情報セキュリティマネジメント試験 問題集

正解: C

正解の理由
システム監査基準の【基準９】は、監査の結論に至った過程を明らかにし、監査の結論を支える合理的な根拠とするために、監査調書を作成し、適切に保管しなければならないとしている。監査調書は、実施した監査手続、入手した監査証跡及び監査人が到達した結論の記録で、監査の結論の基礎となるものである。解釈指針は、監査実施内容の適切性・再現性等を確保するために作成するとし、記載された所見が結論をまとめる合理的根拠になるとしている。

違う選択肢
「監査の目的・範囲・結果を、依頼者や関係者に分かりやすく報告するため」… これは【基準１１】の監査報告書の役割である。監査報告書は監査の目的に応じた形式で作り、依頼者や適切な関係者に報告するものとされ、監査調書とは別の文書である。
「監査人や監査を行う組織の権限と責任を定め、組織体全体に周知するため」… これは【基準１】の、文書化された規程等の役割である。システム監査に関する規程は内部監査規程と同様の承認を経て組織体全体に周知されるもので、監査調書ではない。
「改善の内容・体制・進捗を書かせ、改善の状況をモニタリングするため」… これは【基準１２】のフォローアップで受け取る改善計画書や改善実施状況報告書の役割である。監査対象先が作成するもので、監査人が作る監査調書とは違う。

押さえどころ
監査調書には組織体の重要情報や機密情報が載るため、受渡や持出等のルールを定め、未承認アクセスの防止とバックアップの対策を講じるよう解釈指針は求めている。調書は内向き（結論の根拠）、報告書は外向き（依頼者への報告）と分けて覚える。