Top > 最速攻略システム監査技術者

2018年度春期システム監査技術者試験午後Ⅱ 問2

三好康之
2018-04-23 公開

問２には，久しぶりの監査手続き以外の問題が出題された。平成24年問１以来（平成24年はまだ３問出題されていた時で，問２，問３は監査手続きだった）。翌年から昨年までの５年間は監査手続きの問題しか出題されていない。したがって，戸惑った人も多かったのではないだろうか？

ただ，一見すると難しそうに思えるが…システム監査計画における監査対象と，監査目的の設定で，そのプロセスとしてリスクアプローチがあるだけなので，案外書きやすい。ＰＭやＳＣ，ＳＴの内部統制などはISO31000に準拠していて同じ手順で，設問イではその手順が問われているからだ。

設問ウは，ＣＳＡ（コントロールセルフアセスメント）の流用の話で書けるはずなので，そこさえクリアできれば案外できたのでは？

ザックリ言うと…全体的には（設問イも設問ウも）「人員や予算に限りがあるので１年間にできる監査も限られている。そこでリスク評価をして優先順位を付けて重要なものから行っている」というスタンスが伝えられるかどうかにかかっている。

1 過去問題との関係性
2 設問ごとの解説
3 感想
4 参考資料

過去問題との関係性

設問イは，平成13年問１「リスクを重視したシステム監査の実施について」設問ウは，平成24年問１「コントロールセルフアセスメントとシステム監査について」が参考になる。

設問ごとの解説

設問ア

あなたが携わった組織の主な業務と保有する情報システムの概要について，800字以内で述べよ。

今回は，特定のシステムを監査対象に絞り込む前の話なので，起業なら企業の全体像をここで書くことが求められている。書くのは次の３つ。

組織の説明（企業や自治体等）
主な業務
保有している情報システム

①②で１－１を400字，③で１－２で400字程度がバランスがいいだろう。それほど大勢に影響はないけれど。ここは，特段問題は無いはず。事前準備していてもしていなくても書けるところ。

但し，③を絞り込まないようにするところだけ注意。多様化しているリスクの前フリになるように書いておけばベスト。

設問イ

設問アで述べた情報システムについて，監査部門がリスク評価を実施して監査対象の選定や監査目的の設定を行う場合の手順及びその場合の留意点について， 700字以上 1,400字以内で具体的に述べよ。

２－１．リスク評価の実施手順（タイトルは「監査対象の選定や監査目的の設定」でもいい）

＜前フリ，つなぎ＞（あった方がいいレベル）
１－２で書いたシステムのリスクが多様化していて，監査要員（具体的な組織と人数）と予算（具体的数字）では全部ができないため，当該年度の監査計画を立案するにあたって，リスク評価を実施するということを書く。問題文の例にあるように，年度監査計画を立案する時の絞り込みが一番題意に合っている。

次に，そのリスク評価の手順について書く。

これは，ＰＭ→システム監査の順で受験している人にとっては問題ないだろう。ＳＴやＳＣ→システム監査でも同じ。ISO31000の手順をシステム監査対象に特化してアレンジして書けばいいだけ。とはいうものの厳密にISO31000の用語の定義を順守する必要はないので，概ねで構わない。

リスク特定，定性的リスク分析，定量的リスク分析，優先順位の設定…これをシステム監査の表現に合わせて具体的に書く。