令和元年度 秋期 基本情報技術者試験 午前 問60
マネジメント／システム監査アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
出典：令和元年度 秋期 基本情報技術者試験 午前 問60
- アソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
- イデータに関するアクセス制御の管理規程を閲覧した。
- ウネットワークに関するアクセス制御の管理方針を制定した。
- エハードウェアに関するアクセス制御の運用手続を実施した。
正解：イ
解説
システム監査人は，被監査部門の業務そのものを実施したり，規程や方針を制定したりしてはいけません。自分が作ったものを自分で監査することになり，独立性・客観性が損なわれるからです。監査人が行うのは，規程や記録を閲覧し，関係者にヒアリングし，実際の運用状況を確かめて評価するという証拠の収集と評価の活動です。
選択肢ごとの解説
- ア誤り。管理台帳を作成し保管するのは被監査部門の業務であり，監査人が行えば独立性が損なわれます。
- イ正しい。管理規程を閲覧して内容を確かめるのは，監査証拠を収集する監査人の適切な行為です。
- ウ誤り。管理方針を制定するのは被監査部門（管理者）の役割であり，監査人が行ってはいけません。
- エ誤り。運用手続を実施するのは被監査部門の業務であり，監査人は実施状況を確かめる立場です。