ITパスポート試験 ITパスポート 2016年 (平成28年 秋期) 問40: 監査を,業務監査,システム監査,情報セキュリティ監査に分類したとき,監査の目的に関する記述a~dと監査の種類の適切な組合せはどれか。 a 財務諸表がその組織体の

正解

エ. 業務監査:d / システム監査:b / 情報セキュリティ監査:c

正答率 62.8%（1,938人中 1,217人が正解）

問題の解説

監査は対象範囲・目的によって分類される. 業務監査は会計以外の業務全般(製造・販売・人事・購買など)の遂行状況を評価する監査で,本問のdの記述に対応. システム監査は情報セキュリティを含む情報システムに関わるリスクに対するコントロールが,リスクアセスメントに基づいて適切に整備・運用されているかを評価する監査で,本問のbの記述に対応する(経済産業省のシステム監査基準が指針). 情報セキュリティ監査は情報セキュリティに関わるリスクのマネジメントの効果的実施を確保するためのコントロールの整備・運用状況を評価する監査で,本問のcの記述に対応. aの財務諸表の適正性評価は会計監査の説明で本問の3分類に該当しない. したがって正しい組合せはエ(d,b,c)となる.

選択肢ごとの解説

• ア誤り. 業務監査をa(財務諸表が組織体の財産・損益状況を適正に表示しているか評価)とする組合せだが,aは会計監査の説明であり業務監査には該当しない. システム監査をc(情報セキュリティリスクの評価)とするのも本来の対応関係ではなく,組合せ全体が正しい対応関係になっていない選択肢である.
• イ誤り. 業務監査をb(情報システムリスクのコントロール評価)とする組合せだが,bはシステム監査の説明であり業務監査ではない. さらに情報セキュリティ監査をd(業務全般の遂行状況評価)としているのも対応関係が逆転しており,全体的に各記述と監査種類の対応が誤った組合せとなっている.
• ウ誤り. 業務監査をc(情報セキュリティリスクのコントロール評価)とするのも本来の対応関係ではなく,システム監査をd(業務全般の遂行状況評価)とするのも誤りである. 各記述と監査種類の対応が一致しない組合せで,監査の目的範囲を取り違えた整理として不適切な選択肢である.
• エ正しい. 業務監査=d(業務全般の遂行状況評価),システム監査=b(情報システムリスクのコントロール整備・運用評価),情報セキュリティ監査=c(情報セキュリティリスクのコントロール整備・運用評価)の組合せが正しいため. 各監査の対象範囲と目的の対応関係に合致する正解の組合せである.