AUシステム監査の計画 · 監査の重要性とリスク評価

統制リスク

Control Risk

とうせいりすく

内部統制によって重大な問題が防止または検出・是正されないリスク。内部統制の設計上の有効性と運用上の有効性により決まり、統制テストの結果に基づいて評価する。

共有:

Past Exams

過去問での出題

過去問で 6 回出題（システム監査技術者試験 3・応用情報技術者試験 1・情報処理安全確保支援士試験 1・高度試験午前Ⅰ 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

リスクを許容可能な水準まで低減するための対策の実施。技術的対策（暗号化、アクセス制御等）、管理的対策（規程の整備、教育等）、物理的対策（入退室管理等）に分類される。

リスクの大きさに応じて監査資源を重点配分する監査手法。リスクの高い領域に重点を置くことで、限られた監査資源を効果的・効率的に活用する。リスク評価に基づく監査計画の策定が基本となる。

監査対象のリスクを特定・分析・評価するプロセス。リスクの発生可能性と影響度を基に、監査の優先順位や監査資源の配分を決定するための基礎情報を提供する。

リスクを許容可能な水準に低減するために組織が実施する方策。予防的コントロール、発見的コントロール、是正的コントロールに分類され、システム監査ではその整備状況と運用状況を評価する。

リスクが顕在化する前に問題の発生を未然に防止する統制。アクセス制御、職務の分離、入力チェックなどが該当する。発見的コントロールと組み合わせて効果的な統制環境を構築する。

発生した問題やエラーを早期に検出する統制。例外報告書のレビュー、定期的な棚卸、照合作業、ログの分析などが該当する。問題の早期発見により、影響の拡大を防止する。