内部監査の応援に加わった担当者が、アクセス管理の本調査で3件の不備を見つけた。 特権IDの複数人での共有、退職者IDの削除の1週間の遅れ、手順書の改訂日の記載漏れである。 監査の結論をまとめる段階での扱いとして、最も適切なものはどれか。

正解：エ

各選択肢の解説

1. ア3件はどれも規程からの逸脱なので、同じ重みの指摘事項として並べ、優先順位は付けずに報告する。

   誤り。逸脱であることは同じでも、残るリスクの大きさは違います。特権IDの共有は誰が操作したか追えなくなる重大な不備で、 改訂日の記載漏れとは比べられません。重みを付けずに並べると、どこから直すべきか伝わりません。

2. イ監査対象部門が監査中に直すと約束した不備は、監査調書から削除し、指摘事項からも外しておく。

   誤り。監査調書は、どんな事実を確かめてどう判断したかを残す記録です。直す約束をしたからといって、 見つけた事実を消すと結論の裏付けが失われます。約束は改善計画として扱い、フォローアップで確かめます。

3. ウ不備の件数が3件と少ないので、全体の結論は「問題なし」とし、不備は口頭で伝えるだけにしておく。

   誤り。結論は件数ではなく、不備がもたらすリスクの大きさで決まります。特権IDの共有は1件でも重大です。 口頭だけで済ませると記録に残らず、経営者や対象部門が改善の必要性を判断できません。

4. エ不備ごとに残るリスクの大きさを評価し、指摘事項とするかどうかと、改善の優先順位を決める。

   正解。結論の段階では、見つけた不備を一律に扱わず、残るリスクの大きさで重要度を見極めます。 重要なものを指摘事項とし、優先順位を付けることで、限られた手間をどこに向けるべきかが伝わります。

理解を深めるために