正解：エ
各選択肢の解説
ア委託した部分の監査の責任は専門家に移るので、その結果をそのまま報告書に載せる。
誤り。委託しても、システム監査の最終的な責任は委託した側の監査部門の長に残ります。 仕事を任せることと責任を手放すことは別です。専門家の結果も、 監査部門が監督したうえで自らの結論に組み込みます。
イ外部の専門家は社外の者なので、委託元との利害関係を確かめる必要はない。
誤り。社外の者であることと、利害関係が無いことは別です。システム監査基準は、 委託先の専門家が委託元と身分上・経済上の特別な利害関係を持たないことを原則としています。 たとえば、そのクラウド基盤を構築した事業者に監査を頼めば、自分の仕事を自分で評価することになります。
ウ委託する業務の範囲や専門家の権限は、監査を始めてから現場で話し合って決める。
誤り。権限と責任があいまいなまま始めると、どこまで調べてよいか、誰が結論に責任を持つかで揉めます。 システム監査基準は、委託する業務の内容と専門家の権限と責任を、 委託契約書などの文書で明確にしておくことを求めています。
エ委託しても監査の最終的な責任は監査部門の長にあるので、専門家を適切に監督する。
正解。外部の専門家に一部を任せても、責任は監査部門の長に残ります。 だから専門家と密接に連携し、監督しながら、その結果を自らの結論に組み込みます。
理解を深めるために
仕事は任せられても、責任は任せられない
家の建築で、元請けの工務店が電気工事を専門業者に任せても、施主に対して家全体の責任を負うのは元請けです。 監査も同じで、一部を外部の専門家に委託しても、監査の最終的な責任は委託した監査部門の長に残ります。
システム監査基準の【基準1】が求めること
経済産業省のシステム監査基準（令和5年改訂）の【基準1】「システム監査に係る権限と責任等の明確化」は、 監査の目的・対象範囲と、監査人や監査を行う組織の権限と責任を、文書化した規程などで定めることを求めています。 外部に委託する場合について、解釈指針は次のように書いています。
- 委託する業務の内容と、専門家の権限と責任を委託契約書などの文書に明確に書く
- 委託先の専門家と密接に連携し、適切に監督する
- 専門家は、原則として委託元と身分上・経済上の特別な利害関係を持たない
- 一部を委託しても、システム監査の最終的な責任は監査を行う組織の長にある
内部に適任者がいない、高度な技能が要る、遠隔地にあるといった場面で委託は有効な手段です。 ただし責任の所在まで外に出すことはできません。
混同しやすいものとの違い
| 考え方 | 基準1から見ると |
|---|---|
| 最終責任は監査部門の長にあり、専門家を監督する | 基準どおり |
| 委託部分の責任は専門家に移る | 最終責任は委託元に残る |
| 社外の者なので利害関係の確認は不要 | 社外でも利害関係の有無は確かめる |
| 範囲と権限は始めてから話し合う | 委託契約書などで事前に明確にする |
「責任の所在」「利害関係」「文書で決めたか」の3点で選択肢を見分けます。