正解：ア
各選択肢の解説
ア監査の目的と対象範囲、監査人の権限と責任を、文書化した監査規程などで定めておく。
正解。システム監査基準の基準1は、監査の目的や対象範囲と、監査人の権限と責任を 文書化された規程等で定めることを求めています。外部に委託する場合は契約書などに書きます。
イ監査で指摘した不備は、監査人が自ら改善を行い、完了まで責任を負うと取り決める。
誤り。改善を実施する責任は監査対象の側（経営者や対象部門）にあります。 監査人が改善の実施そのものに責任を負うことはなく、改善が適切に行われているかを フォローアップして報告する立場です。自分で直すと、次の監査で自分の仕事を評価することになります。
ウ販売管理システムの変更は、監査人が事前に内容を審査して承認する手続を設ける。
誤り。変更の承認は、システムを管理する側が行う統制活動です。監査人がそこに加わると、 監査の対象である統制の一部を自分が担うことになり、独立性と客観性が損なわれます。 監査人の権限は検証・評価のためのもので、業務を決める権限ではありません。
エシステム監査は法令で義務付けられており、権限と責任も法令の定めに従えばよいとする。
誤り。システム監査は法令で義務付けられていない任意監査です（システム監査基準の前文）。 法令が権限を与えてくれるわけではないので、組織が自ら規程などで定めておかないと、 監査人は資料の提出や説明を求める根拠を持てません。
理解を深めるために
監査の「委任状」を先に書いておく
システム監査は、他部門に資料を見せてもらい、説明を求め、評価を下す活動です。 何の根拠もなく「見せてください」と言っても、相手が応じる理由がありません。 そこで、監査の目的・対象範囲・監査人の権限と責任を、あらかじめ文書で定めておく ことが出発点になります。いわば組織から監査人への委任状です。
なぜ文書で定めるのか
- システム監査は法令で義務付けられていない任意監査。法令が権限を与えてくれないので、 組織が自分で定める必要があります
- 経済産業省のシステム監査基準は、基準1「システム監査に係る権限と責任等の明確化」で これを求めています。内部で行うなら内部監査規程など、外部に委託するなら契約書などに書きます
- 規程は組織体全体に周知しておきます。監査を受ける部門も、監査人に何ができるかを 知っていなければ協力できないからです
権限と責任の線引き
監査人の役割は、検証・評価して保証や助言を行うところまでです。 業務を決めたり、改善を実行したりするのは監査される側の仕事です。
| 行為 | 誰が担うか |
|---|---|
| 監査の目的・範囲・権限と責任の文書化 | 組織（規程・契約書で監査人に与える） |
| 不備の改善の実施 | 監査対象の側（監査人はフォローアップして報告） |
| システム変更の承認 | システムを管理する側（監査人が担うと独立性を損なう） |
| 監査の義務付け | 法令にはない（システム監査は任意監査） |
「監査人が業務や改善に手を出す」選択肢は、独立性の観点から誤りになると覚えておくと、 権限と責任を問う問題はほぼ見分けられます。