全40問から、出題範囲の骨格が掴める14問だけを抜き出しました。まずはここだけ流して、必要なら全問へ進んでください。
全40問に進むこの14問の内容
出典: オリジナル想定問題（当サイト作成、実際の過去問ではありません）。公表されている出題範囲に基づく（最終更新 2026-09-06）
システム監査の目的として最も適切なものはどれか。
- ✓情報システムに係るリスクをコントロールする仕組みが有効に機能しているかを独立した立場で評価し、組織体の経営活動に寄与すること
- B情報システムの開発コストを削減すること
- C情報システムの利用者に対して操作教育を行うこと
- D情報システムの脆弱性を発見し、監査人自らが直接是正すること
解説
システム監査は、情報システムに係るリスクに対するコントロールの整備・運用状況を独立かつ客観的な立場で検証・評価し、保証又は助言を通じて組織体の目標達成や説明責任に寄与するものである。監査人自身が是正措置を実施することは監査人の役割ではない。
根拠システム監査基準（システム監査の目的）
あるシステム監査人が、3年前に自ら要件定義を担当した業務システムについて、今回のシステム監査でその一部を監査対象とすることになった。この状況における最も適切な対応はどれか。
- A過去の開発経験があるため、監査効率が高まるとしてそのまま監査を担当する
- B開発時に作成した資料を監査調書として流用し、監査手続を省略する
- ✓自らが関与した業務についての監査は独立性を損なうおそれがあるため、監査責任者に申告し、必要に応じて別の監査人に交代する等の措置を検討する
- D監査対象部門の責任者に相談し、了承を得られればそのまま進める
解説
自らが開発に関与した業務を監査することは、監査人としての独立性・客観性を阻害する要因となる。このような場合は速やかに監査責任者へ申告し、担当の変更など独立性を確保するための措置を検討する必要がある。
根拠システム監査基準（独立性を阻害する要因への対応）
システム監査における「監査手続」の説明として最も適切なものはどれか。
- ✓監査人が監査意見を形成するために、監査証拠を入手し評価するために実施する個々の手続の総称
- B監査対象部門が遵守すべき社内規程
- C監査報告書の記載様式を定めた社内規則
- D監査計画を承認するための決裁手続
解説
監査手続とは、監査人が監査意見を形成する根拠となる監査証拠を入手・評価するために実施する具体的な作業の総称であり、質問、閲覧、実査、テスト等が含まれる。
根拠システム監査基準（監査手続の意義）
あるシステムにおいて、特定の脅威が1年間に発生する確率が5％、発生した場合の想定損失額が4,000万円であるとき、年間の損失期待値はいくらか。
- A20万円
- B800万円
- ✓200万円
- D2,000万円
解説
年間の損失期待値は、発生確率と発生時の想定損失額を乗じて算出する。4,000万円×5％＝200万円となる。
根拠リスク分析（リスクの定量評価と監査計画への反映）
システム監査報告書で指摘した改善事項について、監査対象部門から改善計画の提出を受けた後、システム監査人が行うべき最初の対応として最も適切なものはどれか。
- ✓改善計画の内容と実施時期の妥当性を確認し、その後の実施状況をフォローアップする体制を整える
- B改善計画の内容を待たずに、直ちに次期の監査計画の策定に着手する
- C改善計画が提出された時点で監査は完了したものとして関連記録を破棄する
- D改善計画の実施は監査対象部門の裁量に委ね、システム監査人は一切関与しない
解説
改善計画の提出を受けたシステム監査人は、まずその内容や実施時期が指摘事項に対して妥当かを確認し、その後の実施状況を継続的にフォローアップできる体制を整える必要がある。
根拠システム監査基準（フォローアップ）
システム監査計画の策定における「リスクアプローチ」の考え方として、従来型の網羅的な監査と比較した際の特徴の説明で最も適切なものはどれか。
- Aすべての監査対象を均等な深度・頻度で監査する点で、網羅的な監査と同じ考え方である
- Bリスクの大小にかかわらず、あらかじめ定めた監査対象リストの順番どおりに監査を実施する
- ✓監査資源には限りがあることを前提に、影響度や発生可能性が高いと評価されるリスク領域に監査資源を重点的に配分して監査計画を策定する
- D監査証拠の入手を省略し、専ら経営者への質問のみで監査意見を形成する
解説
リスクアプローチは、限られた監査資源を前提に、影響度や発生可能性の評価に基づいてリスクの高い領域へ重点的に監査資源を配分する考え方であり、すべてを均等に監査する網羅的な手法とは異なる。
根拠システム監査基準（監査計画の策定：リスクアプローチ）
システム監査人が本調査に先立ち、監査対象部門から業務フロー図や情報システムの構成図等の資料を収集し、規程や過去の監査結果を確認した。この活動の目的として最も適切なものはどれか。
- ✓監査対象の実態やリスクの所在を把握し、本調査で実施する監査手続を具体化するための予備調査である
- B監査報告書を確定させるための最終確認である
- C監査対象部門の改善措置の実施状況を確認するフォローアップである
- D監査を行わない旨を関係者に通知するための事前連絡である
解説
本調査に先立ち資料収集や関連情報の確認を行うのは、監査対象の実態やリスクの所在を把握し、本調査で実施すべき監査手続を具体化するための予備調査に該当する。
根拠システム監査基準（予備調査）
あるシステムの監査で、本番環境への変更が担当者の判断だけで反映されており、正式な承認記録が残っていないことが判明した。この場合、監査人が次に実施すべき対応として最も適切なものはどれか。
- A是正が完了するまで監査報告書の提出を保留する
- ✓発見した事実を監査証拠として記録し、影響範囲や再発可能性を評価した上で指摘事項として報告書に反映する
- C担当者に対して口頭で注意し、記録には残さない
- Dただちに当該担当者のシステムアクセス権限を監査人の権限で停止する
解説
監査人は是正措置を自ら実施する立場ではなく、発見した事実を証拠に基づき客観的に評価し、指摘事項として報告する独立した立場にある。アクセス権限の停止などの是正措置は経営者や管理者が判断すべき事項である。
根拠システム監査の実施プロセス（監査証拠の収集・評価と報告）、IT全般統制（変更管理）
個人情報を第三者提供した際の記録を確認したところ、提供先の名称は記録されていたが、提供年月日の記録が一部欠落していることが判明した。監査人がとるべき対応として最も適切なものはどれか。
- ✓記録義務の不備として指摘し、記録項目の欠落原因と再発防止策の確認を求める
- B提供先名称が記録されていれば法令上問題はないため、指摘は不要である
- C欠落した記録は監査人が独自に推定して補完する
- D個人情報保護委員会に直接通報し、企業への指摘は行わない
解説
第三者提供の記録は必要な項目を漏れなく保存することが求められており、一部でも欠落があれば統制の不備として扱い、原因分析と再発防止策の確認を行うべきである。監査人が記録を推定で補完することは監査の独立性・客観性に反する。
根拠個人情報保護とコンプライアンス監査（第三者提供記録の管理）
あるシステムで、アプリケーション開発者が本番環境のデータベースに直接アクセスし、データを更新できる権限を保持していることが判明した。この状況に対する監査人の評価として最も適切なものはどれか。
- A開発者は技術に精通しているため、本番環境への直接アクセスは効率的でありリスクは低いと評価する
- ✓開発と運用の職務分掌が確保されておらず、不正な変更や誤操作を統制で防止・検知できないリスクがあると評価する
- C本番環境へのアクセスはログが記録されていれば職務分掌上の問題はないと評価する
- D開発者のアクセスは緊急時のみ想定されるため、恒常的な権限付与であっても問題ないと評価する
解説
開発担当者が本番環境への直接アクセス権限を恒常的に保持していると、開発と運用の職務分掌が機能せず、不正な変更や誤操作を未然に防止・検知する統制が働かない。ログの記録だけでは事前の防止統制にはならない。
根拠システム開発・運用の監査（職務分掌、アクセス管理）
あるシステムでは6時間ごとにフルバックアップを取得している。バックアップ完了直後に障害が発生する場合と、次のバックアップ取得の直前に障害が発生する場合とを比較すると、このバックアップ運用から想定される最大のデータ損失時間、すなわち実質的なRPO(目標復旧時点)はどれか。
- A0時間
- B3時間
- ✓6時間
- D12時間
解説
RPOはどの時点までのデータを復旧できる必要があるかを示す指標であり、実際の運用ではバックアップ取得間隔が実質的な最大データ損失時間の上限となる。6時間ごとの取得では、次回取得の直前に障害が発生すると最大6時間分のデータが失われ得る。
根拠事業継続計画(BCP)と可用性の監査（RPO・RTOの考え方）
内部統制の運用状況を確かめるため60件のサンプルを抽出して検証したところ、5件の逸脱(統制の不備)が検出された。このサンプルにおける逸脱率はどれか(小数第2位を四捨五入)。
- A5.0%
- B6.0%
- C12.0%
- ✓8.3%
解説
逸脱率はサンプルで検出された逸脱件数をサンプルサイズで除して求める。5÷60=約0.0833であり、逸脱率は約8.3%となる。
根拠システム監査における統制テストとサンプリング手法
システムの本番環境に対する変更管理プロセスにおいて、次のa~dの作業を適切な順序に並べたとき、3番目に実施すべきものはどれか。 a. 変更内容のテスト環境での検証 b. 変更管理責任者による変更の承認 c. 変更要求の申請 d. 本番環境への変更の反映と結果のレビュー
- A本番環境への変更の反映と結果のレビュー
- B変更要求の申請
- ✓変更内容のテスト環境での検証
- D変更管理責任者による変更の承認
解説
変更管理は、変更要求の申請(c)→変更管理責任者による承認(b)→テスト環境での検証(a)→本番環境への反映とレビュー(d)の順で実施するのが基本的な流れである。したがって3番目に実施するのはテスト環境での検証(a)である。
根拠IT全般統制（変更管理プロセス）
システム監査の実施プロセスにおいて、監査計画の策定後に行う手続を適切な順序に並べたとき、2番目に実施するものはどれか。 a. 予備調査(監査対象の実態把握) b. 監査報告書の作成と報告 c. 本調査(監査手続の実施による証拠収集) d. フォローアップ(改善状況の確認)
- A予備調査(監査対象の実態把握)
- B監査報告書の作成と報告
- Cフォローアップ(改善状況の確認)
- ✓本調査(監査手続の実施による証拠収集)
解説
システム監査は、計画策定後、まず予備調査(a)で対象の実態を把握し、次に本調査(c)で監査手続を実施して証拠を収集する。その後、報告書を作成・報告(b)し、最後にフォローアップ(d)を行う。したがって2番目に実施するのは本調査(c)である。
根拠システム監査の実施プロセス（予備調査・本調査・報告・フォローアップ）