情報セキュリティマネジメント 平成30年度 春期 午前 問40

✓ これが正解イ 監査部門から要求されたアンケート調査に回答し，監査の実施に先立って監査部門に送付する。

解説

求められた調査に回答し事前に送るのが適切な行為です。

システム監査は、監査する側と監査される側で役割がはっきり分かれているからこそ意味を持ちます。何をどこまで調べるかは監査部門が独立した立場で決め、被監査部門はその求めに応じて事実をありのままに差し出す。この分担が崩れると、監査は身内の点検と変わらなくなります。監査部門から要求されたアンケート調査に回答し、実施に先立って送っておくことは、調べる側が実態をつかむための材料を提供する行いなので、被監査部門の対応として適切です。逆に、調べる範囲や取り上げるテーマ、確認する項目を監査される側が自分で決めてしまうと、都合の悪いところが調査から抜け落ちても誰も気づけません。

ほかの選択肢の解説

• ア 監査部門から提出を要求された証憑の中で存在しないものがあれば，過去に遡って作成する。：求められた証憑が残っていないという事実こそ、監査で明らかにすべき実態です。後から作って形をそろえれば実態を偽ることになり、調査そのものを無意味にしてしまいます。
• ウ システム監査で調査すべき監査項目を自ら整理してチェックリストを作成し，それに基づく監査の実施を依頼する。：何を確かめるかは、独立した立場から調べる側が組み立てる事柄です。調べられる側が確認項目を用意して渡す形では、見られたくない点を外す余地が残り、客観性を保てません。
• エ 被監査部門の情報システムが抱えている問題を基にして，自ら監査テーマを設定する。：どの領域を取り上げるかを決めることも、調べる側の仕事に属します。自分が抱える問題を自分で選んで調べてもらう形は自己点検であり、外から見てもらう仕組みにはなりません。