令和5年度 春期 情報処理安全確保支援士試験 午前 II 問題 問25

システム監査基準（平成30年）における「リスクに基づく監査計画の策定（リスクアプローチ）」とは、組織が直面する情報システムリスクを評価し、リスクの大きさに応じて監査の頻度や深度、監査資源の配分を決定する手法です。 情報技術の進展やビジネス環境の変化により、情報システムリスクは常に一定ではありません。そのため、監査計画の策定においては、リスクの特性の変化やそれがもたらす影響に常に留意し、柔軟に対応することが求められます。

各選択肢の解説

• ア：誤り。監査リスク（監査対象の不備を見逃して誤った結論を出してしまうリスク）を完全に回避することは不可能です。合理的に許容できる低い水準に抑えるように監査計画を策定します。
• イ：誤り。リスクアプローチの基本は、リスクの大きい領域に多くの資源を割り当てるなど、リスクの大小に応じて監査資源を重点的（傾斜的）に配分することです。全ての監査対象に対して一律に配分するのは不適切です。
• ウ：誤り。平成30年のシステム監査基準において、情報システムリスクは「情報システムに係るリスク」と「情報の管理に係るリスク」の二つのみに大別されるとは定義されていません。ITの利用や戦略に関するリスクなど、より広範なリスクが含まれます。
• エ：正解。リスクは内外の環境変化に伴って変動するため、リスクの特性の変化とその影響に留意して計画を策定する必要があります。