解説

• 〔下線①について〕
  システム監査の結論を裏付ける客観的な証拠として、監査手続で入手する資料等を「監査証拠」と言います。文書のほかインタビュー等で入手する口頭証拠も含まれます。システム監査基準(平成30年、以下同じ)においては次のように説明されています。
  
  「システム監査では、監査計画に基づく監査手続の実施の結果として監査証拠が入手され、それに基づいて監査の結論が形成される。監査手続に基づく監査証拠の入手は、監査の結論を得るために必要不可欠なものである」
  
  〔下線②について〕
  監査業務がどのように行われたかを記録した資料を「監査調書」と言います。監査調書には、監査実施者、実施日時、監査目的、実施した監査手続、入手した監査証拠、発見した事実とそれに対する監査人の所見等が取りまとめられます。システム監査基準においては次のように説明されています。
  
  「監査調書は、システム監査人が実施した監査のプロセスを記録したものであり、かつ、監査の結論の基礎となるものであることから、秩序ある形式で、監査調書として記録、適切に保管しておく必要がある」
  
  ∴①＝監査証拠
  　②＝監査調書
  
  
• 〔監査部の状況〕には、人員の経験不足をうかがえる以下の記述があります。
  • C社の監査部では，システム監査をまだ数回しか実施しておらず，監査部長以外のメンバーはシステム監査の経験が浅い
  • D君は，監査リーダーを担当するのは今回が初めてである
  この課題に対して、②監査調書の有効な活用方法となる選択肢を選ぶことになります。
  • 〔監査部の状況〕には外部監査についての記述がないので、設問の条件に合致しません。
  • 監査調書を回付することで監査報告会において監査報告書の説得力が増しますが、〔監査部の状況〕には合致しません。
  • 正しい。D君が作成した監査調書を監査部長がレビューすることによって、監査計画通りに行われたか、十分な監査証拠は入手できたか、監査意見の合理性に問題はないかなどをチェックすることができます。これにより監査結論およびシステム監査報告書の品質向上が期待できます。
  • ②監査調書は今回実施した監査のプロセスを記録したものなので、実施前に作成する今回の監査計画書に反映することはできません。「オ」にあるように、次回の監査計画書に反映するなら有効な活用になり得ます。
  • 正しい。C社監査部で定期的なシステム監査が行われるようになったのは昨年からであり、組織のプロセス資産（ノウハウ）が十分に蓄積されていないと考えられます。今後も経験の少ないメンバーで定期的にシステム監査を実施していくので、作成した監査調書を次回以降の監査に役立てることが監査品質の向上に繋がります。
  ∴ウ、オ

解説

• 今回の監査では、C社のシステム開発規程の遵守状況を確認することが目的となっているので、〔監査で判明した事実〕を〔システム開発規程〕に照らして問題となっている部分を解答することになります。
  
  〔aについて〕
  前半に「システム計画工程において」とありますので、システム計画工程に関する内容を答えることになります。〔監査で判明した事実〕のうち、システム計画工程に関する内容は(1)と(2)です。この2つが対応する〔システム開発規程〕はそれぞれ(2)と(4)となります。
  このうち、〔監査で判明した事実〕(1)については「システムテスト計画書には，システムテスト責任者と開発責任者の承認印があった」とあり、〔システム開発規程〕(2)「システムテスト計画は，システムテスト責任者と開発責任者の承認を得なければならない」に準拠しているため、指摘事項にはなりません。一方、〔監査で判明した事実〕(2)「システムテスト計画書に含まれるチーム体制は，会計システムの設計者を中心とした開発当事者だけのメンバーで構成されていた」は、〔システム開発規程〕(4)「システムテストには，開発当事者以外の者が参画しなければならない。…」に明らかに反しています。
  
  したがって、「開発当事者以外がチームに含まれない計画書を作成している」「チーム体制が開発当事者だけの計画書を作成している」旨の指摘事項が当てはまります。
  
  ∴a＝開発当事者以外がチームに含まれない計画書を作成している
  
  〔bについて〕
  前半に「システムテストの実施工程において」とありますので、システムテストの実施工程に関する内容を答えることになります。〔監査で判明した事実〕のうち、システムの実施工程に関する内容は(4)、(5)及び(6)です。この3つに対応する〔システム開発規程〕の項目はそれぞれ(1)、(3)及び(6)です。
  〔監査で判明した事実〕(4)と(5)は〔システム開発規程〕に準拠しており指摘事項にはなりません。一方、〔監査で判明した事実〕(6)「システムテストの結果は，異常があった場合だけ記録されていた。…」は、〔システム開発規程〕(6)「すべてのテストケースについて，システムテストの経過及び結果を記録し，保管しなければならない」に明らかに反しています。
  
  したがって、「正常終了した場合の結果を記録していない」「異常があった場合の結果だけしか記録されてない」旨の指摘事項が当てはまります。
  
  ∴b＝正常終了した場合の結果を記録していない
  
  〔cについて〕
  前半に「システムテスト結果の評価工程において」とありますので、システムテストの結果の評価工程に関する内容を答えることになります。〔監査で判明した事実〕のうち、システムテストの結果の評価工程に関する内容は(7)となります。これに対応する〔システム開発規程〕の項目は(7)と(8)となります。
  〔監査で判明した事実〕(7)「システムテスト結果報告書には，すべてのテストケースを実施したことをもって完了としていたことが記述されていた」は、〔システム開発規程〕(7)「システムテストの目的を達成したかどうかを十分に検討した上で，システムテストの完了判定を行わなければならない」に反しています。システムテストの目的とは、〔システム開発規程〕(1)にあるように「システムがシステム要件定義どおりに作られているかどうかを，システム全体の品質，性能，運用，操作など総合的な観点から検証する」ことなので、テスト終了をもって形式的に完了とするのではなく、要件定義どおりに作られているかどうかを実質的に検討した上で完了判断をしなければなりません。
  
  したがって、「目的を達成したかどうかが十分に検討されていない」旨の指摘事項が当てはまります。
  
  ∴c＝目的を達成したかどうかが十分に検討されていない
  
  
• 監査報告書(案)に欠落している内容について問われています。一般的なシステム監査の知識から解答します。
  
  システム監査は大きく2つに分けて「保証型」と「助言型」があります。「保証型」は、監査対象の情報セキュリティマネジメント体制又は管理策が、監査実施の時点で適切であったことを監査意見として表明する形態の監査、「助言型」は、今後の改善を目的として、監査対象の情報セキュリティマネジメント体制又は管理策の欠陥や懸念事項等の問題点を検出し、必要に応じて監査意見として改善提言を表明する形態の監査です。
  今回の監査は、監査報告書(案)に「助言意見」とあるので、助言型監査であることがわかります。システム監査基準によると「監査対象について助言を行う場合」の監査報告書の記述例に「指摘事項と改善勧告とは、それぞれが対応するように記載する必要がある」とあります。監査報告書(案)には指摘事項だけが記載されていて、対応する「改善勧告」の記載がありません。したがって、欠落している重大な項目は「改善勧告」となります。
  
  ∴改善勧告