問40 アクセス制御の監査人がすること

ほかの選択肢が違う理由

• ア管理台帳を作って保管するのは、アクセス制御を管理する部門の仕事です。監査人が自分で作ると、自分の作った物を監査することになります。
• ウ管理方針を制定するのは、組織の経営者や管理する部門の役目です。監査人は方針が適切かを評価する側です。
• エ運用手続を実施するのは、運用を担当する部門の仕事です。監査人が自分で運用すると、監査の独立性が失われます。

仕組み

監査人に求められる独立性には、立場の独立 (監査の対象の部門に属さない) と、気持ちの上での独立 (公平な目で見る) があります。監査の対象の仕事を自分でしないことは、そのいちばんの基本です。

監査人が直すべき所を見つけたときも、自分で直すのではなく、報告書で改善を勧め、対象の部門が直したかをあとで確かめます (フォローアップ)。