ITパスポート試験 ITパスポート 2013年 (平成25年 春期) 問51: システム監査の実施内容に関する記述のうち,適切なものはどれか。

正解

ウ. 情報システムのリスクに対するコントロールが適切に整備・運用されているかを,監査対象から独立した第三者が評価する。

正答率 68.0%（1,124人中 764人が正解）

問題の解説

システム監査は、情報システムのリスクに対するコントロール(統制)が適切に整備・運用されているかを、監査対象から独立した立場の者が客観的に点検・評価する活動である。要点は、評価する側が対象と利害関係をもたない第三者であることで、開発者や管理者が自分で行う作業は監査にあたらない。

選択肢ごとの解説

• ア品質マネジメントシステムを品質管理責任者が構築し運営するのは、組織が自ら仕組みを作って動かす活動である。第三者による評価ではないので、システム監査にはあたらない。
• イ開発担当者が自分で作ったシステムをテストするのは、開発工程の中の確認作業である。評価する人が開発者本人で対象から独立していないため、システム監査にはあたらない。
• ウ正しい。リスクに対するコントロールの整備・運用状況を、監査対象から独立した第三者が評価するのが、システム監査の考え方そのものである。
• エシステム管理者が専用ソフトで自らセキュリティホールを調べるのは、運用側が行う自己点検である。独立した第三者による評価ではないので、システム監査にはあたらない。