令和7年度 秋期 午前Ⅱ 問3

✓ これが正解エリスクの大きさは，脅威と脆弱性が決定要因となるリスク発生可能性とリスクが発生した場合に組織体が受ける影響度の組合せで評価される。

解説

リスクの大きさは、発生可能性と影響度の組合せで評価されます。

システム監査基準（令和5年）は、リスクの高いところに監査の手間を重点的に振り向けるリスクアプローチで監査を進めることを求めています。見分ける軸は、どのリスクの話をしているか、そして効率と網羅のどちらを重んじるかです。リスクの大きさは、脅威と脆弱性によって決まる発生可能性と、起きたときに組織体が受ける影響度を組み合わせて評価されます。この評価があるからこそ、限られた監査資源をどこに配るかを決められます。監査対象に対するリスクと、監査そのものが目的を果たせないリスクとは、別のものとして扱われる点も押さえておくと、似た言い回しの記述に惑わされにくくなります。

ほかの選択肢はなぜ違うのか

• ア監査対象に対するリスクとは，組織体に対し…：重要な影響を与えるリスクを発見できないなど、監査の目的が達成できない可能性を抑えられないというのは、監査を行う側の結論が誤るおそれについての説明です。監査対象である組織体の情報システムに関わるリスクの定義としては、対象が取り違えられています。
• イ監査の効率性よりも網羅性に重点を置くこと…：リスクアプローチは、リスクの高い領域に監査資源を重点的に配ることで、監査を効果的かつ効率的に行うための考え方です。効率性よりも網羅性に重点を置くという説明は、向きが逆になっています。
• ウ保証を目的としたシステム監査計画策定にお…：残存リスクは、もともとの固有リスクに対して統制がどれだけ働いているかを踏まえて見積もるものです。固有リスクや統制リスクを考えなくてよいという説明は成り立たず、対象先の選定や優先度の判断でも、これらの検討が土台になります。