ITガバナンス・内部統制・リスク評価重要度:★★★出題: AM2・PM1・PM2

リスクベースアプローチ（リスクアプローチ監査）

りすくべーすあぷろーち / Risk-Based Audit Approach

限られた監査資源（人員・期間・予算）を最も効果的に配分するため、組織や情報システムのリスクの大きさを評価し、リスクの高い領域に監査資源を重点投下する手法です。

3行速習ポイント

限られた監査資源（人員・期間・予算）を最も効果的に配分するため、組織や情報システムのリスクの大きさを評価し、リスクの高い領域に監査資源を重点投下する手法です。
年度監査計画における監査対象システムの選定だけでなく、個別監査計画における重点監査項目・監査手続の深さ・サンプル数の決定にも適用されます。
試験対策：午後I（令和2年問2・令和7年問1等）・午後II（平成30年問2・令和4年問1等）の中核テーマであり、影響度×発生可能性＋戦略的重要度から監査優先順位を導く論理を記述します。

図リスク評価マトリクス（影響度×発生可能性）に基づく監査資源配分2軸×4象限マトリクス

リスクレベルに応じた監査優先度と監査手続の強弱設定

↕【縦軸】事業・経営への影響度（財務・法令・信用・業務停止）：上段: 甚大（事業停止・重大法令違反）↔下段: 軽微（代替手段あり）

↔【横軸】リスク発生可能性（変更頻度・外部接続・複雑性）：左列: 低い（安定稼働・閉域）──▶右列: 高い（頻繁な改変・外部公開）

【左上・象限1】最優先監査領域（高影響 × 高発生確率）

重点監査・全件分析

基幹系刷新・決済・機微情報・外部公開API等の高リスク領域

年度の重点監査テーマに指定し、経験豊富な監査人やCAAT（全件データ分析）を投入して整備状況・運用状況ともに深掘り検証を実施する。

【右上・象限2】BCP・特権統制の重点検証（高影響 × 低発生確率）

実効性・予防検証

大規模災害・ランサムウェア・特権ID悪用等の致命的事象

発生頻度は低くとも一度起きれば事業継続を脅かすため、IT-BCP訓練の実効性やログ改ざん防止・バックアップ復元テストを厳選して検証する。

【左下・象限3】効率的サンプリング・自動化検証（低影響 × 高発生確率）

試査・自動化確認

日常的な軽微入力ミスや定型申請手続の運用領域

システムによる自動入力チェック（ITAC）の整備状況確認や、第2線による日常的モニタリング結果の閲読・統計的試査で効率的に監査する。

【右下・象限4】ローテーション・自主点検活用（低影響 × 低発生確率）

周期監査・CSA

小規模な部門内参照ツールや影響限定的な独立システム

3〜5年周期のローテーション監査または被監査部門による自己点検チェックシート（CSA）の提出・書面レビューにより監査工数を抑制する。

💡 午後I令和2年問2では「前年度の障害件数や売上規模だけでなく、経営戦略上の重要度（DX・AI活用等）も選定基準に加えるべき」という着眼点が出題されています。

限られた監査資源（人員・期間・予算）を最も効果的に配分するため、組織や情報システムのリスクの大きさを評価し、リスクの高い領域に監査資源を重点投下する手法です。年度監査計画における監査対象システムの選定だけでなく、個別監査計画における重点監査項目・監査手続の深さ・サンプル数の決定にも適用されます。

全社レベルのリスク評価に基づく監査対象テーマ・対象システムの優先順位付け（長期未監査システムや戦略的新規システムの組み込み）
個別システム監査における固有リスク・統制リスクの分析と、高リスク業務プロセスに対する精査・CAAT全件分析等の手厚い監査手続の設定
定量的効果・監査目標例：売上・個人情報取扱量・システム改変規模・戦略的重要度の4軸スコアリングで全85システムを評価し、上位15システムへ監査工数の70%を集中配分