平成24年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25
システム監査
改善勧告に関する問題
内部監査として実施したシステム監査で，問題点を検出後，改善勧告を行うまでの間に監査人が考慮すべき事項として，適切なものはどれか。
- ア改善事項を被監査部門へ事前に通知した場合，不備の是正が行われ，元から不備が存在しなかったように見える可能性があるので，被監査部門に秘匿する。
- イ監査人からの一方的な改善提案は実行不可能なものとなるおそれがあるので，改善勧告の前に，改善策について被監査部門との間で協議する場をもつ。
- ウ経営判断に関与することを避けるため，不備を改善する際の経済合理性などの判断を行わず，そのまま経営者に対する改善勧告とする。
- エ将来のフォローアップに際して，客観的で中立的な判断を阻害する要因となるので，改善勧告の優先度付けや取捨選択を行うことを避ける。
答えと解説を見る
✓ これが正解イ監査人からの一方的な改善提案は実行不可能なものとなるおそれがあるので，改善勧告の前に，改善策について被監査部門との間で協議する場をもつ。
解説
改善勧告の前に、改善策を被監査部門と協議します。
システム監査で検出した問題点は、最終的に改善勧告として報告されます。改善勧告は、被監査部門が実際に改善に取り組んで初めて意味を持ちます。監査人が一方的に作った改善提案は、現場の事情や制約を踏まえておらず、実行できないおそれがあります。そこで監査人は、勧告を出す前に被監査部門と意見を交わし、事実誤認がないかを確かめるとともに、改善策が実行可能かを協議します。判断の軸は、改善勧告が事実に基づき、実行できるものになっているかどうかです。
ほかの選択肢はなぜ違うのか
- ア改善事項を被監査部門へ事前に通知した場合…：指摘事項を被監査部門に隠すのは誤りです。事前に伝えて事実を確かめ合うのが原則で、報告前に是正されても、不備があった事実は監査調書に記録として残せます。
- ウ経営判断に関与することを避けるため，不備…：経済合理性を考えずにそのまま勧告すると、費用に見合わない改善を求めることになりかねません。費用対効果も踏まえて勧告を組み立てるのが監査人の役割です。
- エ将来のフォローアップに際して，客観的で中…：重要度や緊急度に応じて勧告の優先度を付けるのは、むしろ行うべきことです。優先度が示されていれば、経営者や被監査部門が対応の順序を判断しやすくなります。
この問題の用語
- 改善勧告監査で見つかった問題について、直すよう促す申し入れのことです。事実の誤りがないかを相手と確かめてから、報告書に載せます。
- 被監査部門監査を受ける側の部門のことです。求められた調査には応じますが、存在しない証憑を作ったり、監査の項目を自分で決めたりはしません。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 内部監査組織が自分たちの仕組みを、業務の担当から離れた立場の者が点検すること。結果は改善のための見直しに使われます。
- 監査人システム監査を行う人。作る側や運用する側から独立した立場を保ち、自分では作らずに規程や記録を見て確かめます。
- 経営者組織の方向を決め、責任を負う立場の人のことをいいます。経営の方針や目標を定め、人や資金を配分して、その達成に責任を持ちます。
- フォローアップ監査での指摘に対して行われた改善を、後から確かめることです。報告書を出して終わりにせず、直ったかどうかまで見に行きます。
出典：平成24年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25
同じ用語が出る問題
- 令和5年度 秋期 午前Ⅱ 問25：直接修正に関する問題（システム監査）
- 令和5年度 秋期 午前Ⅱ 問24（内部監査）
- 令和4年度 春期 午前Ⅱ 問9（経営者）
- 平成27年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25：監査証拠の説明（被監査部門）
- 平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25：ITガバナンスに関する問題（改善勧告）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）