重要度：B 論点：証拠・調書
問16：監査の結論は本調査で入手した監査証拠に基づいて導き、実施した監査手続とその結果は監査調書に記録して保存する。
解答を見る
○：監査の結論は、監査手続によって入手し、信頼性、関連性及び十分性を評価した監査証拠に基づいて導く。インタビューで得た口頭説明も監査証拠になり得るが、重要な結論については、文書、記録、観察結果、システムから出力したデータなどとの整合や裏付けを確認する。チェックリスト法、ドキュメントレビュー法、インタビュー法、監査モジュール法、並行シミュレーション法などを目的に応じて用いる。実施した手続、入手した証拠、評価及び結論に至る過程は監査調書へ記録して保存する。
重要度：B 論点：フォローアップ
問17：システム監査では、指摘事項への改善は被監査部門の責任で行われるため、監査人がその後の改善状況を確認することはない。
解答を見る
×：指摘事項への改善措置を計画・実施する責任は、経営者、被監査部門又はリスク所有者にある。監査人は改善作業を代行せず、フォローアップによって、改善措置の実施状況と有効性、残存リスク及び経営者等によるリスク受容の状況を確認する。全ての指摘事項が必ず解消されるまで監査を終了できないという意味ではなく、フォローアップの範囲と時期は、リスクの重要性や監査計画などに応じて定める。
重要度：C 論点：情報セキュリティ監査・内部監査
問18：システム監査は社外の専門家が実施し、ISMS内部監査は社内の担当者が実施するため、両者は監査人が社内か社外かだけで区別できる。
解答を見る
×：システム監査は内部監査として実施される場合も、外部監査として実施される場合もある。ISMS内部監査も、組織自身又は組織のために実施され、監査人が自らの業務を監査しないなど、客観性を確保する必要がある。認証機関による審査はISMS内部監査とは別の第三者監査である。情報セキュリティ監査は、情報セキュリティ監査基準及び情報セキュリティ管理基準などを尺度としてセキュリティ対策を評価する。監査の種類は、実施者の所属だけでなく、目的、対象、基準及び依頼関係によって区別する。
重要度：B 論点：4つの目的・6つの基本的要素・職務分掌
問19：金融庁が示す内部統制の基本的枠組みでは、内部統制は、業務の有効性及び効率性、報告の信頼性、法令等の遵守、資産の保全という4つの目的をもつとされ、申請・承認・実行・記録を分担する職務分掌は統制活動の代表例である。
解答を見る
○：基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つである。職務分掌は相互牽制により1人による不正や誤りを抑止・発見するが、共謀など内部統制には限界もある。
重要度：C 論点：全般統制・業務処理統制
問20：IT業務処理統制とは、システムの開発・変更・運用の管理など、複数の業務システムに共通する基盤の統制のことである。
解答を見る
×：これはIT全般統制の説明である。IT業務処理統制は、入力チェックや自動計算、上限エラーの表示など、個々の業務システムに組み込まれた処理の正確性・網羅性を確保する統制を指す。なおITガバナンスは、ITの活用を経営目標に沿って方向づけ統制する経営の仕組みである。
コメント