システム監査のリスクアプローチ

システム監査における「リスクアプローチ」とは、すべての監査対象に均等に時間や人員を割くのではなく、リスクの高い領域に重点的に監査資源を配分することで、効率的かつ効果的な監査を行う手法です。組織の環境変化などにより情報システムリスクの特性や影響度は常に変化するため、その変化に留意し、状況に合わせて監査計画を見直す必要があります。 各選択肢の解説： ア：監査リスクを「完全に回避」することは実務上不可能であり、合理的な水準まで低減させるように計画を策定します。 イ：リスクの大小にかかわらず「一律に（均等に）」配分するのはリスクアプローチの考え方に反します。 ウ：情報システムリスクは機密性・完全性・可用性の侵害等様々な観点があります。監査上のリスク（監査リスク）は「固有リスク」「統制リスク」「発見リスク」から構成されると捉えるのが一般的であり、記述は不適切です。

システム監査基準(平成30年)に基づくシステム監査において、リスクに基づく監査計画の策定 (リスクアプローチ)で考慮すべき事項として、適切なものはどれか。

出典令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
ア
監査対象の不備を見逃して監査の結論を誤る監査リスクを完全に回避する監査計画を策定する。
イ
情報システムリスクの大小にかかわらず、全ての監査対象に対して一律に監査資源を配分する。
ウ
情報システムリスクは、情報システムに係るリスクと、情報の管理に係るリスクの二つに大別されることに留意する。
エ
情報システムリスクは常に一定ではないことから、情報システムリスクの特性の変化及び変化がもたらす影響に留意する。