システム監査の実施内容に関する記述のうち,適切なものはどれか。
- アISO 9001に基づく品質マネジメントシステムを,品質管理責任者が構築し運営する。
- イ開発担当者が自ら開発したシステムの内容をテストする。
- ウ情報システムのリスクに対するコントロールが適切に整備・運用されているかを,監査対象から独立した第三者が評価する。
- エ専用のソフトウェアを使って,システム管理者がシステムのセキュリティホールを自ら検証する。
正解と解説を見る
正解
ウ 情報システムのリスクに対するコントロールが適切に整備・運用されているかを,監査対象から独立した第三者が評価する。
システム監査の本質は，監査対象から独立した第三者の立場で，情報システムのリスクに対するコントロールが適切に整備・運用されているかを客観的に評価することであり，これが正解です。品質マネジメントシステムの構築・運営（選択肢1）は品質管理責任者の業務であり監査ではありません。開発担当者が自ら開発したシステムをテストすること（選択肢2）や，システム管理者が自らセキュリティホールを検証すること（選択肢4）は，いずれも当事者自身によるチェックであり，独立性・客観性が確保されないため監査とは言えません。