システム監査基準(平成30年)では,監査計画の策定に当たり,監査対象として考慮する項目を,情報システムの"ガバナンス","マネジメント","コントロール"に関するものに分けて例示している。情報システムの"マネジメント"に関するものを監査対象とする場合に,考慮する項目としているものはどれか。

選択肢

• アIT戦略と経営戦略の整合性がとられているか,新技術やイノベーションの経営戦略への組込みが行われているか。
• イIT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて,組織全体として適切に管理されているか。
• ウ規程に従った承認手続が実施されているか,異常なアクセスを検出した際に適時な対処及び報告が行われているか。
• エ組織の業務プロセスなどにおいて,リスクに応じた統制が組み込まれているか。

正解と解説

正解：イ IT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて,組織全体として適切に管理されているか。

ガバナンス・マネジメント・コントロールは階層で区別される。ガバナンスは経営戦略との整合や新技術の取込みといった経営レベルの統治、マネジメントはIT投資管理や情報セキュリティ対策をPDCAで組織的に管理する運営レベル、コントロールは承認手続の実施や異常検知時の対処といった業務プロセスに組み込まれた統制である。

選択肢ごとの解説

• アIT戦略と経営戦略の整合や新技術の経営戦略への組込みはガバナンスに関する項目である。
• イ正しい。IT投資管理や情報セキュリティ対策をPDCAで組織的に管理するのはマネジメントの項目である。
• ウ承認手続の実施状況や異常アクセス検出時の対処はコントロールに関する項目である。
• エ業務プロセスにリスクに応じた統制が組み込まれているかもコントロールの項目である。

同じ分野の他の問題

• システム監査基準（令和5年）における監査計画の必要性についての記述として、適切なものはどれか。2024年度 秋期 午前II 問8
• システム監査基準（令和5年）に従い、監査目的に基づいて、ガバナンス、マネジメント、コントロールの視点から検証を行う。“マ…2024年度 秋期 午前II 問4
• システム監査基準（令和5年）におけるリスク・アプローチに関する記述として、適切なものはどれか。2025年度 秋期 午前II 問3
• システム監査において実施される“試査”に該当するものはどれか。2020年度 10月試験 午前II 問3
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”に基づき、出荷管理システムを利用している出荷の…2024年度 秋期 午前II 問3