IPA 監査の種類・基準・監査人 — 頻出論点と過去問

頻出論点

1. この分野は何か

監査の結論が経営者や外部の利害関係者に頼られるのは、決められた物差しに照らし、確かめる対象から離れた立場の人が出したものだからです。物差しの選び方や監査人に求められる心構えは、監査の種類ごとに公的な基準や規格の文書に書かれています。

2. 実際の出題のされ方

監査の目的や種類の違い、監査人として適切な人物や組織の選び方がよく出る論点です。監査の種類ごとの目的について適切な記述を選ぶ問題や、システムの開発や運用、外部委託の場面で監査人に向く人を選ぶ問題が、ITパスポートの試験に含まれます。監査人の行動規範を述べた文の空欄に入る語句の組合せを選ぶ問題や、監査で使う判断尺度の選び方を問う問題もあります。

システム監査基準が定める用語や、基準そのものの意義を問う問題は、応用情報技術者の午前で扱われています。基準が点検・評価の対象として挙げるもののうち、示された二つに並ぶもう一つを選ぶ問題や、ある視点から確かめる項目を選ぶ問題もあります。情報セキュリティ監査を保証型と助言型のどちらでどう進めるかを扱う問題も、同じ区分にあります。

システム監査基準とシステム管理基準それぞれの位置づけや、監査の品質を保つために望ましいとされる取組は、システム監査技術者の午前IIで、条文に沿った記述を選ぶ問いとして出ています。ほかに、JIS Q 19011の用語の定義や第一者監査に当たるもの、デューデリジェンスについて適切な記述、受託業務に係る内部統制の保証報告書に関する実務指針での文書と作成者の組合せ、ISMAP標準監査手続の監査対象期間を選ぶ問題も、この区分のものです。

保証型と助言型の監査について適切な記述を選ぶ問題は、システム監査基準の説明を選ぶ問題と同じく、ITサービスマネージャの午前IIで出されました。JIS Q 20000-1が内部監査に求める事項を選ぶ問題と、規格の要求事項への適合を確かめるために組織が行う活動を選ぶ問題も出ています。

3. 学習のポイント

システム監査基準は監査をする側に向けて、監査の体制や進め方を示した文書です。システム管理基準は監査される組織のITの扱い方を項目に分けて示した文書で、監査ではこれに照らし合わせて確かめます。

システム監査基準（令和5年）が挙げるガバナンス・マネジメント・コントロールの視点は、組織のどの層の働きを確かめるかに対応しています。

監査人に向くかどうかは、確かめる業務やシステムに、その人がどこかの段階で関わっているかで決まります。独立性には、所属や指揮命令の上で監査対象から離れていることと、判断が偏らない心の持ち方の両方が求められます。

4. 間違えやすいところ

システム監査の目的を選ぶ問題では、システムを置く建物や設備をまとめて計画し管理する活動を挙げた誤答肢がありました。建物や設備を整えて使いこなす活動は、ファシリティマネジメントの目的に当たります。

システム監査基準（令和5年）の用語の説明を選ぶ問題では、正当な注意を、監査で見つけた事柄とそこから導いた考えのこととする誤答肢がありました。見つけた事柄やそれに基づく考えは、基準では所見と呼ばれているものです。

判断尺度の選び方を問う問題では、アジャイル開発の監査にはシステム管理基準を使うべきでないとする誤答肢がありました。アジャイル型の開発も、システム管理基準が開発の進め方の一つとして取り上げているものです。

保証型の監査について、インシデントが今後起きないことまで利害関係者に請け合う監査とする誤答肢がありました。インシデントが起きないという請け合いは、まだ起きていない将来の出来事についての約束に当たります。

JIS Q 19011の監査員に含まれるものを選ぶ問題では、監査チームを助ける技術専門家を挙げる誤答肢がありました。技術専門家は監査チームに特定の知識や専門技能を提供する人で、チームの中で監査員として監査を行う立場ではありません。