システム監査｜ITパスポート試験

対策問題（オリジナル）

過去問の傾向をもとに作ったオリジナルの問題です。本試験の問題ではありません。

1. 1／10問・内部統制

   A社では、経理の手順を定めて社内に周知した後も、内部監査部門が四半期ごとに伝票を抜き出して調べ、手順どおりに処理されているかを評価して経営者へ報告している。この活動は、内部統制の基本的要素のうちどれに当たるか。

   1. ア 統制環境
   2. イ リスクの評価と対応
   3. ウ モニタリング
   4. エ ITへの対応
   正解と解説

   正解はウです。

   モニタリングは、作った内部統制の仕組みが働き続けているかを、絶えず見て評価していく働きです。内部監査のように業務から離れた立場から確かめるやり方も含まれ、見つかった弱いところは経営者へ伝えられます。手順を定めた後に、伝票を抜き出して手順どおりかを評価し報告しているので、モニタリングに当たります。

   • ア統制環境は、経営の姿勢や組織の風土といった内部統制の土台で、決めた手順が守られているかを後から調べて評価する活動ではありません。
   • イリスクの評価と対応は、何が起こりうるかを見積もって備えを決める段階で、備えが働いているかを後から確かめる活動とは順番が前後します。
   • エITへの対応は、組織の目標のために情報技術をどう使うかを定めて対応する要素で、伝票を抜き出して手順どおりかを調べる活動を指すものではありません。

   この論点の過去問：令和元年度 秋期 ITパスポート試験（特別措置試験） 問37・令和6年度 ITパスポート試験 問54

2. 2／10問・内部統制

   内部統制に関する記述のうち、誤っているものはどれか。

   1. ア 財務報告に係る内部統制には、売上の数字のもとになる受注を入力する営業部門も関わる。
   2. イ ITへの対応では、今あるシステムを使う人を広げたり使い方を変えたりして目標に届くなら、新しいシステムを入れなくてもよい。
   3. ウ 公表した決算の数字に重大な誤りが見つかったとき、速やかに外部へ知らせることは、内部統制の活動に含まれる。
   4. エ 業務の大半をシステムで処理している会社では、内部統制の整備は情報システム部門だけが受け持てば足りる。
   正解と解説

   正解はエです。

   財務報告に係る内部統制では、外部への報告に影響を与える業務を持つ部門がすべて関わります。数字が生まれる受注の入力、仕組みを作って動かす部分、数字をまとめる経理のどこが抜けても、そこから誤りが入り込みます。システムで処理する業務が多くても、関わるのは情報システム部門だけにはならないので、この記述が誤りです。

   • ア売上の数字は受注のときに入力された内容がもとになるので、受注を扱う営業部門も関わるという記述は正しいです。
   • イITへの対応は新しい仕組みを次々に入れることを求めるものではなく、今の仕組みの使い手や使い方を変えて目標に届くならそれで足りるので、正しい記述です。
   • ウ誤りを隠さずに明らかにし、外から確かめられる状態を保つことも内部統制の活動なので、正しい記述です。

   この論点の過去問：令和2年度 10月 ITパスポート試験（特別措置試験） 問52・令和7年度 ITパスポート試験 問53・令和8年度 ITパスポート試験 問40

3. 3／10問・システム監査人と独立性

   B社は、販売管理システムの運用手順が守られているかを確かめるシステム監査を行う。監査人として最も適切な者は誰か。

   1. ア 販売管理システムの運用に関わっていない、B社の内部監査室の担当者
   2. イ 販売管理システムの運用を受け持っている、B社の情報システム部の課長
   3. ウ 販売管理システムを毎日使って受注を入力している、B社の営業部の部長
   4. エ 販売管理システムの保守を請け負っている、委託先の会社の責任者
   正解と解説

   正解はアです。

   監査人は、確かめる仕事を作る人や動かす人から独立していなければなりません。自分が関わる仕事を自分で点検すると、都合の悪いところを見落とすからです。求められるのは会社が違うことより、その仕事から離れていることなので、同じB社でも運用に関わっていない内部監査室の担当者が適しています。

   • イ運用を受け持つ課長は、守られているかを確かめられる側の当事者なので、自分の仕事を自分で採点する形になります。
   • ウ毎日使って入力している営業部の部長は運用手順を守る側にいて、確かめる対象の仕事に関わっているので、離れた立場とは言えません。
   • エ委託先は会社こそ違いますが、保守を請け負ってこのシステムに関わっているので、その仕事から離れているとは言えません。

   この論点の過去問：令和7年度 ITパスポート試験 問52・令和元年度 秋期 ITパスポート試験（特別措置試験） 問36

4. 4／10問・システム監査人と独立性

   他社から依頼を受けてシステム監査を行う監査人の行動として、適切でないものはどれか。

   1. ア 監査の中で知った依頼先の内部の事情は、依頼先の了解なく外へ出さない。
   2. イ 監査意見は、集めた記録や資料など、量と質の両方を備えた証拠を拠りどころにして述べる。
   3. ウ 報酬は、見つけて報告した不備の件数が多いほど高くなる取り決めにしておく。
   4. エ 監査の対象となる部門と同じ指揮命令系統に属さない立場で監査を行う。
   正解と解説

   正解はウです。

   指摘した件数によって報酬が変わる取り決めにすると、多く指摘したほうが得になり、判断が歪みます。報酬の決め方そのものが公正さを損なうので、この行動が適切ではありません。監査人の判断は外から信用されるものでなければならず、証拠に基づくこと、独立していること、守秘を守ることが求められます。

   • ア監査人は相手の内部の事情に触れる立場なので、知ったことを無闇に外へ出さない守秘の義務があり、適切な行動です。
   • イ判断の拠り所は思い込みや印象ではなく、十分な量と適切な質を備えた監査証拠なので、適切な行動です。
   • エ同じ指揮命令系統に属していないことは外観上の独立性にあたり、監査人に求められる条件なので、適切な行動です。

   この論点の過去問：令和2年度 10月 ITパスポート試験（特別措置試験） 問48・令和5年度 ITパスポート試験 問37

5. 5／10問・ITガバナンス

   ITガバナンスにおける立場と役割の組合せとして、最も適切なものはどれか。

   1. ア 監査人が、どの分野にIT投資をするかを決め、必要な人と資金を割り当てる。
   2. イ 株主が、日々のシステムの運用を指揮し、ITの使い方の方針を定める。
   3. ウ 情報システム責任者が、事業の目的に合ったITの使い方を決め、その結果に最終の責任を負う。
   4. エ 経営者が、ITの使い方を方向づけて評価し、その結果に責任を負う。
   正解と解説

   正解はエです。

   ITガバナンスは、組織がITをどう使うかを経営の責任として方向づけ、統制する仕組みです。投資してよいかを決め、人と資金を割り当て、その結果に責任を負うのは経営者になります。監査人は仕組みが働いているかを外から確かめる役目、情報システム責任者は決まった方向に沿って実際に整える立場です。

   • ア監査人は仕組みが働いているかを外から確かめる側で、投資の向きを決めて人と資金を割り当てる側ではありません。
   • イ株主は経営者を選んで監督する立場で、日々の運用を指揮したりITの方針を定めたりする役割は負いません。
   • ウ情報システム責任者は決まった方向に沿って実際にシステムを整える立場で、方向を決めて最終の責任を負うのは経営者です。

   この論点の過去問：令和3年度 ITパスポート試験 問49・令和元年度 秋期 ITパスポート試験（特別措置試験） 問53

6. 6／10問・ITガバナンス

   経営者がITの利用を評価するやり方のうち、ITガバナンスの考え方に最も沿うものはどれか。

   1. ア いま動いているシステムが事業の役に立っているかを確かめ、これから事業が向かう先に合わせた使い方も含めて評価する。
   2. イ これまでに入れたシステムの費用と効果を振り返ることだけを行い、次の投資先は担当部門に任せる。
   3. ウ これから入れる新しい技術の候補どうしを比べることだけを行い、いま動いているシステムの評価は省く。
   4. エ 技術がどれだけ新しいかを物差しにして、新しいものから順に今のシステムと入れ替える。
   正解と解説

   正解はアです。

   ITガバナンスで経営者が評価するのは、いま動いているものが役に立っているかと、これから事業が向かう先を踏まえた使い方の両方です。現在と将来をあわせて見るので、この記述が沿っています。評価の物差しは事業の目的を支えられているかで、技術そのものの新しさではありません。

   • イ過ぎたことの振り返りだけでは次にどこへ投じるかを決められず、投資先を担当部門に任せると経営の側が方向づける役割も抜けます。
   • ウ先のことだけを見ていると、いま抱えている仕組みが役に立っているかを見落とすので、現在の評価を省くやり方は沿いません。
   • エ評価の対象は事業の目的を支えられているかなので、技術の新しさを物差しにして入れ替えるやり方は沿いません。

   この論点の過去問：令和6年度 ITパスポート試験 問53

7. 7／10問・監査の手順（計画・調査・報告・フォローアップ）

   システム監査で、監査人が対象部門の業務の流れを示した資料や管理規程を取り寄せて全体のあらましをつかみ、後の段階で重点的に確かめる箇所を絞り込んだ。この作業が属する段階はどれか。

   1. ア 監査計画
   2. イ 予備調査
   3. ウ 本調査
   4. エ 評価・結論
   正解と解説

   正解はイです。

   システム監査は、監査計画、予備調査、本調査、評価・結論の順に進みます。予備調査は、対象のあらましをつかんで、本調査でどこを重点的に見るかを絞り込む段階です。資料を取り寄せて全体をつかみ、重点を絞っているので予備調査に当たります。

   • ア監査計画は、何をどこまで、いつ、どのように確かめるかを始める前に決める段階で、資料を取り寄せて対象のあらましをつかむ段階ではありません。
   • ウ本調査は、絞り込んだ箇所について証拠となる資料や記録を実際に集める段階で、重点を絞り込むのはその前の段階です。
   • エ評価・結論は、集めた結果を照らし合わせて監査意見をまとめる最後の段階で、重点を絞り込む作業はまだその手前です。

   この論点の過去問：令和8年度 ITパスポート試験 問51・令和3年度 ITパスポート試験 問38

8. 8／10問・監査の手順（計画・調査・報告・フォローアップ）

   システム監査の報告と、その後の進め方に関する記述のうち、誤っているものはどれか。

   1. ア 監査報告書には、調べて分かったことと、根拠を添えた意見をまとめ、依頼した相手へ渡す。
   2. イ 報告の後、監査人は指摘した事項に対策がとられるよう指導し、直ったかどうかを確かめる。
   3. ウ 指摘を受けた後に、いつまでに何をどう直すかをまとめる改善計画書は、監査人が作って被監査部門に渡す。
   4. エ 監査人は改善を見届け、必要なら助言をするが、代わりに直す作業までは受け持たない。
   正解と解説

   正解はウです。

   改善計画書は、指摘を受け取った被監査部門が、いつまでに何をどう直すかをまとめるものです。監査人は直し方まで決める立場になく、良し悪しを判定して、対策がとられるよう指導し見届けるところまでが役目です。監査人が改善計画書を作るという記述が誤りです。

   • ア監査報告書の作成は、調べて分かったことと根拠を添えた意見をまとめて依頼した相手へ伝える段階なので、正しい記述です。
   • イ報告の後に対策の実施を指導し、直ったかを確かめる段階はフォローアップと呼ばれ、正しい記述です。
   • エ代わりに直してしまうと独立が保てないので、監査人は指導と見届けまでを受け持つという記述は正しいです。

   この論点の過去問：平成30年度 春期 ITパスポート試験（特別措置試験） 問42・令和元年度 秋期 ITパスポート試験（特別措置試験） 問36・平成31年度 春期 ITパスポート試験（特別措置試験） 問55

9. 9／10問・職務分掌と相互けん制

   経費精算の手続で、不正を防ぐことを目的とした職務分掌の例として、最も適切なものはどれか。

   1. ア 申請が集中する月末は、申請者が自分の申請を自分で承認してよいことにする。
   2. イ 申請を入力する人と、内容を確かめて承認する人を、別の人にしておく。
   3. ウ 精算の入力作業を二人で半分ずつ受け持ち、早く終わらせる。
   4. エ 申請する部門の部長に、承認する部門の部長も兼ねさせる。
   正解と解説

   正解はイです。

   職務分掌は、一人の担当者が最初から最後まで通してしまえる状態を避けるために、役割を分けて互いに確かめ合えるようにする仕組みです。申請する人と承認する人を分けておけば、必ず別の人の目が入ります。入力する人と承認する人を別にする例がこれに当たります。

   • ア申請者が自分の申請を承認できると、誰の目にも触れないまま処理が通ってしまうので、職務分掌の考え方に反します。
   • ウ二人で半分ずつ受け持つのは量を分け合って早く終わらせる工夫で、互いを確かめ合う関係にはなっていません。
   • エ申請側と承認側の部長を兼ねさせると二つの役割が同じ人に集まり、確かめ合う目が働かなくなります。

   この論点の過去問：令和5年度 ITパスポート試験 問50・令和8年度 ITパスポート試験 問40

10. 10／10問・監査の種類（会計監査・業務監査・情報セキュリティ監査）

    監査の種類と、その監査で確かめる内容の組合せとして、適切なものはどれか。

    1. ア 会計監査 ― 社内の情報資産を守るためのリスクへの手当てが、実際に成果を上げているか
    2. イ 業務監査 ― 日々の取引が決算報告書にまとめられるまでの処理に、不正や誤りがないか
    3. ウ 会計監査 ― 会社のいろいろな業務が組織の方針に沿い、無駄なく理にかなった形で運用されているか
    4. エ 情報セキュリティ監査 ― 情報資産に関わるリスクを洗い出して手を打つ取組が、実際に成果を上げているか
    正解と解説

    正解はエです。

    監査は、何を確かめるかで呼び名が分かれます。情報セキュリティ監査は、組織の情報資産に関わるリスクマネジメントが効果的に実施されているかを検証し評価するものです。危険を洗い出して手を打つ取組が成果を上げているかを確かめる内容と組になるので、この組合せが適切です。

    • ア情報資産を守る取組を確かめるのは情報セキュリティ監査で、会計監査はお金の記録に不正や誤りがないかを見るものです。
    • イ取引の発生から決算報告書への集計まで、不正や誤りのない処理かを確かめるのは会計監査で、業務監査ではありません。
    • ウ諸業務が組織の方針に従って合理的かつ効率的に運用されているかを確かめるのは業務監査で、会計監査ではありません。

    この論点の過去問：令和7年度 ITパスポート試験 問38・令和5年度 ITパスポート試験 問52