令和4年度 秋期 システム監査技術者試験 午後II 問題 問1 監査上の制約を踏まえた個別監査計画の策定（論述）
マネジメントシステム監査
学習ガイド
情報システムの個別監査計画で、重点項目・着眼点の設定と監査上の制約への対応を論じる午後II問題です。テレワークや監査資源の制約で実施できない監査手続と監査リスクを関連付け、代替の監査手続で監査リスクを低い水準に抑える構成を扱います。設問ア〜ウを同じ事例で貫き、制約→リスク→対応の因果を崩さない論述の組み立てを示します。
この記事で押さえる論点
- 情報システムの特徴・リスク評価・経営層の期待から、監査の重点項目と着眼点を根拠付きで設定する
- テレワークや監査資源などの制約が、どの監査手続を実施できなくするかを具体的に想定する
- 実施できない監査手続と、それによって生じる監査リスクを一対一で関連付けて示す
- 資料の真正性を確保する追加手続など、監査リスクを低い水準に抑える代替の監査手続を設計する
出題情報
- 出題
- 2022(R4)秋 システム監査技術者 午後II 問1
- 配点
- 100点満点
- 模範解答
- 未公表(採点基準と解説から解答の方向性を読み取る)
出題趣旨・採点講評(IPA 公表)
情報システムの個別監査計画において，対象となる情報システムの特徴，リスク評価結果などを考慮して，監査の重点項目・着眼点を設定し，それに対応する適切な監査手続を作成する。一方，監査手続の作成において監査資源の制約などの理由で本来必要と考えた監査手続が採用できない場合には，代替手続の選択・適用に加え，監査リスクへの対応方法を適切に計画することが必要となる。本問では，システム監査人として，情報システムの特徴やリスク評価結果などを適切に分析して重点項目・着眼点を適切に設定し，本来必要と考えた監査手続が採用できない場合における監査リスクを明確にし，その対応方法を計画できる知識・能力などを問う。
問1では，監査上の制約を具体的に論述することが解答の前提となるが，システム環境の変更やシステムの開発・運用の課題を監査上の制約とする解答が散見された。問題の趣旨を踏まえて，設問ア～設問ウを通じて一貫性のある論述をしてほしい。
問題本文
情報システムの個別監査計画と監査手続について
企業などの組織は，主力ビジネスを支える基幹システムや新規ビジネスを支援する情報システムなど，多様な情報システムを管理している。このような情報システムを対象とした個別監査計画では，システム監査を実施する上での重点項目・着眼点を適切に設定し，これに対する必要な監査時間・監査費用などの監査資源を見積もり，適切な監査手続を作成することが求められる。
重点項目・着眼点の設定においては，情報システムの特徴，リスク評価結果，経営層の期待，過去の監査結果などを踏まえて，検討する必要がある。さらに，監査実施におけるテレワーク環境や監査資源などの監査上の制約についても検討し，その制約を踏まえて，監査の結論を誤る監査リスクを明確にする必要がある。
監査リスクを明確にするためには，システム監査人が本来必要と考えた監査手続と，その監査手続が監査上の制約によって実施できないことで生じる監査リスクを関連付ける必要がある。その上で監査リスクを低い水準に抑える対応方法を検討する。状況によっては，現場訪問や資料の直接閲覧などの監査手続が実施できない場合がある。その場合，例えば，資料をPDFファイルで入手するだけでなく，PDFファイルの真正性を原本と同程度に確保するのに必要な監査証拠を入手するための監査手続を作成するなどの対応が必要となる。
システム監査人は，以上のような点を踏まえ，監査実施上の重点項目・着眼点を適切に設定し，監査上の制約下においても監査リスクを低い水準に抑えるために十分な監査証拠を得られるように個別監査計画を策定する必要がある。
あなたの経験と考えに基づいて，設問ア〜設問ウに従って論述せよ。
設問と解答・解説
設問ア
あなたが携わった情報システムの概要及びその特徴，並びにシステム監査の個別監査計画の概要について，800字以内で述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 20点: 対象システムの特徴と個別監査計画の概要が、監査目的を含めて極めて具体的に明示されている。
- 15点: 対象システムの特徴や個別監査計画の概要は記載されているが、監査目的の特定がやや曖昧である。
- 10点: 概要の一般的な記載にとどまり、システムの特徴や監査目的が十分に説明されていない。
- 0点: システムの概要や個別監査計画についてほとんど記述されていない、又は監査目的が全く特定されていない。
- 14点: システムの特徴と監査計画の概要が論理的に結びついており、全体として明確な一貫性がある。
- 7点: 一部論理の飛躍があるものの、システムの特徴と監査計画の概要の関連はおおむね理解できる。
- 0点: システムの特徴と監査計画の概要に関連性がなく、論理性に著しく欠ける。
解説
本設問は、個別監査計画の立案において対象となる情報システムの特徴とリスク評価結果を分析し、監査の重点項目・着眼点を設定するための前提となる情報システムの概要と監査計画の概要を論述するものです。
高得点のポイント
対象システムの特徴の明確化: どのような業務を支え、どのようなリスクが内在するシステムであるかを具体的に記述すること。
監査目的の特定: 監査の目的が何であるかを明確に定義すること。設問イ・ウへの論理的な起点となるため、曖昧な記述は減点対象となります。
全体の一貫性: ここで設定したシステムの特徴と監査目的が、後続の設問で述べる監査上の制約や代替手続と論理的に整合していることが重要です。
設問アでは監査目的が明確に特定されていない論述があった。
設問イ
設問アで述べた個別監査計画で設定した重点項目・着眼点及び想定した監査上の制約について，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 18点: 重点項目・着眼点及び監査上の制約が具体的に記述されており、制約が資源の制約等の真の制約として正しく捉えられている。
- 10点: 重点項目・着眼点又は監査上の制約の記述がやや抽象的であるか、一部でシステムの課題等を制約と混同している。
- 0点: 重点項目・着眼点が不明確であるか、開発・運用の課題やサンプリング手法などを監査上の制約と完全に誤認している。
- 15点: 重点項目・着眼点が設問アの監査目的と一貫しており、かつシステムの特徴を的確に反映した論理展開となっている。
- 8点: 重点項目・着眼点と監査目的との一貫性、又はシステムの特徴の反映のいずれかがやや弱い。
- 0点: 重点項目・着眼点が監査目的と一貫していない、又はシステムの特徴を全く反映していない。
解説
本設問では、設問アで記述した監査計画に基づき、監査の重点項目・着眼点と監査上の制約を具体的に論述することが求められます。
高得点のポイント
監査目的との一貫性: 重点項目・着眼点が、設問アで特定した監査目的と整合しており、システムの特徴を適切に反映していること。
監査上の制約の適切な理解: システムの環境変更や開発・運用の課題を監査上の制約として論述すると趣旨に反します。
制約の具体性: 監査資源の不足やアクセス権限の制限など、監査手続を実施する上での直接的な障害を具体的に記述することが高得点の鍵となります。
設問イでは，重点項目・着眼点が監査目的と一貫していなかったり，システムの特徴を反映していなかったりする論述が散見された。設問イ及び設問ウでは，システムの開発・運用環境の変化に対応して監査手続を作成することを監査手続の制約として論述していたり，リスクに対応したサンプリング手法の採用を監査上の制約として論述していたりする解答が散見された。
設問ウ
設問イで想定した監査上の制約を踏まえて，実施できない監査手続及びそれによって生じる監査リスク，並びに監査リスクに対応するために作成した監査手続について，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準
- 18点: 実施できない監査手続とその監査リスクが具体的に分析され、リスクに対応する代替手続が極めて妥当に計画されている。
- 10点: 実施できない監査手続や監査リスクの分析がやや浅いが、対応する手続はおおむね妥当である。
- 0点: 監査リスクが明確でない、又は代替手続などの対応方法が不適切若しくは不十分である。
- 15点: 設問イで挙げた監査上の制約から実施できない手続が論理的に導出され、設問アからウを通じて一貫性のある論述となっている。
- 8点: 監査上の制約と実施できない手続とのつながりがやや弱いが、論理破綻には至っていない。
- 0点: 前段の制約とのつながりがない、又はシステム環境の変化などを理由にするなど、論理に一貫性がない。
解説
本設問では、設問イで挙げた監査上の制約を踏まえ、実施できない監査手続、それに伴う監査リスク、および対応する代替の監査手続を論述します。
高得点のポイント
論理的な導出: 設問イで想定した制約から、なぜその手続が実施できないのかを論理的に説明し、生じる監査リスクを具体的に分析すること。
妥当な代替手続: 監査リスクを低減するための代替手続が、制約下において現実的かつ有効であることを説得力をもって示すこと。
趣旨からの逸脱防止: リスクに対応したサンプリング手法の採用や、環境変化に伴う手続作成そのものを制約による対応と誤認して論じないよう注意が必要です。
設問イ及び設問ウでは，システムの開発・運用環境の変化に対応して監査手続を作成することを監査手続の制約として論述していたり，リスクに対応したサンプリング手法の採用を監査上の制約として論述していたりする解答が散見された。