平成31年度 春期 午前Ⅱ 問10

✓ これが正解イIT投資管理や情報セキュリティ対策がPDCAサイクルに基づいて，組織全体として適切に管理されているか。

解説

マネジメントは管理がPDCAで組織全体として回っているかを見ます。

見分ける軸は、ガバナンス、マネジメント、コントロールという三つの層のどこに当たる問いかけかです。設問が名指すシステム監査基準（平成30年）の例示では、ガバナンスは経営戦略とIT戦略の整合など経営陣が方向付ける領域、マネジメントはIT投資管理や情報セキュリティ対策などがPDCAサイクルに基づいて組織全体として適切に管理されているかという領域、コントロールは承認手続や異常なアクセスへの対処といった個々の統制の領域として整理されています。マネジメントの項目は、管理のサイクルが組織として回っているかを確かめる点に特徴があります。戦略の向きを問えばガバナンス、管理の回り方を問えばマネジメント、個々の手続を問えばコントロール、と層で分けると選べます。

ほかの選択肢はなぜ違うのか

• アIT戦略と経営戦略の整合性がとられている…：IT戦略と経営戦略の整合性や、新技術やイノベーションを経営戦略へ組み込んでいるかを問う項目は、経営陣がITの方向を定めるガバナンスの領域に属します。管理のサイクルが回っているかを見る項目ではありません。
• ウ規程に従った承認手続が実施されているか，…：規程どおりの承認手続や、異常なアクセスを見つけたときの対処と報告を問う項目は、個々の手続が機能しているかを確かめるコントロールの領域です。組織全体で管理のサイクルが回っているかを問う項目とは層が違います。
• エ組織の業務プロセスなどにおいて，リスクに…：業務プロセスなどにリスクに応じた統制が組み込まれているかを問う項目は、個々のプロセスに置かれた統制の有無を見るものです。管理の仕組みがPDCAで組織全体として回っているかを問う項目とは、見る単位が異なります。