情報セキュリティマネジメント プロジェクト・サービスマネジメント・システム監査 択一式（応用） 第11問〜第15問

正解：B

・A
監査対象を開発した部門の責任者が監査すると、自己レビューの脅威が生じ、監査対象から独立しているという外観を確保できず、監査判断の客観性にも疑義が生じる。

・B
正しい。監査人は監査対象から独立し、精神的独立性と外観的独立性を確保して、誠実かつ客観的に判断できる体制で監査を実施する必要がある。

・C
自己の業務を自ら評価すると自己レビューの脅威が生じ、監査に必要な客観性を確保できない。

・D
被監査部門の指揮下では、不利な事実の指摘が妨げられるおそれがある。

正解：C

・A
この設問で示した標準的な監査プロセスでは、監査計画を定めた後に調査へ進む。計画のための事前の情報収集を行う場合はあるが、本調査が計画に先行することはない。

・B
概要を把握する予備調査が、証拠を集める本調査より先に来る。

・C
正しい。計画・予備調査・本調査・評価と報告・フォローアップの順である。

・D
報告は調査と評価を終えた後に行うものである。

正解：D

・A
これは本調査における監査証拠の入手であり、部門による自己評価ではない。

・B
これはフォローアップであり、改善の状況を監査人が確認する手続である。

・C
これはコンプライアンス監査であり、監査人が実施する検証の活動である。

・D
正しい。CSA（統制自己評価）は、業務を担う部門自身が統制の状況を評価して改善につなげる取組みであり、監査を代替するものではなく補完する。

正解：A

・A
正しい。管理者の口頭説明も監査証拠になり得るが、それだけでは月次棚卸の実施を十分に裏付けられない。棚卸の実施記録、対象期間の権限一覧、承認記録及び棚卸後の是正記録などを照合して確認する。

・B
説明内容を記録すること自体には意味があるが、管理者の説明だけで「毎月実施している」と評価を確定すると、監査証拠の十分性及び適切性を欠く。

・C
追加の証拠収集を尽くさないままの断定は、評価の根拠を欠く。

・D
保留では監査の目的を達成できない。入手できる証拠で当期の状況を評価する。

正解：C

・A
監査人が自ら改善すると、自分の作業を自分で評価することになり独立性を失う。

・B
指摘事項を単に保留するのではなく、リスクを評価し、改善、代替措置又は適切な権限者によるリスク受容などの対応を決定する必要がある。

・C
正しい。改善措置を計画・実施する責任は経営者、被監査部門又は改善責任部門にあり、監査人は改善を代行しない。フォローアップでは、改善措置の実施状況と有効性、残存リスク及び必要に応じて権限者によるリスク受容の状況を確認する。

・D
監査人が改善の完了を宣言する立場ではない。監査人は客観的な証拠に基づいて改善状況や残存リスクを確認し、その結果を監査の依頼者である経営者等へ報告する。