平成25年度 春期 （特別措置試験） 問51

✓ これが正解ウ情報システムのリスクに対するコントロールが適切に整備・運用されているかを，監査対象から独立した第三者が評価する。

解説

自分で自分を見ている形は、監査とは呼べないものです。

システム監査の芯は、見る人と見られる人が別だという点です。危うさへの手当てが整い、働いているかを外から確かめます。だから、独立した第三者が評価すると述べた肢が当たります。離れているからこそ、確かめたことに値打ちが生まれます。品質の決まりに沿う仕組みを責任者が築く肢もあります。それは築いて動かす行いで、確かめる行いではありません。作った人が自分の作ったものを試す肢も同じ形でした。必要な作業ではありますが、離れてはいません。管理する人が自ら弱みを調べる肢も、やはり同じです。道具を使って調べること自体は正しい備えにあたります。やる人と見る人が重なっている点が、三つの誤りに共通の落とし穴です。三つの行いが誤りなのではなく、監査ではないだけでした。

ほかの選択肢はなぜ違うのか

• アISO 9001に基づく品質マネジメント…：品質の決まりに沿う仕組みを築くとしています。責任を負う人が自ら築き、自ら動かします。築いて動かすことは、確かめることとは別です。仕組みを整える行いを問われたなら、これです。見る人と見られる人が重なっています。離れていません。
• イ開発担当者が自ら開発したシステムの内容を…：作った人が自分で試すとしています。作りながら確かめるのは、必要な作業です。ただし自分の作ったものを自分で見ています。見落としが、そのまま残ってしまいます。作る側の確認を問われたなら、これが答えです。やはり重なっています。
• エ専用のソフトウェアを使って，システム管理…：管理する人が自ら弱みを調べるとしています。道具を使って穴を探す、正しい備えです。けれども調べる人は、守っている当人でした。自らの点検を問われたなら、これが答えです。外からの目が入っていません。こちらも重なっています。