令和元年度 秋期 午前 問40

✓ これが正解イデータに関するアクセス制御の管理規程を閲覧した。

解説

監査人は業務を行わず、規程を閲覧して確かめるのが適切です。

システム監査人は、監査の対象となる業務から独立していなければなりません。もし監査人自身が台帳を作ったり、方針を決めたり、運用を実施したりすると、自分のした仕事を自分で監査することになり、客観的に評価できなくなります。だから監査人がしてよいのは、資料を集めて確かめることです。データに関するアクセス制御の管理規程を閲覧するのは、まさにこの範囲にとどまる適切な行為です。

ほかの選択肢はなぜ違うのか

• アソフトウェアに関するアクセス制御の管理台…：アクセス制御の管理台帳を作成して保管するのは、監査の対象となる部門が行う業務です。監査人がこれを行うと自分の作った記録を監査することになり、独立性を保てないので適切ではありません。
• ウネットワークに関するアクセス制御の管理方…：アクセス制御の管理方針を制定するのは、組織側が担う業務です。監査人が方針そのものを定めてしまうと、自分が決めたことを監査する立場になり、独立性が損なわれるため適切ではありません。
• エハードウェアに関するアクセス制御の運用手…：アクセス制御の運用手続を実施するのは、監査の対象となる部門の業務です。監査人が運用そのものを行うと、自分の作業を自分で評価することになり、客観的な監査ができないため適切ではありません。