平成29年度 秋期 情報セキュリティマネジメント試験 午前 問39
マネジメント／システム監査システム監査基準（平成16年）における，組織体がシステム監査を実施する目的はどれか。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問39
- ア自社の強み・弱み，自社を取り巻く機会・脅威を整理し，新たな経営戦略・事業分野を設定する。
- イシステム運用部門によるテストによって，社内ネットワーク環境の脆弱性を知り，ネットワーク環境を整備する。
- ウ情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。
- エソフトウェア開発の生産性のレベルを客観的に知り，開発組織の能力を向上させるために，より高い生産性レベルを目指して取り組む。
正解：ウ
解説
システム監査基準（平成16年）では、システム監査の目的を、情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し、改善につなげることによってITガバナンスの実現に寄与することとしています。
選択肢ごとの解説
- ア誤り。自社の強み・弱みや機会・脅威を整理し経営戦略を設定する活動は、SWOT分析など経営戦略策定の活動です。
- イ誤り。システム運用部門によるテストで脆弱性を知る活動は、脆弱性診断であり、独立した第三者による監査とは異なります。
- ウ正しい。コントロールの整備・運用状況を評価し改善につなげ、ITガバナンスの実現に寄与することがシステム監査の目的です。
- エ誤り。開発の生産性レベルを客観的に知り能力向上を図る活動は、プロセス成熟度評価（CMMIなど）の目的です。