問題 No.6467
A社では、情報システムの信頼性やセキュリティの確保状況を客観的に検証するため、経済産業省が策定したシステム監査基準に基づいてシステム監査を実施することにした。システム監査の基本原則に関する記述として、最も適切なものはどれか。
【正解の解説】
システム監査人は、監査業務を遂行するにあたって、利害関係から独立した客観的な立場を保持し、専門職としての正当な注意を払わなければならない。
通信簿をつける学校の先生が、自分の子供のテストを採点したら公平かというと、絶対ダメですよね。それと同じで、システム監査人は自分が関わったシステムを自分で評価してはいけません。完全に利害関係のない第三者の立場で、プロとしての厳しい目で正しくチェックするという大原則を表しています。
スポンサーリンク
【その他の選択肢の解説】
システム監査人は、監査の効率性を最優先し、被監査部門の業務スケジュールに完全に準拠して柔軟に監査手続きを省略しなければならない。
被監査部門の都合ばかりに合わせて必要な監査手続きを省略してしまうと、チェックが甘くなり監査の信頼性が崩壊します。学校の先生が「生徒が忙しそうだからテストの採点を半分免除しよう」と言っているようなもので、効率性よりも客観性と厳格性が優先されます。
システム監査人は、発見されたリスクに対して直ちに修正プログラムを適用し、情報システムの脆弱性を自らの手で直接解消しなければならない。
これは監査人と被監査者（開発者や運用者）の役割分担を混同させる典型的な罠です。監査人はあくまで「第三者の目で問題点を見つける警察官や審判」の立場であり、自分でシステムを直す「選手や大工」の仕事をしては、客観性が失われてしまいます。
システム監査人は、経営陣からの特別な指示がある場合には、監査対象範囲を限定して特定の部門の責任追及に特化して調査しなければならない。
システム監査は誰かを吊るし上げるための魔女狩りではなく、組織全体のガバナンスやセキュリティを健全化するためのものです。特定の部門の責任追及だけを目的にすると、客観的・網羅的な検証というシステム監査の本質から外れてしまいます。