平成23年度 特別 午前 問57

✓ これが正解ウ情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，IT ガバナンスの実現に寄与する。

解説

仕組みを評価して改善につなげるのが目的です。

言葉を三段に置くと、この問いは一つに決まります。リスクは目的の達成を妨げうる出来事で、情報が漏れる、止まる、誤るといったものです。コントロールは、そのリスクを抑えるために組織が用意した仕組みで、権限の分離、承認の手順、利用の制限、控えの取得などが当たります。システム監査は、そのコントロールがきちんと整えられ、実際に働いているかを、独立した立場から確かめ、評価して改善を促す活動です。正解の肢は、情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し、改善につなげることによって IT ガバナンスの実現に寄与する、と述べており、この三段をそのまま並べています。IT ガバナンスとは、経営者が情報技術の使い方を統制し、組織の価値につなげる仕組みのことです。監査はその一部品で、うまく回っているかどうかを経営者の目の代わりに確かめます。ここで大切なのは、監査が直すのではなく、確かめて助言するという点です。実際に直すのは指摘を受けた側であり、そこが独立という言葉の要になります。何を見ているのかという一点で四つの記述を並べると、重なりなく分かれます。

ほかの選択肢はなぜ違うのか

• ア外部の専門企業によるテストによって，社内…：外部の専門企業によるテストで社内ネットワーク環境の脆弱性を知り、環境を整備するという内容です。見ているのが技術上の穴に限られており、しかも自ら整備まで行うので、確かめて助言する立場から外れます。
• イ自社の強み・弱み，自社を取り巻く機会・脅…：自社の強みと弱み、機会と脅威を整理して新たな経営戦略や事業分野を設定する内容です。経営環境を見渡すための道具であって、組織が用意した仕組みが働いているかを確かめる活動ではありません。
• エソフトウェア開発の生産性のレベルを客観的…：ソフトウェア開発の生産性のレベルを客観的に知り、開発組織の能力を高めていくという内容です。対象が開発する力に絞られており、仕組み全体が働いているかを見る活動とは範囲が違います。