問題 No.3627
経済産業省が策定している「システム監査基準」に関する記述として、不適切なものはどれか。
【正解の解説】
システム監査人が監査報告書を作成する際、被監査部門の責任においてその内容の真実性を完全に保証しなければならない。
学校のテストで例えると、採点する先生が「この答案の点数は100点満点であると私の全人生をかけて保証する」と言っているようなものです。システム監査人はあくまで客観的な意見を表明する立場であり、被監査部門のデータや結果の正しさを身を挺して完全に保証する義務や役割はありません。ここに踏み込んでしまうと客観性が失われてしまうため不適切となります。
スポンサーリンク
【その他の選択肢の解説】
システム監査人は、監査業務の独立性と客観性を保持するために、被監査部門からの利害関係から完全に独立していなければならない。
これは裁判官が自分の身内の裁判を担当してはいけないのと同じ原則です。もし、自分が作ったシステムの監査を自分で行ったら、不具合があっても隠したくなってしまいますよね。そのため、公正で客観的な評価を下すために、監査対象の部門や利害関係からしっかりと切り離された独立した立場で活動することが絶対条件となります。
システム監査人が実施する監査手続は、組織のリスク評価に基づいて決定され、すべての業務を網羅的に監査対象としなければならない。
会社にあるすべての書類やデータを一言一句チェックすることは、時間やコストの面から現実的ではありません。健康診断で全身の隅々まで毎月高額な精密検査をしないのと同様に、リスクの高い重要部分に絞って効率的に実施するのが基本です。「すべてを網羅しなければならない」という極端な表現が出たら、コスト対効果を無視した誤りの選択肢と判断しましょう。
システム監査人は、指摘事項を発見した場合にはその改善策を自ら立案し、被監査部門に対して具体的な修正指示を出さなければならない。
システム監査人は会社の健康状態を診る「お医者さん」や「コーチ」のような存在です。お医者さんが「ここに病気がありますよ」と診断を下すのは仕事ですが、「だから代わりに私がこの薬を飲んで治してあげましょう」と患者の代わりに生活を改善するわけではありません。あくまで改善策を考えるのは被監査部門（患者本人）の仕事であり、監査人は助言や勧告にとどめるのがルールです。