今回は、情報システム部門に対するシステム監査に関する問題を取り上げよう。システム監査人の役割や、監査における「独立性・客観性」の原則を理解しているかが問われる良問である。
令和8年度 基本情報技術者試験 科目 A 公開問題
問15 内部監査部門が，情報システム部門に対するシステム監査を経営者から指示された
とき，システム監査人の行為として，適切なものはどれか。
ア 監査報告書に記載した改善提案に対して改善計画を策定した上で，実行する。
イ 基幹システムを開発し，保守を行っている外部事業者に，当該システム監査を委託する。
ウ 経営者がどのようなニーズを有しているかを十分に把握した上で，システム監査の目的と対象範囲を決定する。
エ 情報システム部門の在籍者を監査メンバとして選定する。
出典：令和8年度 基本情報技術者試験 科目 A 公開問題（IPA（情報処理推進機構））
答えを確認する
正解は ウ です。
ア 誤り。
監査報告書で指摘された改善提案に対して、実際に改善計画を策定し、実行するのは被監査部門（情報システム部門など）の役割である。システム監査人はあくまで評価・助言・勧告を行う立場であり、自らシステムの改善作業を行うわけではない。
イ 誤り。
システム監査では、利害関係から離れた「独立性」と「客観性」が厳しく求められる。対象システムの開発や保守を行っている外部事業者は当事者（または利害関係者）であるため、そこに監査を委託することは不適切である。
ウ 正しい。
経営者からの指示で監査を実施する場合、経営者が何を期待し、どの領域を重点的に調査してほしいのか（ニーズ）をしっかりとヒアリング・把握した上で、監査の目的と対象範囲を定めるのが適切なプロセスである。
エ 誤り。
監査を受ける当事者である「情報システム部門」の在籍者を監査メンバに加えると、自分たちの仕事を自分で評価する「自己監査」になってしまい、客観性や独立性が損なわれるため不適切である。
（解法のポイント）
システム監査の問題を解くときは、「システム監査人は監査対象から独立した立場で、客観的に評価する」「改善を実行するのは被監査部門である」という大原則を押さえておこう。選択肢の正誤をスムーズに見極めることができるだろう。
コメント