監査報告書とは？

監査報告書の意味

システム監査の結果として、発見した問題点や評価内容、改善のための勧告事項をまとめ、経営者などの監査依頼者に提出する文書。監査人は報告書の原案を提出前に被監査部門と意見交換し、事実誤認がないかを確認することがある。

監査報告書の具体例

アクセス権限管理の不備について、リスクの内容と改善すべき事項を整理し、経営層に報告書として提出する。

監査報告書は試験でどう引っ掛けられる？

被監査部門との意見交換の目的は、指摘内容の事実確認・認識合わせであり、指摘内容を被監査部門の意向で変更させることではない。

監査報告書と関連する用語

• 監査調書
• 改善勧告・フォローアップ

監査報告書が出た過去問

• システム運用業務のオペレーション管理に関する監査で判明した状況のうち、指摘事項として監査報告書に記載すべきものはどれか。

  正解：オペレータが、日次の運用計画を決定し、自ら承認している。

  要点：実施者が自ら承認する状態は職務分掌違反として指摘対象

  内部統制では、実行する担当者と、その内容を承認・確認する者を分ける職務分掌が求められる。オペレータが自分で運用計画を決めて自ら承認する状態は、誤りや不正を牽制する仕組みが働かないため、指摘事項として報告すべきである。他の3つはいずれも記録と確認が適切に行われている望ましい状態である。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問58（IPA）

• 監査調書の説明はどれか。

  正解：監査人が行った監査手続の実施記録であり、監査意見の根拠となる。

  要点：監査調書は監査手続の実施記録であり監査意見の根拠となる

  監査調書は、監査人が実施した監査手続とその過程で入手した監査証拠、判断の経緯を記録した文書である。監査意見や監査報告書の結論を支える根拠となり、後から監査の適切さを検証するためにも保管される。原則として外部に公表するものではない。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問60（IPA）

• システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的として，最も適切なものはどれか。

  正解：監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するため

  要点：報告書原案の意見交換は事実誤認の確認が目的

  監査報告書の原案について被監査部門と意見交換する目的は、記載した指摘事項や改善勧告の前提となる事実に誤りや誤解がないかを確かめることです。事実誤認のある報告は説得力を失い、改善にもつながりません。監査人の独立性を保つ必要があるため、被監査部門の承認を得たり、意見交換で調査に代えたりすることは適切ではありません。

  出典：平成29年度 春期 基本情報技術者試験 午前 問58（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• 外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が…

  正解：委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。

  要点：機密媒体の外部搬送には施錠・封印など物理的保護が必要

  機密情報を含む媒体を外部に持ち出す際は、内容の秘匿と改ざん・すり替えの防止のため、施錠できる搬送容器や封印など物理的な保護策が必要である。段ボール箱に入れただけでは中身を容易に取り出せてしまうため、安全性が確保されておらず指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問59（IPA）