情報セキュリティマネジメント試験 科目A マネジメント 練習問題 第3問: 内部監査部門は、保証を目的としたシステム監査の年度計画を立てる際に、どの情報システムを監査対象先に選び、どれを優先して監査するかを決める。システム監査基準（令和

正解: 2. 残存リスクの評価

「残存リスクの評価」が適切です。システム監査基準（令和5年4月改訂）の基準6の解釈指針は、監査対象に対するリスクを固有リスク、統制リスク、残存リスクに分け、保証を目的としたシステム監査計画の策定では、監査対象先の選定や監査の優先度を主として残存リスクの評価に基づき決定するとしています。あわせて、固有リスクや統制リスクも同時に考慮する必要があるとしています。固有リスクはコントロールが存在しないと仮定したリスク、統制リスクはコントロールの不備・不足で発生防止や発見・是正がなされないリスク、残存リスクはコントロールを施した後も残っているリスクです。監査実施に係るリスクは、監査の目的が達成できない可能性に関わるリスクで、選定の主な基準ではありません。保証型の選定は残存リスクが主と押さえましょう。

関連キーワード: 監査計画・残存リスク・固有リスク・統制リスク・システム監査基準