令和4年度 春期 応用情報技術者試験 午前 問題 問60
マネジメントシステム監査監査の実施(計画・手続・証拠・報告)
監査証拠の入手と評価に関する記述のうち，システム監査基準（平成30年）に照らして，適切でないものはどれか。
解答・解説
正解: ア. アジャイル手法を用いたシステム開発プロジェクトにおいては，管理用ドキュメントとしての体裁が整っているものだけが監査証拠として利用できる。
本問は、システム監査基準（平成30年）に照らして、監査証拠の入手と評価に関する不適切な記述を選択する問題です。
正解はアです。
システム開発プロジェクトにおいてアジャイル手法を用いる場合、従来のような体裁の整った管理用ドキュメントが作成されないことがあります。しかし、プロジェクト管理ツール上の記録、コミュニケーションツールの履歴、あるいはソースコードやコミットログなども、事実を裏付ける客観的な記録として監査証拠に利用できます。したがって、「体裁が整っているものだけが監査証拠として利用できる」とする記述は適切ではありません。
各選択肢の解説
- ア：上記の通り、アジャイル手法では体裁の整ったドキュメント以外（各種ツールの記録やソースコードなど）も監査証拠として利用できるため、適切ではありません。本問の正解です。
- イ：外部委託先の監査において、委託先が取得した第三者の保証報告書（SOCレポートなど）をシステム監査人が評価し、十分かつ適切に依拠できると判断した場合、重複する現地調査を省略することは適切です。
- ウ：システム監査では、本調査で効果的・効率的に十分かつ適切な監査証拠を入手するために、事前に監査対象の実態を把握する予備調査を実施します。この記述は適切です。
- エ：監査目的を達成するためには、一つの監査手続だけでなく、閲覧、質問、観察、突合などの複数の監査手続を組み合わせることで、監査証拠の十分性と適切性を確保します。この記述は適切です。