平成22年度春期 応用情報技術者試験 午前 問58

正解：エ

AI解説

リスクアセスメントに基づく監査対象の選定では、問題が発生する可能性とその影響の大きさ(リスクの大きさ)を評価し、リスクの高いシステムを優先的に監査対象として選ぶ。 ア: 運用開始時期の順にすべてのシステムを対象とするのは、リスクの大きさを考慮しない機械的な選定方法であり、リスクアセスメントに基づく選定とはいえない。 イ: 監査実施体制(監査人員やスケジュールの制約)を基準に対象を選ぶのは実務上の制約に基づく選定であり、リスクの大きさに基づく選定ではない。 ウ: 無作為に抽出したシステムを対象とするのは、リスク評価の結果を反映しない選定方法である。 エ: 正しい。問題発生の可能性とその影響が大きいシステムを優先して監査対象とするのが、リスクアセスメントに基づく選定である。 💡 リスクベース監査の考え方は「発生可能性×影響度が高い対象を優先する」という原則で覚える。