問25 システム監査の監査計画

情報処理安全確保支援士令和7年度秋期午前II、全25問のうちの問25。

システム監査基準（令和 5 年）に基づくシステム監査において，リスク評価に基づいた監査計画の策定で考慮すべき事項として，適切なものはどれか。

答えと解説を開く

正解はエです。

リスクに基づいて監査計画を立てるのは、限られた時間と人を、リスクの高い所に向けるためです。リスクが変われば、力を向けるべき所も変わります。そのため、組織の内外の変化でリスクが大きく変わったときは、計画の見直しを考え、必要なら変えます。エが正解です。

ほかの選択肢が違う理由

ア監査は、すべての取引や設定を見るわけではないので、見逃しの危険 (監査リスク) をなくすことはできません。受け入れられる低さまで下げるように計画します。
イリスク・アプローチは、リスクの高い所に監査の資源を多く向ける考え方です。均等に配る、はその逆です。
ウ監査対象の側のリスクは、もともと誤りが起きやすい度合い (固有リスク) と、仕組みで防げない度合い (統制リスク) に分けて考えます。残存リスクはこの分け方の言葉ではありません。監査人が見逃す度合いは発見リスクと呼びます。

監査リスクは、固有リスク、統制リスク、発見リスクの 3 つの掛け合わせで考えます。前の 2 つは監査する側では変えられないので、高い所ほど監査を厚くして、発見リスクを下げます。

セキュリティの点検も同じで、すべてを同じ深さで見るのではなく、狙われやすく被害が大きい所から深く見ます。