正解：エ
各選択肢の解説
ア組織体がITのガバナンスやマネジメントを実践する拠り所で、監査では判断の尺度になる。
誤り。これはシステム管理基準の説明です。どちらも経済産業省が公表し、同じ年に 改訂されているので混同しやすい基準です。管理基準は「監査される側のあるべき姿」、 監査基準は「監査する側の進め方」と、誰のための基準かで区別します。
イ組織が情報セキュリティマネジメントシステムを確立し、改善するための要求事項を定める。
誤り。これはJIS Q 27001（ISMSの要求事項）の説明です。認証の「審査」があるため 監査の基準と結び付けやすいですが、こちらは組織が満たすべき要求事項を定めた規格です。 監査人の進め方を示すものではありません。
ウ上場企業の経営者が内部統制を評価し、外部の監査人がその評価を監査する際の基準を示す。
誤り。これは内部統制報告制度（J-SOX）の拠り所となる「財務報告に係る内部統制の評価及び 監査の基準」の説明です。名前に「監査の基準」が入るため紛らわしいですが、 金融商品取引法に基づく法定の制度で、任意監査であるシステム監査とは別物です。
エ監査人がシステム監査を行うときの体制や、実施と報告のあり方など、従うべき事項を示す。
正解。システム監査基準は、監査を行う側が守るべきルールです。監査人の権限と責任の 明確化、独立性と客観性の保持、監査の実施や報告の進め方などを定めています。
理解を深めるために
審判のルールブックと、競技のルールブック
スポーツにたとえると、システム監査基準は審判のためのルールブックです。 審判がどんな立場で、どう判定を進め、結果をどう伝えるかを定めています。 一方で、選手がどうプレーすべきかを書いた競技のルールブックが別にあり、 審判はそれを見ながら反則かどうかを判断します。こちらにあたるのがシステム管理基準です。
2つの基準はセットで使う
経済産業省は、システム監査に関わる基準を2つ公表しています（どちらも令和5年改訂）。
- システム監査基準 — 監査人の側の基準。「システム監査の意義と目的」「監査人の倫理」に 続いて、監査の体制、実施、報告についての基準を示しています。 権限と責任を文書で定めること、独立性と客観性を保つこと、なども含まれます
- システム管理基準 — 監査される組織の側の基準。取締役会や経営者がITの ガバナンスやマネジメントを行う拠り所で、監査人はこれを判断の尺度として使います
システム監査基準の前文では、監査で評価する際の判断の尺度として システム管理基準を使うことが望ましいとされています。情報セキュリティの監査では、 これに加えて情報セキュリティ管理基準も参照することが望ましいとされています。
混同しやすいものとの違い
| 基準・規格 | 誰のためのものか |
|---|---|
| システム監査基準 | 監査人。監査の体制・実施・報告のあり方 |
| システム管理基準 | 監査される組織。ITのガバナンス・マネジメントのあるべき姿（監査の判断の尺度） |
| JIS Q 27001 | ISMSを構築する組織。満たすべき要求事項 |
| 財務報告に係る内部統制の評価及び監査の基準 | J-SOXの対象となる上場企業の経営者と監査人 |
「監査」「管理」の1文字違いで役割が逆になります。 「監査する側の進め方」なら監査基準、「評価される側のあるべき姿」なら管理基準、 と主語で見分けてください。