令和7年度 秋期 システム監査技術者試験 午前II 問3

正解の根拠

システム監査におけるリスク・アプローチとは、リスクの大きさに応じて監査の優先順位や監査手続の深さ・広さを決定し、効果的かつ効率的な監査を実施する手法です。
リスクの大きさは、情報セキュリティマネジメントなどと同様に、リスク発生可能性（脅威と脆弱性が決定要因）と、リスクが発生した場合に組織体が受ける影響度の組み合わせで評価されます。したがって、選択肢エが適切です。

各選択肢の解説

• ア：不適切
  記述内容は「監査リスク」に関するものです。監査リスクとは、システムに重大な不備があるにもかかわらず、監査人がそれを発見できずに誤った監査結論を導いてしまうリスクを指します。「監査対象に対するリスク」の説明ではありません。

• イ：不適切
  リスク・アプローチは、リスクの高い領域に監査資源を重点的に配分することで、監査の網羅性よりも効率性と効果性を重視する手法です。

• ウ：不適切
  システム監査計画策定における監査対象先の選定や優先度の決定にあたっては、システムそのものが持つ固有リスクと、内部統制によっても防ぎきれない統制リスクを評価し、最終的な残存リスクを考慮する必要があります。したがって、固有リスクや統制リスクについての考慮は不可欠です。

• エ：適切
  リスクの大きさは、脅威と脆弱性が決定要因となるリスク発生可能性と、リスクが発生した場合の影響度の組み合わせで評価されます。