保証業務の三当事者｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問25
出典：平成30年秋期 午前Ⅱ 問25
分野：システム監査（中分類） ／ システム監査（小分類）
ある企業が，自社が提供するWebシステムのセキュリティについて，外部監査人による保証を受ける場合において，次の表のA～Dのうち，ITに係る保証業務の"三当事者"のそれぞれに該当する者の適切な組合せはどれか。
| ITに係る保証業務の"三当事者" | |||
| 保証業務の実施者 | Webシステムのセキュリティに責任を負う者 | 保証報告書の想定利用者 | |
| ア | Webシステム利用者 | 外部監査人 | 当該企業の経営者 |
| イ | 外部監査人 | Webシステム利用者 | 当該企業の経営者 |
| ウ | 外部監査人 | 当該企業の経営者 | Webシステム利用者 |
| エ | 当該企業の経営者 | 外部監査人 | Webシステム利用者 |
- ア：A
- イ：B
- ウ：C
- エ：D
TSUNAGARU-ADVICE
まず押さえたいこと
ITに係る保証業務の三当事者は、保証業務を行う「実施者」、対象に責任を負う「責任当事者」、保証報告書を利用する「想定利用者」です。この問題では、保証業務の実施者は外部監査人、Webシステムのセキュリティに責任を負う者は当該企業の経営者、保証報告書の想定利用者はWebシステム利用者と整理します。
迷ったときの判断軸
外部監査人は第三者として保証業務を実施する立場であり、Webシステムのセキュリティ責任を負う立場ではありません。Webシステム利用者は、監査を実施する側ではなく、保証報告書を見てそのシステムを信頼できるか判断する側です。三当事者は、誰が評価し、誰が責任を負い、誰が報告書を使うのかで切り分けましょう。
科目Bにつなげるために
科目Bでは、外部監査・保証報告書・委託先管理・クラウドサービスの信頼性確認などと絡めて問われることがあります。保証業務では、監査人が責任を代わりに負うのではなく、責任は対象を運営する組織に残るため、保証によって誰の判断を支援するのかを意識して整理しておきましょう。
※監査関連試験向け。
ITに係る保証業務の三当事者は、「保証業務の実施者」「主題に責任を負う者」「保証報告書の想定利用者」です。
本問では、保証業務を実施するのは外部監査人です。Webシステムのセキュリティに責任を負うのは、システムを提供する当該企業の経営者です。また、保証報告書を利用してWebシステムの安全性を判断する想定利用者は、Webシステム利用者です。この組合せは表のCに該当します。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：A
⇒Webシステム利用者は保証業務を実施する者ではありません。また、外部監査人はWebシステムのセキュリティに責任を負う者ではなく、独立した立場から保証業務を実施します。
イ：B
⇒外部監査人が保証業務を実施する点は正しいですが、Webシステムのセキュリティに責任を負うのは利用者ではなく、システムを提供・管理する当該企業の経営者です。
エ：D
⇒当該企業の経営者は保証業務の実施者ではなく、Webシステムのセキュリティに責任を負う者です。保証業務は、独立した外部監査人が実施します。