令和６年度 ITパスポート試験 公開問題 問48 解説 システム監査の判断尺度

正解の判断根拠

この問題の正解は「イ」です。システム監査において、監査の判断尺度（拠り所となる基準）は、監査テーマや目的、対象となる組織の特性に合わせて柔軟に選定されるべきだからです。経済産業省が策定した「システム管理基準」は非常に重要で標準的な指標ですが、それが唯一の絶対的なルールではありません。

監査の判断尺度の考え方

システム監査は、組織が抱えるリスクに対して対策が適切に行われているかをチェックする活動です。しかし、すべてのシステム環境が同じではないように、チェックすべき基準も一律ではありません。

判断尺度の選定には、以下のような柔軟な視点が必要です。

1. 業界固有の基準 例えば、金融機関であれば金融庁の監督指針、製造業であれば生産管理特有の品質基準などが優先される場合があります。
2. 組織内部の規定 組織が独自に定めたセキュリティポリシーや業務手順書が、もっとも重要な判断材料になることもあります。
3. 国際規格 ISO/IEC 27001（情報セキュリティマネジメントシステム）や、ITサービス管理のITILなど、グローバルな基準を採用して監査を行うことも一般的です。

誤った選択肢の考え方

ア、ウ、エの選択肢が不適切な理由は「柔軟性の欠如」です。

・アとウが誤りである理由 システム管理基準はあくまでひとつの「ガイドライン」です。これを絶対視して適用できないケース（例えば、特定の技術要素に特化した監査など）や、より厳格な自社規定がある場合に、システム管理基準に縛られて監査の質を落とすことは避けなければなりません。

・エが誤りである理由 アジャイル開発のような開発手法であっても、品質、セキュリティ、コンプライアンスの観点は不可欠です。手法が異なるとはいえ、システム管理基準で示されている基本的な「管理の考え方」は有効であり、それを活用してはいけないというルールは存在しません。

実務におけるシステム監査の役割

ITパスポート試験でこの知識が問われるのは、システム監査が「ただチェックリストを埋める作業」ではなく、「組織の目標達成を支援する建設的な活動」であるという本質を理解しているかを確認するためです。

実務では、監査人（監査を行う人）は、以下のプロセスで判断尺度を選定します。

1. 監査の目的を明確にする（例：情報漏洩対策の有効性を確かめたい）
2. 対象となるシステムや部門を分析する（例：クラウド環境を利用しているか、個人情報を扱っているか）
3. 目的と対象に最適な基準を組み合わせる（例：システム管理基準のセキュリティ項目をベースにしつつ、クラウド事業者との契約内容を照らし合わせる）

このように、置かれた環境に合わせて最適な物差しを選べるようになることが、ITのガバナンス（統制）を支えるエンジニアやマネージャーの重要な素養となります。

参考リンク

• システム管理基準（経済産業省）
• システム監査とは？（ITパスポート試験のシラバス関連解説）
• 【システム監査】判断尺度はどう決める？（Qiita記事：現場での活用事例）