情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅰ 問21: 企業において整備したシステム監査規程の最終的な承認者として，最も適切な者は誰か。

問題本文

企業において整備したシステム監査規程の最終的な承認者として，最も適切な者は誰か。

選択肢

• ア.監査対象システムの利用部門の長
• イ.経営者
• ウ.情報システム部門の長
• エ.被監査部門の長

正解

イ. 経営者

解説

システム監査規程は組織全体の監査の枠組みを定める重要文書であり、独立性と権威付けを担保するため最終承認は経営者が行うのが適切。よってイが正解。監査は経営者の意思のもと利用部門や情報システム部門から独立して実施されるべきで、被監査側の長が承認すると独立性が損なわれる点が判断の核心。

選択肢ごとの解説

• ア.利用部門の長は監査対象側であり、規程の最終承認者としては独立性を欠き不適切で誤り。
• イ.監査の独立性と組織全体への権威付けを担保するため、経営者が最終承認するのが適切で正解。
• ウ.情報システム部門の長は被監査側になり得るため、規程の最終承認者としては独立性を欠き不適切で誤り。
• エ.被監査部門の長が自ら承認すると監査の独立性が損なわれてしまうため、最終承認者として誤り。