平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25
システム監査
ITガバナンスに関する問題
システム監査報告書に記載された改善勧告に対して，被監査部門から提出された改善計画を経営者が IT ガバナンスの観点から評価する際の方針のうち，適切なものはどれか。
- ア1 年以内に実現できる改善を実施する。
- イ経営資源の状況を踏まえて改善を実施する。
- ウ情報システムの機能面の改善に絞って実施する。
- エ被監査部門の予算の範囲内で改善を実施する。
答えと解説を見る
✓ これが正解イ経営資源の状況を踏まえて改善を実施する。
解説
経営者は組織全体の経営資源の状況を踏まえて改善を判断します。
IT ガバナンスとは、経営者が組織全体の視点から IT の活用を方向づけ、統制することです。監査の改善勧告を受けて被監査部門が改善計画を出したとき、経営者はその部門の都合だけで判断するのではありません。人や予算といった組織全体の経営資源の状況を踏まえ、どの改善をどの順で進めるかを決めます。見分ける軸は、判断の枠が組織全体に広がっているか、部門や期間、機能といった狭い枠に閉じているかです。
ほかの選択肢はなぜ違うのか
- ア1 年以内に実現できる改善を実施する。：1 年以内に実現できるものに限ると、重要でも時間のかかる改善が外れてしまいます。期間で機械的に線を引く方針であり、経営の立場から優先度を判断しているとはいえません。
- ウ情報システムの機能面の改善に絞って実施す…：情報システムの機能面だけに絞ると、体制や運用の手順など、機能以外についての改善勧告が置き去りになります。勧告全体を見て判断する方針とはいえません。
- エ被監査部門の予算の範囲内で改善を実施する…：被監査部門の予算の範囲に収めると、判断が一つの部門の事情にとどまります。経営者は部門を越えて資源を配分できる立場にあり、その視点が抜けています。
この問題の用語
- 改善勧告監査で見つかった問題について、直すよう促す申し入れのことです。事実の誤りがないかを相手と確かめてから、報告書に載せます。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 監査報告書監査の結果と意見、改善の勧告をまとめて伝える文書のことです。原案は相手と意見交換し、事実誤認がないかを確かめます。
- 被監査部門監査を受ける側の部門のことです。求められた調査には応じますが、存在しない証憑を作ったり、監査の項目を自分で決めたりはしません。
- 経営者組織の方向を決め、責任を負う立場の人のことをいいます。経営の方針や目標を定め、人や資金を配分して、その達成に責任を持ちます。
- 情報システム業務に必要なデータを集め、処理し、伝えるための仕組み全体です。コンピュータや通信網だけでなく、それを使う人や業務の手順も含みます。
出典：平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25
同じ用語が出る問題
- 令和5年度 秋期 午前Ⅱ 問25：直接修正に関する問題（監査報告書）
- 令和4年度 秋期 午前Ⅱ 問25：SaaSに関する問題（システム監査）
- 令和4年度 春期 午前Ⅱ 問9（経営者）
- 平成27年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25：監査証拠の説明（被監査部門）
- 平成24年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25：改善勧告に関する問題（改善勧告）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）