にすると、対象部門に都合の悪い指摘が外される恐れがあり、監査の独立性が保てません。対象部門に事実を確認したり意見を聞いたりすることは必要ですが、それは承認を得ることとは別の手続です。
- ○ウ 調査結果に事実誤認がないことを監査対象部門に確認した上で，監査人が指摘事項とする必要があると判断した事項を記載する。調査結果に事実誤認がないかを対象部門と確かめ、そのうえで記載するかどうかを監査人が決める、という流れです。事実を確かめる手続と、監査人が最終判断する独立性の両方を満たしています。したがって、ウが正解です。
- ×エ 不備の内容や重要性は考慮せず，全てを漏れなく指摘事項として記載する。不備の内容や重要性を考えずに全部を記載する、という説明は誤りです。指摘事項は、不備がどんな性質のものか、どれだけ重大かを評価して選びます。すべてを並べると、本当に対応が必要な事項が目立たなくなります。
補足
イは、「確認」と「承認」を入れ替えている点に注意が必要です。対象部門と事実関係をすり合わせるのは正しい手続ですが、指摘を載せるかどうかの決定権まで渡すわけではありません。また、指摘を受けてどう対応するかを判断するのは監査依頼者の側です。
POINT
- 報告書の指摘事項は、監査証拠に基づく合理的な根拠が必要です。
- 調査結果は、事実誤認がないかを監査対象部門に確認します。意見交換会や監査講評会がその場になります。
- 指摘事項とするかどうかの最終判断は、独立した立場の監査人が行います。
- 対象部門の承認を記載の条件にすると、監査の独立性が損なわれます。
- 指摘事項は、不備の内容と重要性を評価して選びます。