平成31年度 春期 システム監査技術者試験 午前Ⅱ 問10
マネジメント／システム監査システム監査基準（平成30年）では，監査計画の策定に当たり，監査対象として考慮する項目を，情報システムの“ガバナンス”，“マネジメント”，“コントロール”に関するものに分けて例示している。情報システムの“マネジメント”に関するものを監査対象とする場合に，考慮する項目としているものはどれか。
出典：平成31年度 春期 システム監査技術者試験 午前Ⅱ 問10
- アIT戦略と経営戦略の整合性がとられているか，新技術やイノベーションの経営戦略への組込みが行われているか。
- イIT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて，組織全体として適切に管理されているか。
- ウ規程に従った承認手続が実施されているか，異常なアクセスを検出した際に適時な対処及び報告が行われているか。
- エ組織の業務プロセスなどにおいて，リスクに応じた統制が組み込まれているか。
正解：イ
解説
システム監査基準（平成30年）は，監査対象を情報システムの“ガバナンス”，“マネジメント”，“コントロール”に関するものに分けて例示している。“マネジメント”に関するものとしては，IT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて組織全体として適切に管理されているかといった，計画・実行・評価・改善のマネジメントサイクルの運用状況が挙げられる。IT戦略と経営戦略との整合性や新技術の経営戦略への組込みは“ガバナンス”に関する項目，承認手続の実施状況や異常アクセスへの対処，リスクに応じた統制の組込みは，いずれも個々の業務プロセスにおける具体的な統制である“コントロール”に関する項目である。
選択肢ごとの解説
- ア誤り。IT戦略と経営戦略の整合性がとられているか，新技術やイノベーションの経営戦略への組込みが行われているかは，情報システムの“ガバナンス”に関するものとして考慮する項目です。
- イ正しい。IT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて組織全体として適切に管理されているかは，情報システムの“マネジメント”に関するものとして考慮する項目です。
- ウ誤り。規程に従った承認手続の実施状況や異常なアクセスの検出時の適時な対処・報告は，情報システムの“コントロール”に関するものとして考慮する項目です。
- エ誤り。組織の業務プロセスなどにおいて，リスクに応じた統制が組み込まれているかは，情報システムの“コントロール”に関するものとして考慮する項目です。