【システム監査午後II対策】A判定を勝ち取る論述構成：「リスク→コントロール→監査手続・監査証拠」の黄金律

システム監査技術者試験の午後II（120分で2,200〜3,600字の論述）では、プロジェクトマネージャ（PM）やシステムアーキテクト（SA）の受験経験者が陥りやすい特有の不合格パターンがあります。それは、設問イ・設問ウにおいて「私がテスト計画を見直し、バグを解消した」「私がアクセス権限を設定し、セキュリティを強化した」のように、システムを開発・運用する当事者（第1線・第2線）の行動を書いてしまうことです。 システム監査人は、被監査部門から独立した客観的な立場（第3線）から、被監査部門が整備・運用している内部統制（コントロール）の適切性を検証・評価し、問題があれば改善を勧告する役割を担います。したがって、論文の主語は常に「システム監査人である私（または監査チーム）」であり、直接行う行為は「予備調査・ヒアリング」「規程・設計書の閲覧（整備状況評価）」「運用記録・ログと申請書の突合（運用状況評価）」「改善勧告とフォローアップ」でなければなりません。

採点講評で高く評価される論文は、第1章から第3章まで「①想定されるリスク」→「②リスクに対応するコントロール（整備状況と運用状況）」→「③コントロールの有効性を確かめる監査手続と監査証拠」が1対1で対応しています。 たとえば「生成AIの業務利用（令和7年問1）」や「AI技術を利用したシステム（令和2年問1）」をテーマに選ぶ場合、単に「AIの回答精度が低いリスクがある」と書くだけでは不十分です。 1. リスクの具体化：PoC（概念実証）で精度不足が判明して追加学習を行った後、再評価を行わずに本番移行してしまい、誤回答により業務判断を誤るリスク。 2. 必要なコントロール：PoC計画書に目標精度と終了基準を明記し（整備状況）、追加学習後も必ずPoC評価書を作成してステアリングコミッティが本番移行可否を承認する統制（運用状況）。 3. 具体的な監査手続：PoC計画書およびPoC評価書を閲覧し、事前定義された評価基準が記載されているか確かめるとともに、ステアリングコミッティ議事録と突合して、追加学習後の再評価結果に基づき本番移行が承認されているかを検証する。 このように「何の資料（監査証拠）と何の資料を、どの監査技法（閲覧・突合・質問・実査・CAAT等）で検証したか」まで踏み込んで記述することで、システム監査人としての高い専門性を示すことができます。