問3 システムの有効性の監査

近年,IT ガバナンスの重要性が増加している。“システム管理基準”についても,経済産業省は平成30 年に改訂し,IT ガバナンスに関する内容を大幅に拡充している。具体的には,IT ガバナンスに関わる組織体制を示し,その中における経営陣や情報システム戦略委員会などの各種委員会,さらには情報システム部門や利用部門などが果たすべき役割を明確にし,それを受けてIT ガバナンスを構築・運用する際の指針と着眼点を例示している。このような基準の整備と併せて,IT ガバナンスへの関心の高まりもあって,IT ガバナンスに関する監査への期待も増してきている。 本問では,システムの有効性を着眼点とする内部監査を通じて,IT ガバナンスの適切性を評価・検証する場合のリスク,コントロール及び監査手続に関して必要な能力を問う。

問3 は,システムの有効性を着眼点とする内部監査を通じて,IT ガバナンスの適切性を評価・検証する場合のリスク,コントロール及び監査手続について出題した。全体として正答率は平均的であった。IT ガバナンスに関する内部監査としてのシステム監査人の対応にポイントがあった。 設問1 は,IT ガバナンスにおける経営陣の関与について問うたが,正答率は低かった。経営陣への報告や情報システム戦略委員会への報告について記述した解答が少なく,評価の時期や評価基準について記述した解答が散見された。まずもって,IT ガバナンスの意義についての理解を深めてもらいたい。 設問2 及び設問4 は,リスクに対するコントロールを問うた。正答率は平均的であったが,解答の中には,利用者へのアンケートの実施などの特定の対策や,特定の部署に限定した対策を記述した解答が散見された。状況を正しく捉え,汎用的な対策を解答してほしかった。 設問5 は,監査手続を問うたが,正答率はやや低かった。監査項目だけを記述した解答が散見され,監査手続として何をどのように確認するのかを記述した解答は少なかった。状況を正しく捉え,適切な監査手続を記述してほしかった。