システム監査報告書に記載する指摘事項｜情報セキュリティマネジメント 平成31年 春期午前試験 問39
出典：平成31年春期 午前 問39
分野：システム監査（中分類） ／ システム監査（小分類）
システム監査報告書に記載する指摘事項に関する説明のうち，適切なものはどれか。
- ア：監査証拠による裏付けの有無にかかわらず，監査人が指摘事項とする必要があると判断した事項を記載する。
- イ：監査人が指摘事項とする必要があると判断した事項のうち，監査対象部門の責任者が承認した事項を記載する。
- ウ：調査結果に事実誤認がないことを監査対象部門に確認した上で，監査人が指摘事項とする必要があると判断した事項を記載する。
- エ：不備の内容や重要性は考慮せず，全てを漏れなく指摘事項として記載する。
TSUNAGARU-ADVICE
まず押さえたいこと
システム監査報告書の指摘事項は、監査証拠に基づいて事実を確認した上で、監査人が必要と判断した事項を記載するのが基本です。その際、事実誤認がないかを監査対象部門に確認することも重要です。
迷ったときの判断軸
指摘事項は監査対象部門の承認を得て決めるものではなく、監査人が独立して判断すると考えましょう。また、監査証拠による裏付けがない事項を記載したり、重要性を考慮せず全ての不備を同じように指摘したりするのも適切ではありません。
科目Bにつなげるために
科目Bでは、監査で発見した問題について、事実確認、証拠による裏付け、重要性の評価を行った上で報告する流れを意識しましょう。監査対象部門と事実認識を合わせることと、指摘内容そのものの最終判断を監査人が行うことは分けて考えるのがポイントです。
システム監査報告書に記載する指摘事項は、監査人が収集した監査証拠に基づいて判断する必要があります。その上で、調査した事実について監査対象部門と認識のずれがないかを確認し、重要性などを踏まえて指摘事項としてまとめます。
本問では、「調査結果に事実誤認がないことを監査対象部門に確認した上で」「監査人が指摘事項とする必要があると判断した事項」という部分が判断のポイントです。監査人自身が最終的に判断しつつ、事実関係の確認も行っているため、ウが適切です。
❌他選択肢が誤りの理由ア：監査証拠による裏付けの有無にかかわらず，監査人が指摘事項とする必要があると判断した事項を記載する。
⇒指摘事項は、監査人の主観だけで記載するものではありません。監査証拠による裏付けが必要です。
イ：監査人が指摘事項とする必要があると判断した事項のうち，監査対象部門の責任者が承認した事項を記載する。
⇒指摘事項を記載するかどうかを最終的に判断するのは監査人です。監査対象部門の責任者の承認を得ることが要件ではありません。
エ：不備の内容や重要性は考慮せず，全てを漏れなく指摘事項として記載する。
⇒全ての不備を機械的に指摘事項とするのではなく、影響や重要性などを考慮して監査報告書に記載します。重要性を考慮しないという点が不適切です。