中小企業診断士 第1次試験 情報システム戦略とデータ活用 練習問題 第5問: ITガバナンスとシステム監査に関する記述として、最も適切なものはどれか。

「システム監査は、監査計画、予備調査と本調査、評価と結論、監査報告とフォローアップの順に進む」が適切です。ITパスポート試験のシラバスは、システム監査の流れを、監査計画の策定、監査の実施（予備調査・本調査・評価・結論）、監査報告とフォローアップ（改善提案がどう実施されたかを後から確かめること）としています。

予備調査は監査計画を立てた後の「監査の実施」に含まれるので、予備調査をしてから監査計画を策定する順序は誤りです。システム監査の目的は、情報システムのリスクに適切に対応しているかを、独立かつ客観的な立場のシステム監査人が検証・評価し、保証や助言を行うことです。

監査を受ける部門の責任者が監査人を務めると、独立した立場になりません。取締役会などが利害関係者のニーズに基づき、IT戦略と方針を定めてその実現を図る活動はITガバナンスです。

ITマネジメントは、その方針に基づくIT戦略の目標を達成するためにITの利活用をコントロールし、結果を経営者に報告する体制を整備・運用する活動です。戦略と方針の策定をITマネジメント、利活用の管理と報告をITガバナンスとする記述は、両者を入れ替えています。

システム監査は監査計画に始まりフォローアップまでを独立した監査人が行い、ITガバナンスは方針を定める活動、ITマネジメントはそれを実行して報告する活動である。