「システム監査」の過去問(マネジメント・71問+午後21大問)

1. この分野は何か

システム監査分野は、組織の情報システムが経営目標の達成に貢献しているか、また安全かつ適正に運用・管理されているかを、独立した専門的な立場（監査人）から客観的に評価・検証する活動に関する領域です。
経済産業省が定める「システム監査基準」に基づき、監査計画の立案から予備調査・本調査の実施、経営者への報告、そして改善状況を確認するフォローアップまでの監査プロセスのほか、監査対象となる情報システムのコントロール（統制）が適切に機能しているかを見極めるための各種の監査技法について学びます。

2. 実際の出題のされ方

午前問題では、監査プロセスの各フェーズで行うべきことや、監査技法の名称とその具体例を問う問題が頻出します。

• 監査プロセスと基準: 「システム監査基準（令和5年）」に基づいて、本調査の前に情報収集を行う「予備調査」の目的や、監査報告後に被監査部門の改善状況を確認する「フォローアップ」の説明として適切なものを選択させる問題が出題されます。
• 監査技法: データの生成から入力、処理、出力までのプロセスや組み込まれた統制を、実際のデータを用いて一貫して追跡して確認する「ウォークスルー法」や、インタビュー法、テストデータ法といった監査手続の技法を問う問題が定番です。
• コントロールの評価: 「入出力データの管理方針の例として適切なものはどれか」といった、監査の対象となるシステム上の管理ルール（コントロール）の妥当性を評価させる実務的な問題も見られます。

3. 学習のポイント

システム監査は、「誰が」「何の目的で」「どの手順で」行うのかという「独立性と客観性」の原則を軸に理解することが重要です。

• プロセスの順番と役割: 監査計画 → 予備調査（全体像の把握） → 本調査（監査証拠の収集と評価） → 監査報告（経営者への報告） → フォローアップ（改善状況の確認）という一連の流れを暗記し、それぞれの段階で監査人が「何をすべきか（または、すべきでないか）」を整理しましょう。
• 監査人の独立性: 監査人はあくまで「評価・勧告」を行う立場であり、自らシステムの改修や業務の改善（実行）を行うことはありません。監査人が直接システムを修正するような選択肢は誤りである、という原則を知っておくと解答を絞り込みやすくなります。
• 監査手続技法の区別: 監査証拠を収集する技法として、「インタビュー（ヒアリング）」「ドキュメントレビュー（文書閲覧）」「突合（証憑とデータの突き合わせ）」「ウォークスルー（一連の処理の流れを追跡）」などを、具体的な監査シーンと結びつけて記憶してください。

4. 間違えやすいところ

システム監査のプロセスにおいて、「予備調査」と「本調査」の役割を混同するミスがよく見られます。予備調査は「監査対象の現状を大まかに把握し、本調査の計画（どこを重点的に見るか）を立てるための準備活動」であり、証拠を集めて結論を出すフェーズではありません。証拠の収集と評価は「本調査」で行われます。
また、「システム監査」と「情報セキュリティ監査」の違いについても注意が必要です。前者はシステムの有効性や効率性など広範なテーマ（アベイラビリティや業務貢献度など）を対象としますが、後者は情報の機密性・完全性・可用性といったセキュリティ側面に特化した監査であることを認識しておきましょう。