システム監査のフォローアップはどの段階で何を確認するか
情報セキュリティマネジメント試験 令和8年度 問8 ／ システム監査 › システム監査
過去問にチャレンジ
システム監査におけるフォローアップの説明として，適切なものはどれか。
- ア
監査の品質管理体制を，システム監査人が事前に確かめておくこと
- イ
監査報告書の指摘事項に基づいて監査対象先が実施した改善措置を，システム監査人が確認すること
- ウ
システム監査の対象範囲に関する事項を，システム監査人が文書化すること
- エ
システム監査の目的に応じた適切な形式で作成した監査報告書を，監査の依頼者及び関係者に提出すること
会話形式の解説
講師今回はシステム監査の「フォローアップ」が何をする活動なのかを問う問題です。監査の流れのどの段階の話かに注目すると解きやすくなります。
受験者フォローアップは「後から追いかける」という意味なので、監査の最後のほうだとは思います。ただ、報告書を提出することもその中に入るのかで迷いました。
講師よいところで迷っていますね。システム監査はおおむね「計画→実施→報告→フォローアップ」の順に進みます。報告書を依頼者や関係者に提出するのは「監査報告」の段階で、フォローアップはその次に来ます。
受験者ということは、報告書の提出を説明した選択肢は一つ前の段階の話なので、外れるのですね。
講師そのとおりです。フォローアップは、報告で示された指摘事項を受けて行われる活動です。具体的には、指摘事項に基づいて監査対象先が実施した改善措置を、監査人が確認します。
受験者改善措置を実際に行うのは監査人ではなく、監査を受けた側なのですね。
講師はい。改善措置を実施するのは監査対象先で、監査人は確認や助言をする立場です。確認するのは、改善措置が実施されたかどうかと、それが有効かどうかの両方です。
受験者では、監査の対象範囲を文書化するという選択肢はどうでしょうか。記録を残す作業なので、事後の作業にも見えました。
講師対象範囲の文書化は「監査計画」の段階の作業です。監査計画は監査に着手する前に、目的・範囲・時期などをはっきりさせるものなので、事後の確認ではありません。
受験者残りの、監査の品質管理体制を事前に確かめるという選択肢は、監査の品質に関わる話なので、フォローアップとは目的が違うように思います。
講師そうですね。品質管理体制は、監査そのものの品質を確保するため、主に監査の着手前に整えておく措置です。報告後に改善措置の状況を確認するフォローアップとは、時期も目的も異なります。
受験者整理すると、範囲の文書化は計画、報告書の提出は報告、品質管理は監査の品質確保、そして報告後に改善措置を確認するのがフォローアップ、ということですね。
講師そのとおりです。補足すると、フォローアップでは改善計画や実施状況の情報を集め、適切な措置が適時に講じられているかを見ます。改善が不十分なら追加の改善を求めることもあります。「監査人が自ら改善する」という説明が出たら、立場が違うので引っかけだと気づけるようにしておきましょう。
まとめ
システム監査はおおむね「計画→実施→報告→フォローアップ」の順に進みます。フォローアップは監査報告の後に行う活動で、監査報告書の指摘事項に基づいて監査対象先が実施した改善措置を、監査人が確認するものです。確認するのは、改善措置の実施状況と有効性の両方です。対象範囲の文書化は監査計画の段階、報告書の提出は監査報告の段階の作業で、品質管理体制の確認は監査の品質を確保するための措置です。改善措置を実施するのは監査対象先で、監査人は確認や助言を行う立場だという点も押さえておきましょう。
解答・解説
正解はイです
この問題のテーマ
システム監査の流れのうち「フォローアップ」がどの段階の、どんな活動なのかを問う問題です。監査計画・監査報告・事後確認の区別ができているかが問われています。
解き方の考え方
まず、システム監査がおおむね「計画→実施→報告→フォローアップ」の順に進むことを思い出します。フォローアップは報告の後の活動で、指摘事項に対して監査対象先が行った改善措置を監査人が確認するものです。各選択肢がどの段階の作業を説明しているかを見分ければ、報告後の確認を述べた選択肢が一つだけ残ります。
選択肢ごとの解説
- ×ア 監査の品質管理体制を，システム監査人が事前に確かめておくこと監査の品質管理体制を確かめるという説明は、監査そのものの品質を確保するための措置です。品質管理は監査に先立って整えておくものです。報告後に改善措置の実施状況を確認するフォローアップとは、行う時期も目的も違います。
- ○イ 監査報告書の指摘事項に基づいて監査対象先が実施した改善措置を，システム監査人が確認すること監査報告書の指摘事項に基づいて監査対象先が行った改善措置を監査人が確認するという説明は、フォローアップの内容そのものです。確認するのは、改善措置が実施されたかどうかと、それが有効かどうかです。
- ×ウ システム監査の対象範囲に関する事項を，システム監査人が文書化すること監査の対象範囲を文書化するのは、監査計画を立てる段階の作業です。監査計画は監査に着手する前に、目的・範囲・時期などをはっきりさせるもので、事後の確認ではありません。
- ×エ システム監査の目的に応じた適切な形式で作成した監査報告書を，監査の依頼者及び関係者に提出すること監査報告書を依頼者や関係者に提出するという説明は、監査報告の段階のことです。監査報告はフォローアップの前に来る段階で、フォローアップはこの報告で示された指摘事項を受けて行われます。
補足
改善措置を実施するのは監査対象先で、監査人は確認や助言の立場です。改善が不十分な場合は、追加の改善を求めることもあります。確認にあたっては、改善計画や実施状況の情報を集め、適切な措置が適時に講じられているかを見ていきます。
POINT
- フォローアップは、監査報告の後に、指摘事項に対する改善措置を監査人が確認する活動です。
- 確認するのは、改善措置の実施状況と有効性の両方です。
- 改善措置を実施するのは監査対象先で、監査人は確認や助言を行う立場です。
- 対象範囲の文書化は監査計画の段階、報告書の提出は監査報告の段階の作業です。