Question 1

システム監査の目的として、最も適切なものはどれか。

Accepted Answer

ITガバナンス等の適切性を評価し助言・勧告すること。【解説】システム監査の目的は、独立した立場のシステム監査人が、情報システムに関するガバナンス・マネジメント・コントロールの状況を一定の基準に照らして検証・評価し、その結果を踏まえて改善のための助言や勧告を行うことにある。これにより、情報システムに関わるリスクの適切な低減と、情報システムが組織目的の達成に貢献しているかどうかの確認につなげる。【他の選択肢が不適切な理由】監査人自らがシステム開発を代行することは、監査人に求められる独立性を損ない、自己の作業を自己が評価することになるため適切でない。人事異動の直接決定は監査人の役割ではなく、経営層や人事部門が担う事項である。情報システムの利用禁止を判断することも監査の目的ではなく、監査はあくまで検証・評価と助言・勧告にとどまる。

Question 2

社内のシステム監査人が監査を実施する際に確保すべき最も重要な要件はどれか。

Accepted Answer

被監査部門から独立した立場で客観的に評価する独立性。【解説】システム監査人には、監査対象となる部門や業務から独立した立場で、先入観や利害関係にとらわれずに客観的な評価を行う独立性が求められる。自ら開発や運用に関与したシステムを自分で監査すると、公正な評価が難しくなるため、組織上・精神上の両面での独立性を確保することがシステム監査基準でも重視されている。【他の選択肢が不適切な理由】被監査部門の目標達成を最優先する立場では、問題点を指摘しにくくなり客観的な評価ができない。監査結果を被監査部門の意向どおりに書き換えることは、監査の公正性・信頼性を根本から損なう行為である。監査対象システムの開発を自ら兼務することは、自己の関与した業務を自ら評価することになり独立性を欠く。

Question 3

システム監査において、監査人が監査意見の根拠となる記録(監査証跡・監査証拠)を適切に残すことが重要とされる理由として、最も適切なものはどれか。

Accepted Answer

監査意見の妥当性を裏付け後日の検証や説明を可能にするため。【解説】システム監査では、監査人が示す意見や指摘事項が、恣意的な判断ではなく客観的な事実に基づくものであることを担保するため、監査の過程で得た記録(監査証跡・監査証拠)を監査調書として適切に残すことが求められる。これにより、監査結果の妥当性を第三者が後日検証したり、被監査部門への説明責任を果たしたりすることが可能になる。【他の選択肢が不適切な理由】監査調書は監査意見の根拠となる重要な記録であり、内容の正確性が問われないということはない。記録を残すことは監査の目的そのものではなく、監査意見の妥当性を支えるための手段である。証拠を残す作業自体は相応の労力を伴うため、記録を残すことで監査期間が大幅に短縮されるという関係にもない。

Question 4

内部統制の基本的要素の一つである「モニタリング」の説明として、最も適切なものはどれか。

Accepted Answer

内部統制が有効に機能しているかを継続的に監視・評価する活動。【解説】内部統制の基本的要素の一つであるモニタリングとは、内部統制が意図したとおりに機能しているかを、日常業務の中での継続的な確認(日常的モニタリング)や、内部監査等による独立的な評価(独立的評価)を通じて継続的に監視・評価する活動をいう。モニタリングによって発見された問題点は、是正措置につなげられる。【他の選択肢が不適切な理由】経営者の方針を現場に周知しないことは、内部統制の基本的要素である統制環境や情報と伝達を損なう行為であり、モニタリングの説明ではない。業務プロセスの記録を残さないことは、統制活動や監査証跡の観点からもむしろ望ましくない。特定の担当者に承認権限を集中させることは、後述する職務分掌の考え方に反し、モニタリングとは無関係である。

Question 5

内部統制の目的の一つとされる「資産の保全」の説明として、最も適切なものはどれか。

Accepted Answer

資産の取得・使用・処分が正当な手続で行われること。【解説】内部統制の目的の一つである資産の保全とは、企業の資産(有形・無形を問わず、情報資産を含む)の取得、使用及び処分が正当な手続及び承認のもとで行われるようにし、不正な流用や毀損から資産を保護することをいう。内部統制の枠組みでは、業務の有効性・効率性、財務報告の信頼性、事業活動に関わる法令等の遵守とあわせて重要な目的の一つとされる。【他の選択肢が不適切な理由】資産を可能な限り売却して現金化することは経営判断上の一つの選択肢にすぎず、資産の保全という統制目的そのものの説明ではない。資産の存在を帳簿から意図的に除外することは不正行為であり、資産の保全とは正反対の行為である。資産の管理をあらゆる部門で自由に行わせることは、正当な手続や承認を欠く運用を招きやすく、資産の保全の考え方に反する。

Question 6

システム監査を実施する一般的な流れとして、監査計画の策定に続いて行われる工程の組合せとして、最も適切なものはどれか。

Accepted Answer

予備調査の後に本調査を行い評価しまとめる。【解説】システム監査は、一般的に監査計画の策定後、監査対象の概要や関連資料を把握するための予備調査を行い、続いてその結果を踏まえて監査手続に基づく詳細な検証を行う本調査を実施し、得られた監査証拠をもとに評価を行って結論(監査意見)をまとめるという流れで進められる。この順序により、限られた監査資源を効率的かつ効果的に配分できる。【他の選択肢が不適切な理由】予備調査を省略していきなり本調査に入ると、監査対象の全体像を把握しないまま詳細な検証を行うことになり、非効率かつ見落としが生じやすい。評価・結論を調査開始前にまとめることは、客観的な証拠に基づかない結論を先に決めてしまうことになり監査の趣旨に反する。被監査部門の自己申告のみに依拠する調査では、独立した立場からの客観的な検証が行われたとはいえない。

Question 7

システム監査の結果、改善すべき事項が指摘された場合の対応として、最も適切なものはどれか。

Accepted Answer

監査報告書に基づき改善しフォローアップ監査で確認する。【解説】システム監査で改善すべき事項が指摘された場合、監査人は監査報告書に指摘事項と改善への助言・勧告を記載し、被監査部門はこれに基づいて改善計画を立てて是正を実施する。さらに、改善が実際に行われ有効に機能しているかを、一定期間後にフォローアップ監査で確認することが望ましいとされている。【他の選択肢が不適切な理由】指摘事項を監査報告書に記載せず口頭のみで済ませると、記録が残らず後日の検証や経営層への報告に支障を来す。改善の実施状況をその後一切確認しないと、改善が実際に行われたかを把握できず、指摘が形骸化するおそれがある。改善の要否を指摘された部門の判断のみに委ねると、都合の悪い指摘が実質的に是正されないまま放置されるリスクがある。

Question 8

重要な業務について、担当者への権限の集中を避け、実行者と承認者を分けるなど複数の者に役割を分担させる内部統制の考え方はどれか。

Accepted Answer

職務分掌による相互牽制。【解説】職務分掌とは、取引の実行、承認、記録といった役割を異なる担当者に分担させることで、特定の一人が不正な取引を単独で行うことを難しくし、相互に牽制が働く仕組みを設ける内部統制上の考え方である。統制活動の代表的な手法の一つとして位置付けられる。【他の選択肢が不適切な理由】一人の担当者へ権限を一元化することは、その担当者による不正やミスを他者がチェックできなくなるため、職務分掌の趣旨とは正反対である。承認手続を全面的に省略することは、内部統制上必要な統制活動を欠くことになり不適切である。記録の作成を不要とする運用は、後日の検証や監査証跡の確保を困難にし、内部統制の実効性を損なう。

Question 9

ある企業で、システム開発を担当した従業員自身が、開発したシステムのシステム監査も兼務して実施していたことが判明した。この状況について、システム監査基準の観点から最も適切な評価はどれか。

Accepted Answer

監査人としての独立性が確保されておらず監査体制の見直しが必要。【解説】システム監査基準では、監査人が組織上及び精神上、被監査部門や監査対象業務から独立していることが求められる。自らが開発に携わったシステムを自分自身で監査すると、自己の作業を自己が評価することになり、客観的で公正な監査が行われているとは言い難い。したがって、この状況は独立性が確保されていない不適切な体制であり、担当を分離するなどの見直しが必要である。【他の選択肢が不適切な理由】業務に精通していることと監査の客観性が確保されていることは別の問題であり、開発者自身による監査が望ましいとはいえない。独立性は監査結果の信頼性を支える根幹の要件であり、影響がないとする評価は誤りである。開発と監査の兼務は監査基準が避けるべきとする典型的な状況であり、標準的な推奨事項ではない。

Question 10

内部統制について、経営者が説明する際の考え方として最も適切なものはどれか。

Accepted Answer

整備・運用しても不正やミスを完全には防げない限界がある。【解説】内部統制は、業務の有効性・効率性の向上や不正・誤りの防止に寄与する重要な仕組みであるが、担当者間の共謀や経営者による不正な指示、判断の誤りなどにより、どれほど整備・運用しても不正やミスの発生を完全にゼロにすることはできないという固有の限界があるとされる。この限界を踏まえ、内部統制はモニタリング等を通じて継続的に見直し、改善していく必要がある。【他の選択肢が不適切な理由】内部統制を整備すればあらゆる不正やミスを完全に防止できるという説明は、内部統制の限界を無視した誤った理解である。内部統制は環境の変化に応じて継続的な見直しが必要であり、一度整備すれば以後不要という性質のものではない。内部統制は経営者を含む組織全体を対象とする仕組みであり、従業員だけを対象とするものではない。

システム監査と内部統制の一問一答