監査要点（アサーション）とは？

監査要点（アサーション）の意味

監査で確かめるべき性質を類型化したもので、実在性・網羅性・正確性・権利と義務・期間帰属・表示の妥当性などがある。監査人はまず「何を確かめたいのか」を要点として定め、そこから逆算して手続を選ぶ。応用情報では、ある監査手続がどの要点を確かめるためのものかを対応づける形で問われる。

監査要点（アサーション）の具体例

受注データの網羅性を確かめるなら伝票の連番の欠番チェックやバッチ総件数の突合を行い、正確性なら入力元帳票と登録データの項目単位の突合、実在性なら計上済み売上に対応する出荷実績や検収書があるかの照合を行う。要点が変われば有効な手続も変わる。

監査要点（アサーション）は試験でどう引っ掛けられる？

網羅性と正確性の取り違えが定番。網羅性は「漏れなく記録されているか」、正確性は「記録された内容が正しいか」であり、欠番・件数チェックは網羅性、金額や区分の突合は正確性の確認になる。

監査要点（アサーション）と関連する用語

• 監査手続書（監査プログラム）
• 運用評価手続と実証手続
• 監査範囲と監査目標の設定

監査要点（アサーション）が出た過去問

• 複数のシステムやサービスの間で利用されるSAML（Security Assertion Markup Language）はどれか。

  正解：認証や認可に関する情報を交換するための仕様

  要点：SAMLは認証・認可情報を組織間で交換しSSOを支える

  SAMLは、認証の結果や利用者の属性、アクセスの可否といった情報をXML形式で記述し、組織やサービスをまたいでやり取りするための規格である。認証を行う側（IdP）が発行したアサーションをサービス提供側（SP）が信頼することで、一度の認証で複数サービスを利用するシングルサインオンを実現できる。

  出典：令和4年度 春期 応用情報技術者試験 午前 問36（IPA）

• 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち、適切なものはどれか。ここで、利用者IDとパス…

  正解：認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

  要点：SAMLは認証結果をクライアント経由でSPへ渡しパスワードを渡さない

  SAMLでは、企業内の認証サーバ（IdP）が利用者を認証し、その結果をデジタル署名付きのアサーションとして発行する。アサーションは利用者のブラウザ（クライアント）経由でクラウドサービス（SP）へ渡され、SPは署名を検証して利用者を受け入れる。パスワード自体がクラウドサービス側へ渡らないことが、この方式の要点である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問37（IPA）