システム監査基準におけるコントロールの視点｜科目A-1（応用情報技術者） 令和7年 秋期午前試験 問60
出典：令和7年秋期 午前 問60
分野：システム監査（中分類） ／ システム監査（小分類）
システム監査基準（令和5年）に従い，監査目的に基づいて，ガバナンス，マネジメント，コントロールの視点から検証・評価を行う。"コントロールの視点"から行う項目はどれか。
- ア：IT投資の結果が適切なリターンを生んでいるか。
- イ：異常なアクセスを検出した際に適時に対処及び報告がなされているか。
- ウ：情報セキュリティ対策がPDCAサイクルに基づいて適切に管理されているか。
- エ：新技術や技術革新を経営戦略推進のために適時適切に利活用できているか。
TSUNAGARU-ADVICE
まず押さえたいこと
コントロールの視点では、現場の業務やシステムに組み込まれた管理策が、実際に機能しているかを検証します。例えば、不正や異常を検知した後に、定められた手順どおり対処・報告されているかという具体的な統制の有効性を確認します。
迷ったときの判断軸
ガバナンスは、IT投資や新技術活用が経営戦略や価値創出につながっているかを見る視点です。マネジメントは、方針や仕組みがPDCAサイクルで適切に管理されているかを見る視点です。コントロールは、アクセス監視、承認、記録、報告などの個別管理策が機能しているかで判断しましょう。
科目Bにつなげるために
特にプロフェッショナルデジタルスキル（マネジメント）試験合格を目指す方は、ガバナンスを経営層、マネジメントを管理の仕組み、コントロールを現場の具体的な統制として整理すると有効です。監査事例では、どの階層の問題なのかを切り分ける力につながります。
システム監査基準（令和5年）は、システム監査人が有効かつ効率的に監査を行うための行動指針です。
システム監査では、専門性と客観性を持つシステム監査人が、情報システムに関する取組を一定の基準に基づいて点検・評価・検証します。
監査の目的は、情報システムの管理や運用が適切に行われていることを確認し、監査報告の利用者に保証を与えることです。また、必要に応じて改善のための助言も行います。
ガバナンスは、経営の視点で「何を目指すのか」「どのリスクに対応するのか」「資源をどう使うのか」を決め、目標達成の状況を確認する活動です。
マネジメントは、その方針を実現するために、計画を立て、仕組みを作り、日々の業務を運営し、継続的に見直す活動です。
コントロールは、リスクに対応するための具体的な手段です。たとえば、承認手続・アクセス権限の管理・バックアップ・入退室管理・ログ監視などが該当します。
つまり、ガバナンスは「方向性を決めて監視すること」、マネジメントは「方針に沿って運営すること」、コントロールは「リスクを抑えるための具体的な対策」と考えると分かりやすいです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：IT投資の結果が適切なリターンを生んでいるか。
⇒IT投資が経営目標の達成や価値の創出につながっているかを評価する内容であり、主にガバナンスの視点に該当します。
ウ：情報セキュリティ対策がPDCAサイクルに基づいて適切に管理されているか。
⇒PDCAサイクルを通じて情報セキュリティ対策を計画・実施・評価・改善しているかを確認する内容であり、主にマネジメントの視点に該当します。
エ：新技術や技術革新を経営戦略推進のために適時適切に利活用できているか。
⇒新技術を経営戦略にどのように活かすかという方向性や意思決定に関する内容であり、主にガバナンスの視点に該当します。