基本情報技術者試験過去問 令和8年度（2026年）科目A問15
内部監査部門が，情報システム部門に対するシステム監査を経営者から指示されたとき，システム監査人の行為として，適切なものはどれか。
選択肢
- ア：監査報告書に記載した改善提案に対して改善計画を策定した上で，実行する。
- イ：基幹システムを開発し，保守を行っている外部事業者に，当該システム監査を委託する。
- ウ：経営者がどのようなニーズを有しているかを十分に把握した上で，システム監査の目的と対象範囲を決定する。
- エ：情報システム部門の在籍者を監査メンバとして選定する。
- ア
- イ
- ウ
- エ
正解と解き方・学習ポイント（AI解説）
システム監査人は、経営者の監査ニーズを把握したうえで、監査の目的と対象範囲を決め、監査計画に反映します。一方、改善計画の策定や実行は被監査部門の役割であり、監査人が担当すると自己監査になりやすく独立性を損ないます。また、監査対象の開発・保守を担う外部事業者や、被監査部門の在籍者を監査メンバにすることも、客観性の確保が難しく不適切です。
Point
この問題は、内部監査部門が情報システム部門を監査する状況で、システム監査人が行うべき業務と、独立性・客観性を保つために避けるべき行為を区別できるかを確認するものです。特に、経営者のニーズに基づいて監査目的と対象範囲を決定することが、監査の出発点になる点を理解することが目的です。
解くために必要な知識
この問題を解くには、システム監査における監査人の役割と、独立性・客観性の考え方を理解している必要があります。
用語の整理
| 用語 | 意味 |
|---|---|
| システム監査 | 情報システムに関する統制（安全性・信頼性・効率性など）が適切かを、独立した立場で評価し、改善につなげる活動です。 |
| システム監査人 | 監査の目的・対象範囲の設定、証拠収集、評価、監査報告を行う人です。独立性・客観性の確保が求められます。 |
| 監査目的 | 監査で何を確認・評価するかという狙いです。例として、アクセス権限管理が適切かの確認などがあります。 |
| 対象範囲（監査範囲） | 監査対象となる業務・システム・期間・組織などの範囲です。 |
| 独立性 | 監査人が監査対象から利害関係の影響を受けずに判断できる状態です。自己監査を避けることが含まれます。 |
独立性・客観性に関する整理
監査人が行うこと（原則）
-
経営者のニーズを把握し、監査目的と対象範囲を決定すること
-
監査計画を立て、証拠を収集し、評価して監査報告書にまとめること
-
改善提案を行うこと
監査人が行わないこと（原則）
-
監査対象部門の改善計画を策定し、実行すること
-
監査対象システムの開発・運用・保守など、当事者としての業務に関与すること
不適切になりやすい状況
| 状況 | 問題になりやすい点 |
|---|---|
| 監査人が改善を実行する | 次回以降に自分の実施内容を自分で監査する形になりやすいです。 |
| 開発・保守の当事者に監査をさせる | 指摘内容が当事者の利益に影響する可能性があり、客観性が揺らぎます。 |
| 被監査部門の在籍者を監査メンバにする | 同じ部門の業務を評価することになり、公正な判断が難しくなります。 |
問題の解法手順
この問題は、内部監査部門が情報システム部門を監査するときに、システム監査人として適切な行為を選びます。
解くときの観点
1. 独立性・客観性が保てるか
監査人が監査対象部門の一員であったり、監査対象システムの開発・保守などに関与していたりすると、評価が偏る可能性があるため不適切です。
2. 監査人の役割に収まっているか
監査人は点検・評価し、改善提案を示す立場です。改善計画の策定や改善の実行は被監査部門が行います。
3. 監査の計画手順に沿っているか
監査は、経営者のニーズを把握し、監査の目的と対象範囲を決めた上で実施します。
各選択肢の確認
| 選択肢 | 内容 | 判断理由 | 結論 |
|---|---|---|---|
| ア | 監査人が改善計画を策定し実行する | 改善の実行は被監査部門の役割であり、監査人が実行すると役割が混在します | 不適切 |
| イ | 開発・保守業者に監査を委託する | 監査対象に関与した事業者は利害関係が生じやすく、独立性・客観性が損なわれます | 不適切 |
| ウ | 経営者ニーズを把握し目的と対象範囲を決定する | 監査計画として正しい手順であり、監査人の役割にも合致します | 適切 |
| エ | 情報システム部門の在籍者を監査メンバにする | 監査対象部門が自部門を監査することになり、独立性が保てません | 不適切 |
選択肢ごとの解説
- ア：不正解
監査報告書で改善提案を行うことは監査人の役割に含まれますが、改善計画の策定や実行は被監査側（業務部門・情報システム部門など）の役割です。監査人が実行まで担うと、次回以降に自分の実施内容を自分で評価する形になりやすく、独立性・客観性が損なわれます。
- イ：不正解
監査を委託する場合でも、委託先は監査対象から独立している必要があります。基幹システムの開発・保守を担当している外部事業者は、そのシステムの品質や管理状況に利害関係があり、指摘が甘くなるなど客観性に問題が出る可能性があるため不適切です。
- ウ：正解
監査は経営者の意思決定や統制の改善に役立てるために行うので、経営者が求める確認事項（ニーズ）を把握した上で、監査目的と対象範囲を設定することが必要です。これは監査計画の出発点であり、監査人の適切な行為です。
- エ：不正解
情報システム部門に対する監査で、その部門の在籍者を監査メンバにすると、同僚や自部門の活動を評価することになり、自己監査になりやすい構図です。監査の独立性・客観性を確保できないため不適切です。
まとめ
システム監査人は、経営者の監査ニーズを把握したうえで、監査の目的と対象範囲を決め、監査計画に反映します。一方、改善計画の策定や実行は被監査部門の役割であり、監査人が担当すると自己監査になりやすく独立性を損ないます。また、監査対象の開発・保守を担う外部事業者や、被監査部門の在籍者を監査メンバにすることも、客観性の確保が難しく不適切です。
監査報告書で改善提案を行うことは監査人の役割に含まれますが、改善計画の策定や実行は被監査側（業務部門・情報システム部門など）の役割です。監査人が実行まで担うと、次回以降に自分の実施内容を自分で評価する形になりやすく、独立性・客観性が損なわれます。
監査を委託する場合でも、委託先は監査対象から独立している必要があります。基幹システムの開発・保守を担当している外部事業者は、そのシステムの品質や管理状況に利害関係があり、指摘が甘くなるなど客観性に問題が出る可能性があるため不適切です。
監査は経営者の意思決定や統制の改善に役立てるために行うので、経営者が求める確認事項（ニーズ）を把握した上で、監査目的と対象範囲を設定することが必要です。これは監査計画の出発点であり、監査人の適切な行為です。
情報システム部門に対する監査で、その部門の在籍者を監査メンバにすると、同僚や自部門の活動を評価することになり、自己監査になりやすい構図です。監査の独立性・客観性を確保できないため不適切です。