システム監査技術者 午前IIの頻出テーマ整理：システム監査基準・J-SOX・試査とCAAT・セキュリティ法規

システム監査技術者の午前II試験（40分・25問）は、他の高度試験区分と比較しても過去問の再出題率が高く、出題領域が明確に定まっています。特に前半〜中盤に出題される「システム監査」分野（約12〜14問）は、以下の4テーマを押さえるだけで安定して高得点が狙えます。 1. システム監査基準・システム管理基準・情報セキュリティ監査基準：監査人の独立性（外観上の独立性と精神上の独立性）、保証型監査と助言型監査の違い、他の監査人や外部専門家の利用時における最終責任の所在（利用したシステム監査人自身にある）、監査調書の作成・保管義務。 2. 監査リスクモデルと試査（サンプリング）・CAAT：監査リスク（AR）＝固有リスク（IR）×統制リスク（CR）×発見リスク（DR）の関係、統計的サンプリング（属性サンプリング＝内部統制の逸脱率推定、変数サンプリング＝金額等の推定）、およびCAAT（テストデータ法、並行シミュレーション法、ITF法、汎用監査ソフトウェアによる全件抽出）。 3. COSO内部統制フレームワークとJ-SOX（財務報告に係る内部統制）：4つの目的（業務の有効性・効率性、財務報告の信頼性、法規制の遵守、資産の保全）と6つの基本的要素（統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応）、およびIT全般統制（ITGC）とIT業務処理統制（ITAC）の区分。 4. 個別業務・開発・運用プロセスの監査要点：エディットバリデーション（ニューメリックチェック、リミットチェック、論理チェック、チェックディジット）、バッチトータルチェック、ラン・ツー・ラン・コントロール、およびRTO（目標復旧時間）とRPO（目標復旧時点）の区別。

午前IIの後半では、情報セキュリティ（公開鍵基盤PKI、OAuth 2.0、WAF/SIEM、CSIRT、CVSS、JIS Q 27001/27002、クラウドセキュリティJIS Q 27017）および法務・標準規格（個人情報保護法、不正アクセス禁止法、著作権法、労働者派遣法と請負契約の区分、グリーンIT・環境関連法規）が出題されます。 特に法務分野の「請負契約と派遣契約（準委任契約）の違い（発注者がベンダの作業員に直接指揮命令を行うと偽装請負となる点）」や「個人情報保護法における安全管理措置・第三者提供・委託先の監督」は、午前IIだけでなく午後Iの外注管理監査・顧客情報管理監査の背景知識としてもそのまま問われるため、解説の根拠まで含めて確認しておくのが効果的です。