監査報告書とは？

監査報告書の意味

監査の結果を依頼者へ伝える文書。監査の目的・対象・実施時期・手続の概要に加え、保証意見または助言、指摘事項と改善提案を記載する。宛先は被監査部門ではなく監査を依頼した経営者等である点が重要。

監査報告書の具体例

「アクセス権の棚卸しが年1回しか行われず、退職者IDが平均40日残存していた」という事実と影響を示し、四半期ごとの棚卸しと自動失効の仕組みを改善提案として添える。

監査報告書は試験でどう引っ掛けられる？

書けるのは監査手続で得た証拠に裏づけられた事項だけで、印象や伝聞は書けない。また報告して終わりではなく、改善状況を確かめるフォローアップまでが監査人の役割に含まれる。

監査報告書と関連する用語

• 改善提案
• フォローアップ
• 保証型監査と助言型監査

監査報告書が出た過去問

• システム監査人が監査報告書に記載する改善勧告に関する説明のうち，適切なものはどれか。

  正解：調査結果に事実誤認がないことを被監査部門に確認した上で，監査人が改善の必要があると判断した事項を記載する。

  要点：改善勧告は事実確認済みの証拠に基づき監査人の判断で書く

  改善勧告は監査証拠に裏付けられた事実に基づくものでなければならない。そのため、調査結果に事実誤認がないことを被監査部門に確認したうえで、監査人が自らの判断で改善が必要と考える事項を記載する。事実確認は必要だが、記載する内容そのものを被監査部門の承認に委ねると監査の独立性が失われる。

  出典：平成29年度 春期 高度共通_午前I試験 am1 問22（IPA）

• 事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…

  正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。

  要点：入退室の認証情報は共用せず個人ごとに識別・記録する

  共通の暗証番号を複数人で使い回すと、誰がいつ入室したのかを個人単位で追跡できず、退職者や許可取消し後も入室できてしまう。JIS Q 27002が求める入退室の記録・認証の個別化に反するため、指摘事項として記載すべきである。他の3つは適切な管理策が実施されている状態である。

  出典：令和1年度 春期 高度共通_午前I試験 am1 問22（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…

  正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。

  要点：リスク受容基準はアセスメントより先に定めておく

  リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。

  出典：令和4年度 秋期 高度共通_午前I試験 am1 問21（IPA）

• システム監査基準（令和5年）におけるフォローアップの説明として、適切なものはどれか。

  正解：システム監査人が、監査報告書に記載した改善提案の実施状況に関する情報を収集し、改善状況をモニタリングすること

  要点：フォローアップは改善提案の実施状況を監査人が継続的に確認する

  フォローアップは、監査報告書に記載した改善提案がその後どこまで実施されたかを追いかける活動である。システム監査人が実施状況の情報を集めて改善の進み具合を確かめるもので、改善そのものを実施する責任は被監査部門にある。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問22（IPA）