正解：ア
各選択肢の解説
ア保証を目的とするシステム監査を、受発注システムから独立した監査人に依頼する。
正解。システム監査は、ITシステムの利活用を検証・評価し、保証または助言を与える監査です。 管理が適切だと外部に示したいなら、独立した監査人が保証を与える形が目的に合います。
イ助言を目的とするシステム監査を依頼し、受け取った改善提案の一覧を取引先に渡す。
誤り。助言を目的とするシステム監査は、改善すべき点を示して管理を良くするためのものです。 同じシステム監査なので紛らわしいのですが、「適切に管理されている」という結論を示すものではなく、 改善提案の一覧はむしろ不備の一覧として読まれます。
ウ運用部門がシステム管理基準で自己点検を行い、その結果を取引先に示す。
誤り。自己点検は管理を良くするのに役立ちますが、管理している本人が自分を評価するため、 独立性と客観性がありません。物差しが同じシステム管理基準でも、 誰が評価したかによって取引先への根拠としての重みが違います。
エシステム管理基準を自社の管理規程に取り入れたことを、取引先に通知する。
誤り。システム管理基準は、システムを管理する側が目指す姿と、監査で使う判断の尺度です。 それを規程に取り入れても「決めた」ことを示すだけで、実際にそのとおり運用されているかは 誰も確かめていません。整備と運用の違いです。
理解を深めるために
「大丈夫です」と言うのは、自分ではなく第三者
中古車を買うとき、売り手の「状態はいいですよ」より、第三者機関の検査結果のほうが信じられます。 システムの管理も同じで、取引先に根拠を示すなら、利害のない第三者が確かめて保証した結論が要ります。
システム監査の目的と「保証」「助言」
経済産業省のシステム監査基準（令和5年改訂）は、システム監査を、専門性と客観性を備えた監査人が ITシステムの利活用に係る検証・評価を行い、保証を与える、または改善のための助言を行うものとしています。 目的は、ITシステムに係るリスクに適切に対応しているかを確かめ、組織の目標達成と利害関係者への 説明責任に寄与することです。
- 保証: 監査結果を使う人（経営者、取引先など）に、管理が適切だという一定の確からしさを与える
- 助言: 改善すべき点を示して、管理を良くするのを助ける
どちらの場合も、監査人は監査対象から独立し、客観的な立場を保つことが求められます。 依頼する側の担当者は、「何のために監査を受けるのか」を先に決め、目的に合った形で依頼します。
混同しやすいものとの違い
| 対応 | 何が得られるか |
|---|---|
| 保証を目的とするシステム監査 | 独立した監査人による、管理が適切だという結論 |
| 助言を目的とするシステム監査 | 改善すべき点の指摘と提案 |
| 自己点検 | 自部門の気づき。独立性がなく外部への根拠には弱い |
| システム管理基準の採用 | 目指す姿を決めたこと。運用の確認はない |
「誰が確かめたか」と「何を示すための監査か」の2点で、外部に示せる根拠かどうかを判断します。