ITパスポート 平成28年度 春期 特別措置試験 問39

✓ これが正解ウ 情報システムのリスクが適切かつ効果的にコントロールされているかについて，被監査部門から独立した立場で検証し，依頼者に報告する。

解説

独立した立場で確かめ、依頼者へ報告するのが役目です。

システム監査人は、仕組みを作る人でも回す人でもなく、外から見る人です。だから記述を読むときは、動詞と立ち位置の二つを見ます。仕組みを導入すると書いてあれば作る側、方針や目標を定めると書いてあれば決める側、点検の仕組みを入れて安定させると書いてあれば回す側です。いずれも中に入って手を動かしています。残る一つだけが、調べられる部門から離れた立場で確かめ、その結果を頼んだ人に伝えると書いています。誰に対して報告するかまで書いてあるのは、この一つだけです。外から見て、内に返す。この往復が書かれているかどうかで割ると、長い記述でも迷いません。記述が長いときほど、動詞と立ち位置の二つだけを拾います。導入する、定める、整えるはいずれも中に入る動詞で、検証する、報告するだけが外から中へ向かう動詞です。

ほかの選択肢の解説

• ア 業務の流れや内容に着目して，業務フロー，業務記述書，リスクコントロールマトリクスを作成し，リスクを評価し適切な統制を導入する。：仕事の流れを書き出し、危うさを評価して、ふさわしい統制を導入するという記述です。作る側の動きなので、外から見る立場とは重なりません。導入するという動詞がそのまま手掛かりになります。導入するという動詞がそのまま印になります。
• イ 情報システムの企画，開発，運用，保守などの各局面に沿って，適切なモニタリングや自己点検の仕組みを導入し，情報システムが安定的に運用されるような措置を講じる。：各局面に点検の仕組みを入れて、安定して動くように手を打つという記述です。回す側の動きにあたります。仕組みを整える点で最も紛らわしい肢ですが、報告する相手がどこにも書かれていません。報告する相手が書かれていません。
• エ …にコントロールされるように，方針や目標を定め体制を整える。：危うさが適切に抑えられるよう、方針や目標を定めて体制を整えるという記述です。決める側、つまり経営の側の動きです。四つのうち三つが中に入る立場で、一つだけが外に立つ立場になっています。決める側、つまり経営の動きになります。